Журнал событий Windows: как найти ошибку по времени сбоя

Журнал событий полезен, когда известны время сбоя и действие, которое ему предшествовало. Откройте нужный журнал, ограничьте период и сопоставьте источник, код и описание. Красная отметка сама по себе не доказывает причину неполадки. На работающем компьютере тоже встречаются предупреждения и ошибки.

Не начинайте с очистки журнала. Старые записи помогают увидеть последовательность и повторяемость. Если проблема воспроизводится, сначала запишите время с точностью до нескольких минут, название программы и видимый симптом.

Где открыть Event Viewer и какой журнал выбрать

1. Нажмите Win+R и введите eventvwr.msc.
2. Откройте «Журналы Windows».
3. Для отказа приложения начните с «Приложение», для драйверов, служб и перезапуска — с «Система».
4. Если разработчик указал отдельный журнал компонента, найдите его в «Журналы приложений и служб».
5. Дождитесь загрузки списка, прежде чем судить об отсутствии записей.

Журнал «Безопасность» имеет отдельные требования к доступу и аудиту. Отсутствие события там может означать, что соответствующий аудит не настроен. Это не универсальный журнал всех проблем Windows.

Для обычной работы доступны Windows 11 Home и Windows 11 Pro. Просмотр событий не требует покупки новой редакции ради каждой ошибки. Сначала исследуйте существующую систему.

Фильтр по времени вместо поиска всех красных строк

В действиях выбранного журнала откройте фильтр текущего журнала. Укажите период, включающий время сбоя и несколько минут до него. При необходимости добавьте уровень, источник или известный код.

Home и Pro для задач на Windows 11 Журналы помогают диагностировать текущую систему. Новую лицензию не приобретают только из-за наличия красных событий.

Windows 11 Pro

1 790 ₽ 2 920 ₽

Добавить в корзину

Windows 11 Home

1 690 ₽ 2 250 ₽

Добавить в корзину

Не ограничивайте первый просмотр только критическими событиями. Информационная запись о запуске службы или установке обновления может объяснить последовательность. После сужения периода посмотрите соседние записи и их порядок.

Код события имеет смысл вместе с источником. Один и тот же номер у разных поставщиков не обязан означать одинаковую проблему. Поисковый запрос должен включать источник, ID, контекст и значимую часть описания, а не только число.

Какие поля читать в свойствах события

Вкладка подробностей полезна, если общее описание сокращено или не найден текст поставщика. Сохраняйте исходные значения. Путь к DLL или имя процесса в событии ещё не доказывают, что именно этот файл повреждён.

Почему Kernel-Power 41 не означает «сломался блок питания»

Событие Kernel-Power 41 фиксирует, что предыдущая работа завершилась нештатно. Оно может появиться после пропадания питания, зависания, принудительного выключения или синего экрана. Сам номер не выбирает один из этих вариантов.

Сопоставьте его с тем, что происходило до перезапуска. Был ли экран ошибки, отключился ли свет, удерживали ли вы кнопку питания? Проверьте параметры bugcheck и наличие дампа, если система смогла их сохранить. Нулевое поле не является доказательством исправности или неисправности конкретного устройства.

События 6008 и другие записи о предыдущем выключении также описывают факт. Для причины важны предшествующие события и наблюдаемый сценарий. Не меняйте оборудование только по заголовку записи.

Как сохранить EVTX для дальнейшего разбора

1. После фильтрации выберите сохранение отфильтрованных событий.
2. Укажите новую папку и имя EVTX, отражающее дату и проблему.
3. Если Windows предлагает сведения для отображения, учитывайте язык компьютера, на котором будут читать файл.
4. Откройте сохранённый журнал через пункт открытия журнала и убедитесь, что нужный период присутствует.

Можно сохранить полный системный журнал через команду чтения и экспорта. В CMD выполните её с правами, достаточными для доступа. Не заменяйте существующий файл, если он уже нужен для расследования:

wevtutil epl System "%TEMP%\pcsoft-system-events.evtx"

Это экспорт, а не очистка. Не добавляйте команду cl ради «обновления журнала»: она удаляет записи. Перед отправкой EVTX учитывайте, что внутри могут быть имена устройств, пользователей и пути. Передавайте его через согласованный канал поддержки.

Если нужной ошибки нет или журнал не открывается

Проверьте период, часовой пояс и выбранный журнал. На другой машине или в экспортированном файле отображение времени может отличаться. Снимите фильтр и убедитесь, что список вообще содержит записи.

Некоторые каналы по умолчанию отключены или требуют отдельного сбора. Включать подробный канал стоит по инструкции разработчика и на период воспроизведения, учитывая объём данных. Отсутствие записи не доказывает отсутствие сбоя: процесс мог завершиться до записи или событие могло попасть в другой канал.

Как превратить найденную запись в проверяемый следующий шаг

Исправление выбирают по сочетанию признаков, а не по цвету значка. Для сбоя приложения проверьте версию, модуль и повторяемость на пустом файле. Для службы — её состояние и зависимость. Для дисковых ошибок сначала сохраните данные, затем исследуйте устройство.

После одного обоснованного изменения повторите исходный сценарий и сравните новые события. Сохраните старый экспорт, чтобы не потерять исходную последовательность. Хороший результат — исчезновение воспроизводимого симптома, а не просто пустой журнал после очистки.