Как посмотреть журнал событий в windows 10

Как открыть в просмотр событий

Зайти в оснастку Просмотр событий можно очень просто, подойдет для любой версии Windows. Нажимаете волшебные кнопки

Откроется у вас окно просмотр событий windows в котором вам нужно развернуть пункт Журналы Windows. Пробежимся по каждому из журналов.

Журнал Приложение, содержит записи связанные с программами на вашем компьютере. В журнал пишется когда программа была запущена, если запускалась с ошибкоу, то тут это тоже будет отражено.

Журнал аудит, нужен для понимания кто и когда что сделал. Например вошел в систему или вышел, попытался получить доступ. Все аудиты успеха или отказа пишутся сюда.

Пункт Установка, в него записывает Windows логи о том что и когда устанавливалось Например программы или обновления.

Самый важный журнал Это система

Сюда записывается все самое нужное и важное. Например у вас был синий экран bsod, и данные сообщения что тут заносятся помогут вам определить его причину

Так же есть логи windows для более специфических служб, например DHCP или DNS. Просмотр событий сечет все :).

Работа с журналами

Службы и приложения могут генерировать огромное количество самых разнообразных событий. Для простоты доступа к нужным записям журнала можно использовать функцию фильтрации журнала:

Скриншот №4. Фильтрация журнала

Правый клик по журналу – Фильтр текущего журнала… (>Filter Current Log…), либо выбрать данную функцию в панели быстрых действий. Открывшееся окно позволяет настроить фильтр и отобразить только те события, которые необходимы в данный момент:

Скриншот №5. Настройки фильтра

Можно задать временной период, уровни события, выбрать журналы и конкретные источники событий. Если известны коды событий, которые нужно включить или исключить из фильтра, их также можно указать.

Когда необходимость в фильтрации событий отпадет, ее можно отключить действием Очистить фильтр (Clear Filter):

Скриншот №6. Очистка фильтра

Приложение Просмотр событий (Event Viewer) позволяет также настроить дополнительные свойства журналов. Доступ к настройкам можно получить через панель быстрых действий, либо через контекстное меню журнала – правый клик по журналу – Свойства (Properties):

Скриншот №7. Свойства журналов

В открывшемся окне настроек можно увидеть путь, по которому сохраняется файл журнала, текущий размер, а также можно задать максимальный размер файла:

Скриншот №8. Характеристики файла журнала

В нижней части окна можно выбрать вариант действия при достижении журналом максимального значения:

Переписывать события при необходимости (Overwrite events as needed) – новое событие будет записываться поверх самого старого события в журнале, таким образом будут доступны события только за определенный диапазон времени.
Архивировать журнал при заполнении (Overwrite the log when full) – заполненный журнал будет сохранен, последующие события будут записываться в новый файл журнала. При необходимости доступа к старым событиям, архивный файл можно будет открыть в приложении Просмотр событий (Event Viewer).
Не переписывать события (Do not overwrite events) – при заполнении журнала выдается системное сообщение о необходимости очистить журнал, старые события не перезаписываются.

Способы применения (краткий инструктаж по работе)

Большинство «профессиональных» пользователей уверены, что обычным юзерам не нужно даже погружаться в эту тему, ведь она никогда им не пригодится. Однако это не так. Данный инструмент невероятно полезен в отдельных ситуациях.

Например, если появляется синий экран (BSOD) или ОС сама по себе перезагружается время от времени. Почему это происходит и что послужило причиной можно узнать в журнале событий. Если ошибка связана с обновлением драйверов, то будет указано оборудование, с которым возникла проблема, и эффективные пути для ее решения.

Знакомство

Коротко разберем интерфейc журнала событий, чтобы не потеряться и понимать, где и что находится.

В левой части — навигационное меню с категориями. Наиболее интересны:

Журналы Windows.
- Приложение. Отображает информацию об установленном программном обеспечении.
- Безопасность. В основном здесь находятся данные о времени и дате входа в Windows, а также важных изменениях безопасности.
- Установка. Перечисляются сведения об установленных программах, драйверах и обновлениях.
- Система. Общая информация о состоянии винды. Критические ошибки (в том числе синие экраны), предупреждения, загрузки, перезагрузки — все располагается здесь.
Журналы приложений и служб. Располагаются сведения об установленном софте.

