Архитектура управления питанием и аудит простоев

Событие 1074 логируется в системном журнале System источником USER32 при каждом корректном (штатном) завершении работы или перезагрузке операционной системы. Для ИТ-руководителей и системных администраторов это базовый маркер оценки SLA (Уровня обслуживания). Незапланированная перезагрузка критического сервера (ERP, база данных) в рабочие часы несет прямые бизнес-риски: прерывание финансовых транзакций, отключение пользователей и простой производства.

Анализ данных в событии 1074:

• Процесс-инициатор (Process Name): Указывает, кто отдал команду (например, explorer.exe — ручная перезагрузка из меню Пуск, svchost.exe — установка обновлений, shutdown.exe — скрипт).
• Учетная запись (User): Пользователь или сервисный аккаунт (например, NT AUTHORITY\SYSTEM).
• Причина (Reason Code): Шестнадцатеричный код (например, 0x80020010 — установка патчей) и текстовый комментарий, введенный администратором.

Регламент расследования незапланированных перезагрузок

Сценарий 1: Выгрузка истории перезагрузок для отчета по SLA

Автоматизированный сбор данных о времени и причинах всех перезагрузок сервера за месяц.

# Сбор событий штатной перезагрузки сервера
Get-WinEvent -FilterHashtable @{LogName='System'; ID=1074; StartTime=(Get-Date).AddDays(-30)} | 
    Select-Object TimeCreated, 
    @{N='User';E={$_.Properties[6].Value}}, 
    @{N='Process';E={$_.Properties[0].Value}}, 
    @{N='Reason';E={$_.Properties[5].Value}} | Format-Table -AutoSize

Сценарий 2: Контроль автоматических перезагрузок Windows Update

Если сервер перезагружается сам по себе, чаще всего виновата служба обновлений (TiWorker.exe или svchost.exe).

1. Проверьте наличие события 1074 от имени NT AUTHORITY\SYSTEM с причиной "Установка: Запланировано".
2. Для защиты бизнес-процессов от внезапных простоев настройте GPO: Конфигурация компьютера -> Админ. шаблоны -> Компоненты Windows -> Центр обновления Windows.
3. Включите параметр Не выполнять автоматическую перезагрузку при автоматической установке обновлений... (No auto-restart with logged on users).

Сценарий 3: Отслеживание перезагрузок через скрипты управления ИБП (UPS)

При перебоях электропитания агенты ИБП (например, APC PowerChute) инициируют безопасное выключение. В событии 1074 будет указан процесс агента (например, pcns.exe) с причиной "Отключение электропитания". Это помогает отличить аппаратный инцидент электросети от действий персонала.

Типовые ошибки управления доступностью

• Отсутствие комментариев (Shutdown Tracker): Игнорирование Трекера событий завершения работы (Shutdown Event Tracker). Администраторы часто оставляют дефолтную причину "Другое", что делает невозможным последующий аудит инцидентов и разбор проблем доступности сервисов.