Event ID 6005: служба журнала событий запущена — аудит времени загрузки
Описание события Event ID 6005
Событие Event ID 6005: The Event log service was started регистрируется в журнале System при каждом успешном включении сервера или перезапуске службы журналов Windows (EventLog). Это ключевое маркерное событие, обозначающее фактическое время старта операционной системы.
| Событие | Значение | Тип |
|---|---|---|
| Event ID 6005 | Служба EventLog успешно запущена (старт ОС) | Информационное |
| Event ID 6006 | Служба EventLog штатно остановлена (выключение ОС) | Информационное |
| Event ID 6008 | Предыдущее выключение системы было неожиданным (сбой) | Ошибка |
Использование Event ID 6005 для аудита перезагрузок и аптайма
Событие 6005 не является ошибкой и не требует исправления. Однако администраторы используют его для вычисления точного времени доступности сервера и расследования сбоев.
- Получите точный список всех включений сервера за последние 30 дней:
# Вывод истории времени запуска операционной системы:
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005} | Select-Object TimeCreated, Message | Format-Table -AutoSize- Вычисление текущего времени непрерывной работы (Uptime) сервера:
# Скрипт расчета аптайма на основе последнего события 6005:
$lastBoot = (Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005} -MaxEvents 1).TimeCreated
$uptime = (Get-Date) - $lastBoot
[PSCustomObject]@{
LastBootTime = $lastBoot
Days = $uptime.Days
Hours = $uptime.Hours
Minutes = $uptime.Minutes
TotalHours = [math]::Round($uptime.TotalHours, 2)
}- Сопоставление времени старта с предыдущим выключением: проверьте, было ли перед событием 6005 зафиксировано штатное событие 6006 или аварийное событие 6008.
Совет: Если служба EventLog долго не может запуститься при старте Windows, проверьте состояние диска и размер файлов .evtx в каталоге C:\Windows\System32\Winevt\Logs\.
Частые вопросы (FAQ)
Почему событие 6005 появляется несколько раз подряд?
Если администратор вручную перезапускал службу EventLog или применялись тяжелые системные обновления, вызвавшие быстрый перезапуск службы.
Как по событиям 6005 и 6006 понять, сколько времени сервер был выключен?
Вычтите время TimeCreated события 6006 (остановка) из времени последующего события 6005 (старт).
Можно ли отключить запись события 6005?
Нет, служба EventLog регистрирует собственный запуск аппаратно на уровне ядра Windows для обеспечения аудита.
Какое событие ядра фиксирует запуск Windows раньше, чем 6005?
Событие ядра Kernel-General (Event ID 12) фиксирует запуск системного таймера ядра за несколько секунд до старта службы EventLog.