В центральной части можно просмотреть список событий за последнее время и подробную информацию о каждом из них.

Правая часть окна — область действий. Доступны опции удаления, сохранения, копирования и другие.

Предлагаю войти в «Систему», найти интересующее нас событие и щелкнуть по нему мышкой.

Снизу появятся общие сведения о неполадке. Читаем описание, запоминаем значение из поля «Источник» и «Код». Открываем «Google» или «Yandex» и по имеющимся данным ищем способы исправления неполадки.

Методы очистки

Существует пять основных способов, с помощью которых можно очистить журнал событий.

Ручной.
«Батник» – специальный файл с расширением «*.bat».
Через консоль «CMD».
Через «PowerShell».
Утилиту CCleaner.

Подробно рассмотрим каждый из них и узнаем, как их применить на практике.

Ручной

В первую очередь предлагаю разобрать вариант самостоятельной очистки. Он достаточно простой и не требует использования специальных команд и установки стороннего софта.

Нужно лишь:

Открыть журнал событий (как? — рассказано в самом начале).
Нажать по нужному разделу правой кнопкой мыши и выбрать пункт «Очистить».

Создание и использование «.bat»

Пожалуй, это еще один достаточно простой метод. Разберем более подробно.

Создаем обычный текстовый файл. Щелкаем правой мышкой по рабочему столу и выбираем «Создать» – «Текстовый документ».
Вставляем в него специальный код.
В верхнем меню выбираем «Файл – Сохранить как».
Указываем любое имя. В конце имени выставляем расширение «.bat». В графе «Тип» выбираем «Все» и нажимаем «Сохранить».
Готово. Щелкаем по нему правой кнопкой мыши и запускаем с правами администратора. После этого все сообщения приложений, ошибки и прочие отчеты удалятся.

Если вам лень создавать этот файл, то вот готовый вариант. Используйте спокойно, вирусов нет.

Командная строка

Также почистить журнал событий от ошибок, предупреждений и прочих сообщений можно через командную строку «CMD».

Заходим в консоль.
Копируем и вставляем следующий код: for /F «tokens=*» %1 in (‘wevtutil.exe el’) DO wevtutil.exe cl «%1». Жмем «Enter» и дожидаемся окончания процесса.

После этого все отчеты удалятся.

PowerShell

В Windows 10 предусмотрена более подвинутая версия стандартной консоли — PowerShell. Воспользуемся ей.

Действуем по шагам:

Жмем по клавишам — вводим PowerShell и выбираем «От имени администратора».
В появившееся окно вводим: Wevtutil el | ForEach {wevtutil cl «$_»}.

Не обращайте внимания на возможные ошибки, на результат они не влияют. Разделы очистятся.

CCleaner

Специализированный софт по очистке ОС и исправлению проблем в реестре. Распространяется бесплатно. Поддерживает Windows 10 – 8 – 7.

Скачиваем с официального сайта, устанавливаем и открываем.
Переходим во вкладку «Стандартная очистка». В «Windows» устанавливаем галочку напротив нужного пункта. Галочки с остальных пунктов снимать необязательно (дополнительно оптимизируется работа ОС).
Жмем по кнопке «Очистка»

Как использовать Event Viewer для проверки событий приложения

Разверните пункт меню « Журналы Windows» на левой панели, чтобы увидеть журналы приложений, безопасности, настройки, системы и переадресованных событий, о которых мы говорили в предыдущем разделе этого руководства.

Обратите внимание, что журнал безопасности является единственным, который недоступен для обычных пользователей. Вы можете увидеть его содержимое, только если вы вошли в систему с использованием учетной записи администратора или щелкнув правой кнопкой мыши и выбрав Запуск от имени администратора, при запуске средства просмотра событий

Разверните окно просмотра событий, чтобы вы могли видеть, что происходит более четко. Затем нажмите на одну из категорий событий на левой панели. На данный момент, нажмите / нажмите на приложения . В центре окна просмотра событий вы должны увидеть много сообщений.

