Event ID 60002 EventLog: сбой восстановления файла журнала событий
Симптомы повреждения файла журнала (Event ID 60002)
В журнале System фиксируется ошибка Event ID 60002: The Event log service encountered an error while recovering the log [Имя_Журнала.evtx]. The file is corrupt and could not be reconstructed от источника EventLog.
| Симптом | Описание проблемы |
|---|---|
| Сбой открытия журнала в Event Viewer | Ошибка «Файл журнала событий поврежден» (The event log file is corrupted) |
| Остановка записи новых событий | События аудита или системные логи перестают фиксироваться на сервере |
| Ошибки дискового ввода-вывода (I/O) | Наличие сопутствующих ошибок NTFS / Disk / StorAHCI в журнале |
Пошаговое восстановление поврежденного журнала (Event ID 60002)
Ошибка возникает при некорректном завершении работы сервера, когда транзакционный заголовок бинарного файла .evtx был поврежден в момент записи на диск.
- Проверьте системный раздел диска на наличие файловых ошибок:
# Проверка системного раздела C: с исправлением ошибок файловой структуры:
chkdsk C: /f /r(Подтвердите нажатием Y и выполните перезагрузку сервера для проведения проверки).
- Очистите поврежденный журнал с помощью системной утилиты wevtutil:
# Принудительная очистка поврежденного журнала (например, Application или System):
wevtutil cl Application
wevtutil cl System
wevtutil cl Security- Ручная замена битого файла .evtx (если wevtutil выдает ошибку доступа):
# В командной строке PowerShell от имени Администратора:
Stop-Service -Name EventLog -Force -ErrorAction SilentlyContinue
# Переименование поврежденного файла (пример для Application.evtx):
$logFile = "C:\Windows\System32\Winevt\Logs\Application.evtx"
Rename-Item -Path $logFile -NewName "Application.corrupt.evtx" -Force
# Запуск службы заново (файл создастся с нуля автоматически):
Start-Service -Name EventLogВнимание: Если ошибки 60002 появляются регулярно для разных файлов журналов, немедленно проверьте аппаратное здоровье накопителя SSD/HDD (SMART-атрибуты и статус RAID-контроллера).
Частые вопросы (FAQ)
Можно ли прочитать записи из поврежденного файла Application.corrupt.evtx?
Штатная оснастка Windows может не открыть такой файл. Для восстановления части записей используйте специализированные утилиты форензики (например, EvtxECmd от Eric Zimmerman).
Почему файлы журналов .evtx повреждаются?
Файлы EVTX используют сложную структуру чанков и контрольных сумм заголовков. Внезапное пропадание питания или зависание контроллера хранилища в момент сброса буфера ломает заголовок файла.
Как восстановить все каналы журналов по умолчанию?
Используйте команду wevtutil el для получения списка всех каналов и wevtutil cl <имя_канала> для их сброса.
Влияет ли ошибка 60002 на загрузку Windows?
Если поврежден журнал System или Security, сервер может загружаться с существенными задержками, пока служба пытается восстановить целостность заголовков.