Журнал событий Windows 11¶
Журнал событий Windows 11 — системная утилита операционной системы Windows 11, предназначенная для записи, хранения и просмотра журнала событий: сообщений о действиях пользователя, работы служб, драйверов и приложений. Журнал событий встроен во все современные версии Windows и является основным средством диагностики сбоев и отслеживания состояния системы.
¶Структура журнала событий
Журнал событий в Windows 11 разделён на несколько категорий (журналов), каждая из которых собирает определённый тип записей:
| Журнал | Содержание |
|---|---|
| Журнал приложений | События, связанные с работой установленных программ |
| Журнал системы | Работа служб Windows, драйверов, обновлений |
| Журнал безопасности | Попытки входа, изменения учётных записей, доступ к файлам |
| Журнал установки | События, связанные с установкой обновлений и программ |
| Журнал переустановки | События, связанные с обновлением компонентов Windows |
| Журнал PowerShell | События, создаваемые PowerShell-скриптами |
Каждая запись журнала содержит дату и время, уровень важности (информационное, предупреждение, ошибка, критическая ошибка), источник события, идентификатор события (Event ID) и текстовое описание.
¶Способы открытия журнала событий
¶Через оснастку «Просмотр событий»
Самый распространённый способ открыть журнал событий в Windows 11:
- Нажать комбинацию клавиш Win + X и выбрать «Просмотр событий».
- Либо нажать Win + R, ввести команду
eventvwr.mscи нажать Enter. - Либо в строке поиска на панели задач ввести «Просмотр событий» и запустить найденное приложение.
В открывшемся окне слева расположено дерево журналов: «Журналы Windows» → «Приложение», «Система», «Безопасность» и другие. Двойной клик по нужному журналу отображает список событий в центральной части окна.
¶Через PowerShell
Для доступа к журналу событий через командную строку PowerShell используется команда Get-WinEvent. Примеры:
Get-WinEvent -LogName System -MaxEvents 20— последние 20 событий журнала «Система».Get-WinEvent -FilterHashtable @{LogName='Application'; Level=2}— все ошибки журнала «Приложение».Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624}— события успешного входа в систему.
¶Через командную строку
В классической командной строке доступна утилита wevtutil, например:
wevtutil qe System /c:20 /rd:true /f:text— выводит последние 20 событий журнала «Система» в текстовом формате.
¶Через «Параметры» и «Диспетчер задач»
В Windows 11 события, связанные с работой отдельных приложений, можно просмотреть через «Параметры» → «Приложения» → «Установленные приложения» → нужное приложение → «Дополнительные параметры» → «Журнал событий приложения». Также события, связанные с работой служб, доступны в «Диспетчере задач» на вкладке «Службы».
¶Уровни важности событий
| Уровень | Обозначение | Значение |
|---|---|---|
| Критическая ошибка | Красный крест | Система не может продолжить работу |
| Ошибка | Красный крест | Отказ компонента или приложения |
| Предупреждение | Жёлтый треугольник | Возможная проблема в будущем |
| Информационное | Синий квадрат | Успешное завершение операции |
| Аудит (успех/неудача) | — | Записи журнала безопасности |
¶Практическое применение
Журнал событий используется в первую очередь для диагностики проблем:
- Синие экраны смерти (BSOD) — код ошибки и связанное событие можно найти в журнале «Система» по Event ID 1001.
- Сбои приложений — записи журнала «Приложение» содержат информацию о причинах завершения программы.
- Проблемы с обновлениями Windows — журнал «Установка» фиксирует неудачные попытки обновления.
- Безопасность — журнал «Безопасность» хранит данные о входах в систему, изменении паролей и прав доступа (для его просмотра требуются права администратора).
- Работа служб — журнал «Система» показывает, какие службы запускались, останавливались или завершались с ошибками.
¶Очистка и настройка журнала
По умолчанию Windows 11 ограничивает размер журнала событий (например, журнал «Система» — 20 МБ, «Приложение» — 20 МБ, «Безопасность» — 20 МБ). При переполнении старые записи перезаписываются. Размер и политику перезаписи можно изменить в оснастке «Просмотр событий»: правый клик по журналу → «Свойства» → «Максимальный размер журнала» и «При переполнении журнала» (сохранять, перезаписывать или архивировать).
Очистить журнал можно командой wevtutil cl <имя журнала> или через оснастку: правый клик по журналу → «Очистить журнал».
¶История
Подсистема журнала событий появилась в Windows NT 3.1 (1993) и с тех пор развивалась вместе с системой. В Windows Vista и Windows 7 была добавлена расширенная подсистема Windows Event Log с поддержкой XML-формата и виртуальных журналов. В Windows 10 и Windows 11 журнал событий интегрирован с другими средствами диагностики — «Центром безопасности и обслуживания», «Диспетчером задач» и облачными сервисами анализа сбоев.