Windows отслеживает все, что она делала, и классифицирует информацию одним из трех способов: Ошибка, Предупреждение или Информация . Вы можете нажать или нажать на любую отдельную запись (в один клик), чтобы увидеть объяснение, отображаемое на нижней панели. Вы также можете увидеть событие, показанное на правой панели, с меню действий, которые вы можете предпринять.

Появляющиеся объяснения часто загадочны, а некоторые сообщения об ошибках выглядят зловеще. Просто помните, что большинство сообщений — это просто сообщения. Они не означают, что что-то не так. Каждое событие также имеет идентификатор события, и их много. Чтобы получить информацию об этих идентификаторах событий, найдите их на этом веб-сайте: EventIDNet. Когда вы найдете событие, не забудьте также проверить комментарии внизу первой веб-страницы. Именно здесь другие пользователи объясняют, что произошло, и где вы с большей вероятностью увидите объяснение, которое могут понять и обычные пользователи.

Когда вы выбрали событие, вы увидите, что его имя дублируется и выделено в нижней половине правой панели. Попробуйте нажать на разные события, чтобы увидеть это изменение дисплея.

Обратите внимание, что информация на правой панели одинакова для всех журналов Windows на левой панели. Часть того, что появляется на правой панели, дублирует то, что вы видите на нижней панели

Например, если вы щелкнете « Свойства события» на правой панели, появится окно с тем же сообщением об ошибке, которое вы видите на нижней панели. Однако вы можете сделать больше с информацией из окна « Свойства события» .

Если вы нажмете « Копировать», он не просто скопирует сообщение об ошибке: он скопирует весь раздел журнала ошибок. Если вы обсуждаете проблему со службой технической поддержки, специалист службы технической поддержки может попросить вас предоставить расшифровку журнала ошибок. Это самый быстрый и простой способ получить его. Нажмите кнопку « Копировать», а затем используйте Ctrl + V, чтобы вставить результат. Вот как это выглядит, когда вы вставляете одно такое сообщение в Блокнот.

На правой панели также есть отдельный пункт меню «Копировать», в котором есть две опции: «Копировать таблицу» и «Копировать данные как текст» :

«Копировать таблицу» копирует однострочное сообщение об ошибке, отображаемое в верхней панели.
«Копировать детали как текст» работает так же, как кнопка « Копировать» в окне свойств события .

Чтобы получить более полное объяснение ошибки, в окне « Свойства события» вы можете щелкнуть « Справка по журналу событий» и перейти на веб-сайт Microsoft TechNet. Тем не менее, похоже, что они больше не онлайн. Тем не менее, поскольку TechNet был разработан с расчетом на опытного пользователя, объяснение, которое вы могли найти, могло быть не более поучительным, чем оригинальное загадочное сообщение. Так что, вероятно, лучший вариант для вас — выделить сообщение, скопировать его, а затем вставить в любимую поисковую систему. Мы обнаружили, что использование Bing с большей вероятностью приводит к списку страниц Microsoft, но ваш опыт может быть другим. Чтобы получить понятные результаты, стоит попробовать несколько поисковых систем. Обычно вы находите форум, где кто-то спрашивает об этом сообщении. Ответы на вопрос могут или не могут быть полезны. Было бы неплохо, если бы Microsoft предоставила несколько веб-страниц, чтобы объяснить эти вещи обычным пользователям.

Если вы нажмете « Сохранить выбранное событие», появится окно с вашей папкой « Документы ». Если вы храните свои документы где-то еще, вы можете использовать это окно так же, как вы используете File Explorer или Windows Explorer, чтобы найти предпочитаемую папку для хранения. Событие сохраняется в виде файла события с суффиксом «.EVTX» . Если дважды щелкнуть этот файл, откроется окно просмотра событий : второй экземпляр программы, если она уже запущена.

Как искать в журналах событий интересующие сведения

Просмотр всех записей подряд неудобен и неинформативен. Для облегчения поиска только интересующих данных используют инструмент «Фильтр текущего журнала», который позволяет исключить из показа всё лишнее. Он становится доступным в меню «Действия» при выделении мышью какого-либо журнала.

Как пользоваться функцией фильтрации

Рассмотрим на конкретном примере. Допустим, вас интересуют записи об ошибках, критических событиях и предупреждениях за последнюю неделю. Источник информации – журнал «Система». Выбираем его в каталоге Windows и нажимаем «Фильтр текущего журнала».

