كيفية التحقق من أوقات بدء تشغيل وإيقاف تشغيل نظام التشغيل ويندوز في عارض الأحداث

استخدم عارض الأحداث للتحقق من وقت بدء تشغيل نظام ويندوز ووقت بدء إيقاف تشغيله. أنشئ عرضًا مخصصًا لسجل النظام، وقم بتصفية معرفات الأحداث 12 و13 و6005 و6006 و6008 و1074. يسجل ويندوز هذه الأحداث تلقائيًا، لذا لا حاجة لتثبيت برنامج تسجيل منفصل. تصف هذه الإدخالات نشاط نظام التشغيل وخدمة الأحداث، ولكنها لا تُحدد دائمًا اللحظة الدقيقة التي ضغط فيها المستخدم على زر الطاقة.

ما هي أحداث نظام التشغيل Windows التي تُظهر بدء التشغيل والإيقاف؟

قم بتصفية سجلات ويندوز > سجل النظام، ثم تحقق من مصدر كل حدث بالإضافة إلى معرّفه. تحذر مايكروسوفت من أن معرّف الحدث قد يُستخدم من قِبل مصادر مختلفة، لذا فإن المعرّف وحده لا يكفي لتحديد الحدث.

لإعادة تشغيل سليمة، يمكن أن تساعد الأحداث 1074 و13 في توضيح تسلسل طلب إعادة التشغيل وإيقاف التشغيل. أما الأحداث 41 من Kernel-Power و6008 فقد تشير إلى إيقاف تشغيل لم يكتمل بشكل طبيعي، كما هو الحال بعد عطل أو انقطاع التيار الكهربائي. تساعد هذه السجلات في تحديد التسلسل الزمني للأحداث، لكنها لا تُعدّ تشخيصًا كاملاً بحد ذاتها.

أنشئ عرضًا مخصصًا لسجلات بدء التشغيل والإيقاف

يحفظ عارض الأحداث سجل النظام في قائمة واحدة تضم العديد من الإدخالات غير المترابطة. تتيح لك خاصية العرض المخصص حفظ عامل التصفية للعودة إلى الأحداث ذات الصلة دون الحاجة إلى إعادة ضبط الإعدادات.

1. افتح قائمة ابدأ ، واكتب "عارض الأحداث" ، ثم اضغط على مفتاح الإدخال. في الجزء الأيسر، قم بتوسيع " سجلات ويندوز" وحدد "النظام" .

2. انقر بزر الماوس الأيمن على " طرق العرض المخصصة" واختر " إنشاء طريقة عرض مخصصة" . يمكنك أيضًا استخدام أمر "إنشاء طريقة عرض مخصصة" في "عارض الأحداث" عندما يكون متاحًا في جزء "الإجراءات".
3. في قائمة "السجلات" ، حدد "أي وقت" لتضمين جميع الأحداث المحفوظة، أو اختر فترة أقصر أو نطاقًا مخصصًا. ضمن " حسب السجل" ، حدد "سجلات Windows" ثم "النظام" .

4. في حقل مُعرّف الحدث، أدخل 12، 13، 6005، 6006، 6008، 1074. اترك مربعات مستوى الحدث غير مُحدّدة لتجنّب تضييق نطاق الفلتر حسب مستوى الخطورة. أبقِ إعداد المستخدم على الوضع الافتراضي ليشمل جميع المستخدمين إلا إذا كان تقريرك يتطلّب حسابًا مُحدّدًا. انقر فوق " موافق" .

5. أعطِ العرض اسمًا واضحًا، مثل "بدء التشغيل والإيقاف" ، ويمكنك إضافة وصف اختياريًا. ثم انقر على "موافق" مرة أخرى. سيظهر العرض المحفوظ ضمن "العروض المخصصة".

اقرأ الطوابع الزمنية وتحقق من الإدخالات المفقودة

حدد العرض المحفوظ، ثم راجع أعمدة التاريخ والوقت ، والمصدر ، ومعرّف الحدث . رتّب النتائج حسب الوقت لإنشاء تسلسل. انقر نقرًا مزدوجًا على أي عنصر لفتح خصائصه وقراءة الرسالة كاملة؛ على سبيل المثال، يصف حدث Kernel-General رقم 12 بدء تشغيل نظام التشغيل. قارن المصدر والرسالة بمعرّف الحدث بدلًا من افتراض أن كل نتيجة تحمل رقمًا مطابقًا تعني الشيء نفسه.

إذا رأيت الحدث 6008 أو 41، فراجع السجلات المجاورة مثل 1074 و13 و1001 لمزيد من المعلومات حول بدء التشغيل التالي أو احتمال حدوث عطل. عدم وجود الحدث 6006 لا يعني بالضرورة أن نظام ويندوز لم يُغلق أبدًا؛ فقد يؤدي إيقاف التشغيل المتقطع أو طريقة إعادة التشغيل أو الكتابة فوق سجل النظام إلى تغيير ما تبقى من البيانات. يحتفظ ويندوز بالأحداث فقط حتى يصل السجل إلى حجمه وسلوك الاحتفاظ المُحددين، لذا قد لا تكون السجلات القديمة موجودة.

قم بتصدير سجلات الأحداث إلى ملف CSV أو XML

بعد تحديد العرض المخصص، اختر " حفظ جميع الأحداث في العرض المخصص باسم" من جزء "الإجراءات" (أو الأمر المقابل من قائمة السياق الخاصة بالعرض). اختر CSV لجدول بيانات، أو XML لبيانات الأحداث المنظمة، أو EVTX إذا كنت ترغب في الاحتفاظ بملف سجل أحداث أصلي للمراجعة لاحقًا. احفظ الملف باسم وصفي، مثل startup-shutdown.csv .

يوجد أمر مشابه يحمل اسم "تصدير العرض المخصص" . يحفظ هذا الأمر تعريف عامل التصفية كملف XML، مما يسمح باستيراد العرض إلى مكان آخر؛ ولكنه لا يُصدّر سجلات الأحداث المطابقة. لتصدير السجلات، استخدم " حفظ جميع الأحداث في العرض المخصص باسم" . في برنامج Excel أو أي برنامج جداول بيانات آخر، تأكد من استيراد عمودَي التاريخ والوقت كتواريخ قبل فرز البيانات أو حساب الفترات الزمنية.

مراجع مايكروسوفت

• مايكروسوفت ليرن: استكشاف أخطاء إعادة التشغيل غير المتوقعة وإصلاحها باستخدام سجلات أحداث النظام
• Microsoft Learn: Get-WinEvent