Где находится журнал и как его открыть
Просмотр событий — штатная программа Windows, в которую система и приложения записывают сведения о своей работе: запуск и остановку служб, установку обновлений, ошибки драйверов, сбои программ, входы в систему. Открыть её проще всего через Win+R: введите eventvwr.msc и подтвердите. Другой путь — поиск по слову «Просмотр событий» или контекстное меню кнопки «Пуск».
Окно разделено на три области. Слева дерево журналов, посередине список событий выбранного журнала, справа панель действий: фильтрация, сохранение, очистка, подключение к другому компьютеру. В нижней части средней области отображаются подробности выбранной записи на вкладках «Общие» и «Подробности».
Для просмотра не требуются права администратора на большинстве компьютеров, но очистка журналов и некоторые разделы доступны только администратору. Помните, что журнал хранит ограниченный объём: когда файл заполняется, самые старые записи перезаписываются, поэтому расследование лучше начинать вскоре после сбоя.
Какие журналы смотреть в первую очередь
Дерево содержит много разделов, но для бытовой диагностики хватает двух-трёх.
| Раздел | Что в нём искать |
|---|---|
| Журналы Windows → Система | Ошибки драйверов, служб, диска, неожиданные выключения |
| Журналы Windows → Приложение | Сбои конкретных программ и их модулей |
| Журналы Windows → Безопасность | Входы в систему и попытки доступа (нужны права администратора) |
| Журналы приложений и служб → Microsoft → Windows | Подробные журналы подсистем: обновления, сеть, запуск |
Если проблема связана с зависанием программы, откройте «Приложение». Если компьютер перезагрузился сам, выключился без предупреждения или тормозит на уровне оборудования, начинайте с «Система». Журнал безопасности нужен, когда нужно выяснить, кто и когда входил на компьютер, и не относится к диагностике производительности. Подробности по каждому подразделу Microsoft публикует в справке, поэтому не бойтесь открывать незнакомые ветки: просмотр ничего не меняет.
Пример разбора сбоя и пределы возможностей журнала
У каждой записи есть уровень, и он помогает не утонуть в потоке сообщений.
- Сведения — обычная работа системы: служба запущена, обновление установлено.
- Предупреждение — событие, которое может привести к проблеме, но пока не привело; например, диск ответил медленнее обычного.
- Ошибка — сбой компонента или программы, который был зафиксирован.
- Критический — серьёзный сбой, после которого система не могла продолжать работу корректно, например неожиданное выключение.
- Аудит успеха и аудит отказа — относятся к журналу безопасности.
Не воспринимайте каждую красную запись как катастрофу. В журнале любого исправного компьютера со временем накапливаются ошибки: служба не успела запуститься, программа не смогла связаться с сервером, драйвер сообщил о временной неполадке. Опасными такие записи становятся, когда повторяются регулярно, совпадают по времени с вашими симптомами и указывают на один и тот же компонент.
Чтобы не листать тысячи строк, используйте фильтр. Выберите журнал, например «Система», и на панели справа нажмите «Фильтр текущего журнала». В поле «Записано» выберите период: последний час, сутки или указанный диапазон. Отметьте уровни «Критический», «Ошибка» и «Предупреждение». Подтвердите.
Дальше найдите время сбоя. Если компьютер завис в 21:40 и вы перезагрузили его принудительно, ищите записи незадолго до этого времени и сразу после следующего запуска. Особенно полезны события с источниками disk, Ntfs, volmgr, storahci и драйверов оборудования: они указывают на проблемы с накопителем. События Service Control Manager сообщают об остановке служб, а Application Error и Windows Error Reporting — о падении программ.
Для поиска конкретного слова воспользуйтесь командой «Найти» на правой панели. Можно сохранить выбранные записи в файл формата evtx и передать специалисту или службе поддержки: так он увидит те же данные, что и вы.
Как читать одну запись
Выберите событие и посмотрите вкладку «Общие». В ней обычно указаны текст сообщения, источник, код события, уровень, время и имя компьютера. Код события и источник — два ключа для поиска документации: один и тот же код у разных источников означает разное.
Вкладка «Подробности» показывает данные в структурированном виде. Для бытовой диагностики она нужна редко, но иногда содержит имя файла, код ошибки или идентификатор устройства. Расшифровку лучше искать по источнику и коду события в официальной документации.
Не пытайтесь по одной записи ставить диагноз. Смотрите картину: что происходило до события, повторяется ли оно, нет ли рядом других ошибок. Две-три связанные записи говорят больше, чем одна красная. Если сомневаетесь, запишите источник, код, время и описание и сверьтесь с официальной справкой производителя или разработчика.
Пример разбора: программа вылетает при запуске
Допустим, при запуске программы окно закрывается без объяснений. Действуйте так.
- Воспроизведите сбой и запомните время, хотя бы до минуты.
- Откройте журнал «Приложение», нажмите «Фильтр текущего журнала» и отметьте уровень «Ошибка».
- Найдите запись с источником Application Error, время которой совпадает со сбоем. В тексте будет имя программы и модуль, в котором произошёл сбой.
- Запишите имя модуля. Если это собственный файл программы, помогут обновление или переустановка. Если это системная библиотека или драйвер, подозрение падает на них.
- Загляните в «Систему» в то же время: нет ли ошибок драйвера, диска или нехватки памяти.
Такой метод не даёт гарантий, но заметно сокращает поиск. Вы перестаёте переустанавливать всё подряд и идёте по следу, который оставила сама система. Если записей нет, вероятно, программа завершается штатно или обрабатывает ошибку внутри себя; тогда посмотрите её собственные журналы в папке данных.
Чего журнал не расскажет и когда обращаться к специалисту
Журнал событий — вспомогательный инструмент, а не прибор для точного диагноза. Он фиксирует только то, что система или программа решили записать. Полное зависание, при котором система не успела ничего сохранить, может не оставить явных следов, кроме факта неожиданного выключения. Аппаратные проблемы вроде дефектов памяти или перегрева иногда проявляются лишь косвенно.
Не очищайте журналы «на всякий случай»: вы потеряете историю, которая может понадобиться для поиска причины. Очищайте их только если вы осознанно хотите начать наблюдение с чистого листа, например после ремонта.
Если записи указывают на диск, проверьте его состояние и сохраните данные. Если проблема связана с драйвером, проверьте диспетчер устройств и обновите или откатите драйвер. Если речь о выключениях, переходите к странице про событие Kernel-Power с кодом 41. А на рабочем или корпоративном компьютере передайте экспортированные записи администратору.