Далее заполняем вкладку «Фильтр»:

Из списка «Дата» выбираем последние 7 дней.
В разделе «Уровень события» отмечаем критическое, ошибка и предупреждение.
В списке «Источники событий» находим интересующий параметр. Если он неизвестен, выбираем все.
Указываем коды событий (event ID), о которых собираем сведения.
Если нужно, отмечаем ключевые слова для сужения круга поиска и определяем пользователя (если интересуют сведения о конкретной учетной записи).

Вот, как выглядит журнал после того, как в нем осталось только то, что мы искали:

Читать его стало гораздо удобнее.

Как создавать настраиваемые представления

Настраиваемые представления – это, как сказано выше, пользовательские выборки событий, сохраненные в отдельный каталог. Отличие их от обычных фильтров лишь в том, что они сохраняются в отдельные файлы и продолжают пополняться записями, которые попадают под их критерии.

Чтобы создать настраиваемое представление, сделайте следующее:

Выделите в разделе каталогов интересующий журнал.
Кликните пункт «Создать настраиваемое представление» в разделе «Действие».
Заполните настройки окошка «Фильтр» по примеру выше.
Сохраните фильтр под любым именем в выбранный каталог.

В дальнейшем настраиваемые представления можно редактировать, копировать, удалять, экспортировать в файлы .xml, сохранять как журналы событий формата .evtx и привязывать к ним задачи планировщика.

Источники, уровни и коды событий. Как понять, что означает конкретный код

Источники событий – это компоненты ОС, драйверы, приложения или даже их отдельные составляющие, которые создают записи в журналах.

Уровни событий – это показатели их значимости. Все записи журналов отнесены к одному из шести уровней:

Критическая ошибка указывает на самый серьезный сбой, который привел к отказу породившего его источника без возможности самостоятельного восстановления. Пример внешнего проявления такого сбоя – синий экран смерти Windows (BSoD) или внезапная перезагрузка компьютера.
Ошибка тоже указывает на сбой, но с менее критичными последствиями для работы системы. Например, вылет программы без сохранения данных из-за нехватки ресурсов, ошибки запуска служб и т. п.
Предупреждение – запись, сообщающая о неполадках, которые негативно влияют на работу системы, но не приводят к сбоям, а также о возможности возникновения ошибок в дальнейшем, если не устранить их причину. Пример: приложение запускалось дольше, чем обычно, что привело к замедлению загрузки системы.
Уведомление – обычное информационное сообщение, например, о том, что операционная система приступила к установке обновления.
Успешный отчет (аудит) – сообщение, информирующее об успехе какого-либо события. Примеры: программа успешно установлена, пользователь успешно вошел в учетную запись.
Неуспешный отчет (аудит) – сообщение о неуспешном завершении операции. Например, установка программы не была завершена из-за отмены действия пользователем.

Код (event ID) – это число, которое указывает на категорию события. Например, записи, имеющие отношение к загрузке Windows, обозначаются кодами 100-110, а к завершению ее работы – кодами 200-210.

Для поиска дополнительной информации по конкретному коду вместе с источником события удобно использовать веб-ресурс eventid.net Он хоть и англоязычный, но пользоваться им несложно.

Код, взятый из журнала событий (на скриншоте ниже), вводим в поле «Enter Windows event id», источник – в «Event source». Нажимаем кнопку «Search» – и внизу появляется табличка с расшифровкой события и комментариями пользователей, в которых люди делятся советами по устранению связанных с ним проблем.

Как отключить журнал событий Windows 10

Ранее мы смотрели, как открыть службы в Windows 10. Здесь также есть возможность отключить службу журнала событий Windows 10. И тогда уже после перезагрузки компьютера данные не будут записываться в журнал и пользователь не сможет посмотреть журнал событий в будущем. Поэтому отключать журнал событий не рекомендуется, хоть такая возможность и есть.

Открываем окно служб выполнив команду services.msc в окне Win+R.
Среди списка доступных служб находим Журнал событий Windows и в контекстном меню которого выбираем Свойства.
В открывшемся окне изменяем типу запуска службы EventLog на Отключена и нажмите ОК.

Эта служба управляет событиями журнала событий. Она поддерживает регистрацию и запрос событий, подписку на события, архивацию журналов и управление метаданными событий. После перезапуска компьютера изменения вступят в силу

А именно служба журнала событий не будет запускаться в автоматическом режиме. Обратите внимание, что остановка службы журнала событий Windows может снизить безопасность и надежность системы в целом

Заключение

Журнал событий для обычного пользователя по сути не нужен. Только человеку хорошо разбирающемся в операционной системе Windows 10 по силе разгадать коды ошибок появляющихся в журнале. Но попытать удачи и посмотреть журнал событий в нужной ситуации может попытаться любой, вдруг действительно это поможет решить проблему в системе.

Решайте конкретные проблемы с помощью журналов

К счастью, помощь всегда под рукой на отличном сайте под названием EventID.Net. Это не только объясняет, что на самом деле означают конкретные события Windows, но и показывает, насколько они серьезны (или нет), и дает советы по устранению неполадок, которые вам нужны.

Скопируйте и вставьте номер идентификатора события журнала из средства просмотра событий (или SnakeTrail) в поле поиска на домашней странице EventID.Net вместе с источником (приложением или службой). Например, если у вас синий экран смерти (BSoD), идентификатор события обычно 41, но источник может быть другим (Kernel-Power это частая ошибка).

Поисковая система веб-сайта будет отображать совпадающие события вместе с полезными отзывами сообщества EventID.Net. Для ошибок BSoD существует множество возможных причин и решений, и все они четко объяснены.

На момент написания всеобъемлющая база данных EventID.Net охватывает 11 588 идентификаторов событий Windows и 638 источников событий с 19234 XNUMX комментариями. Веб-сайт можно использовать бесплатно, но для некоторых функций, таких как переписывание описаний событий на простом английском языке, требуется платная подписка.

Если EventID.Net бесполезен или в записи не указан идентификационный номер, лучше всего скопировать и вставить сводку события в Google или Сайт сообщества Microsoft. Возможно, кто-то еще столкнулся с такой же проблемой.

Работа с журналом событий (для начинающих)

❶

Как его открыть

Вариант 1

Этот вариант универсальный и работает во всех современных версиях ОС Windows.

нажать сочетание кнопок Win+R — должно появиться окно «Выполнить»;
ввести команду eventvwr и нажать OK (примечание: также можно воспользоваться диспетчером задач (Ctrl+Shift+Esc) — нажать по меню «Файл/новая задача» и ввести ту же команду eventvwr);

eventvwr — команда для вызова журнала событий

после этого у вас должно появиться окно «Просмотр событий» — обратите внимание на левую колонку, в ней как раз и содержатся всевозможные журналы Windows…

Просмотр событий

Вариант 2

сначала необходимо открыть панель управления и перейти в раздел «Система и безопасность»;

Система и безопасность
далее необходимо перейти в раздел «Администрирование»;

Администрирование
после кликнуть мышкой по ярлыку «Просмотр событий».

Просмотр событий — Администрирование

Вариант 3

Актуально для пользователей Windows 10/11.

1) Нажать по значку с «лупой» на панели задач, в поисковую строку написать «событий» и в результатах поиска ОС Windows предоставит вам ссылку на журнал (см. скрин ниже).

Windows 10 — события

2) Еще один способ: нажать сочетание Win+X — появится меню со ссылками на основные инструменты, среди которых будет и журнал событий.

Win+X — вызов меню

❷

Журналы Windows

Наибольшую пользу (по крайней мере, для начинающих пользователей) представляет раздел «Журналы Windows» (выделен на скрине выше). Довольно часто при различных неполадках приходится изучать как раз его.

В нем есть 5 вкладок, из которых 3 основных: «Приложение», «Безопасность», «Система». Именно о них пару слов подробнее:

«Приложение» — здесь собираются все ошибки (и предупреждения), которые возникают из-за работы программ. Вкладка будет полезна в тех случаях, когда у вас какое-нибудь приложение нестабильно работает;
«Система» — в этой вкладке содержатся события, которые сгенерированы различными компонентами ОС Windows (модули, драйверы и пр.);
«Безопасность» — события, относящиеся к безопасности системы (входы в учетную запись, раздача прав доступа папкам и файлам, и т.д.).

❸

Как найти и просмотреть ошибки (в т.ч. критические)

Надо сказать, что Windows записывает в журналы очень много различной информации (вы в этом можете убедиться, открыв любой из них). Среди стольких записей найти нужную ошибку не так просто. И именно для этого здесь предусмотрены спец. фильтры. Ниже покажу простой пример их использования.

И так, сначала необходимо выбрать нужный журнал (например «Система»), далее кликнуть в правой колонке по инструменту «Фильтр текущего журнала».

Система — фильтр текущего журнала / Кликабельно

После указать дату, уровень события (например, ошибки), и нажать OK.

Критические ошибки

В результате вы увидите отфильтрованный список событий. Ориентируясь по дате и времени вы можете найти именно ту ошибку, которая вас интересует.

Например, на своем подопытном компьютере я нашел ошибку из-за которой он перезагрузился (благодаря коду ошибки и ее подробному описанию — можно найти решение на сайте Microsoft).

Представлены все ошибки по дате и времени их возникновения / Кликабельно

Т.е. как видите из примера — использование журнала событий очень даже помогает в решении самых разных проблем с ПК.

❹

Можно ли отключить журналы событий

Можно! Только нужно ли? (хотя не могу не отметить, что многие считают, что на этом можно сэкономить толику дискового пространства, плюс система более отзывчива и меньше нагрузка на жесткий диск)

Для отключения журналов событий нужно:

открыть «службы» (для этого нажмите Win+R, введите команду services.msc и нажмите OK);

Открываем службы — services.msc (универсальный способ)
далее нужно найти службу «Журнал событий Windows» и открыть ее;

Службы — журналы событий
после перевести тип запуска в режим «отключена» и нажать кнопку «остановить». Затем сохранить настройки и перезагрузить компьютер.

Отключена — остановить

На этом пока всё, удачи!

Первая публикация: 23.03.2019

Корректировка: 14.08.2021

Полезный софт:

Видео-Монтаж

Отличное ПО для создания своих первых видеороликов (все действия идут по шагам!).
Видео сделает даже новичок!

Ускоритель компьютера

Программа для очистки Windows от «мусора» (удаляет временные файлы, ускоряет систему, оптимизирует реестр).

Анализируем журнал ошибок

Итак, как только мы запустили это приложение, на дисплее появляется следующее окошко:

Слева помещён каталог папочек и их разделы. Нам интересен каталог «Журналы Windows». Кликнем по нему ЛКМ. Мы увидим его подразделы и на середине окна нам покажется общая статистика.

Чтобы более подробно провести анализ, нам нужно войти в подкаталог «Система». Вы увидите перечень событий, происходивших на ПК. Их 4 вида: критические, ошибка, предупреждение и сведения. Давайте коротко рассмотрим каждую из них. Про каждую из возможных ошибок я рассказать не могу, так как их большое количество, и они произошли по различным факторам.

Создаем собственный журнал событий в Windows

Как вы знаете, большинство «нормальных» приложений записывают свои события в журнал событий Windows (Application Event Log). Это отличное место для централизованного хранения и просмотра событий приложений, однако зачастую при возникновении необходимости журналировать события от определенного приложения в данном журнале, мы можем столкнуться с тем, что из-за большого количества и чрезмерной подробности событий, работать со стандартным журналом приложений Windows становится очень неудобно. В данном случае было бы удобно создать собственный журнал событий для данного приложения, и для него настраивать различные параметры, такие как размер журнала, фильтры и т.д., а стандартный журнал Application можно использовать как обычно, не засоряя его ненужной информацией. В ОС семейства Windows присутствует функция, позволяющая создать собственный журнал событий.

Сначала создадим новый файл журнала. Сделать это можно при помощи реестра. Запустите редактор реестра regedit и перейдите в ветку:

Щелкните правой кнопкой по узлу Eventlog и создайте новый ключ (New > Key)

Имя ключа в этом случае будет являться и именем нового журнала. По умолчанию новый журнал (файл .evt) создается тут:

Его можно переименовать, изменив строковый параметр в реестре по своему усмотрению.

Далее нужно добавить источники (Sources) событий для нового журнала. Создайте новый ключ типа Multi-String с именем “Sources”, в качестве параметров укажите имена всех приложений, который будут использовать данный журнал (каждое приложение с новой строки).

Затем нужно перенести ассоциации ваших приложений из стандартного журнала Application в ваш новый журнал. Разверните ветку “Application”, находящуюся по адресу:

И скопируйте все ветки, которые относятся к интересуемым Вами приложениям в новый ветку реестра нового журналa:

Т.к. команда скопировать/вставить в редакторе реестра не работает, их можно пересоздать вручную (если их немного), или же можно осуществить перенос при помощи процедуры экспорта/импорта веток реестра с ручным редактирование .reg файла. Убедитесь, что после переноса вы удалили ключи реестра ваших приложений из ветки Application, иначе Windows не поймет, что нужно писать события в новый журнал. В том случае, если вы используете новый источник событий для журнала, нужно будет создать параметр типа DWORD с именем CustomSource и значением равным 1:

В моем примере, я создал собственное приложение .NET 2.0, причем я хочу, чтобы оно записывало события в созданный нами журнал. Для этого я создам новый ключ реестра EventMessageFile и укажу в нем путь к библиотеке журналирования.NET 2.0:

Затем нужно перезагрузить Windows, а после загрузки системы вы увидите новый журнал событий в разделе Event Viewer-а. В том случае, если ваше приложение по какой-либо причине не пишет событий в новый журнал, можно протестировать его работу вручную, откройте командую строку и перейдите в каталог:

В том случае, если вы все сделали правильно должно появиться окно, сообщающее о том, что событие было успешно записан в журнал, либо сообщение об ошибки и причины ее появления.

Update:

Небольшое обновление статьи по письмам читателей:

Вышеприведенная инструкция по созданию собственного журнала ориентирована на серверные ОС семейства Microsoft. Более общий способ, который должен работать в большинстве Windows следующий (отличаются пути в реестре и ключи):

Создаем новый раздел в реестре (имя раздела — имя создаваемого журнала), путь к созданному будет таким:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventlogNewEventLog , в котором нужно создать следующие ключи:

«AutoBackupLogFiles» — тип DWORD, создавать или нет резервные копии журнала (0 — не создавать)
«MaxSize» -тип DWORD, максимальны размер журнала в байтах, значение должно быть кратным 64Кб
«Retention» — тип DWORD, время хранения записей в случае переполнения журнала.
«File» — тип REG_EXPAND_SZ, строка, в которой содержится путь к логу журнала на жестком диске, например %SystemRoot%System32configNewEventLog.evt)
«Sources»- тип REG_MULTI_SZ, здесь указан список источников событий, чьи логи должны попадать в этот журнал, каждый источник с новой строки

голоса

Рейтинг статьи

Как использовать содержимое журнала

Хорошо, теперь мы в курсе, где находится журнал событий и как его открыть, осталось узнать, как его можно использовать. Сразу нужно сказать, что в силу своей специфичности содержащиеся в нем сведения мало что могут поведать обычному пользователю. О чем говорит, к примеру, ошибка «Регистрация сервера {BF6C1E47-86EC-4194-9CE5-13C15DCB2001} DCOM не выполнена за отведенное время ожидания»? Не обладающему соответствующими знаниями юзеру будет непросто определить причину неполадки, с другой стороны, что мешает поискать ответ в Интернете?

Так, описание приведенной выше ошибки имеется на сайте Microsoft и указывает оно на проблемы со SkyDrive, кстати, не представляющие совершенно никакой угрозы. Если вы не пользуетесь этим сервисом, ошибку можно игнорировать или отключить ее источник в «Планировщике заданий». А еще описание ошибки можно отправить разработчику, предварительно сохранив его в файл XML, CSV или TХT.

Также пользователи могут связывать отслеживаемые события с задачами в «Планировщике заданий». Для этого необходимо кликнуть ПКМ по записи, выбрать «Привязать задачу к событию» и создать с помощью запустившегося мастера нужное задание. В следующий раз, когда произойдет такое событие, система сама запустит выполнение задания.