Event ID 6006 EventLog: штатная остановка службы журналов Windows
Описание события Event ID 6006
Событие Event ID 6006: The Event log service was stopped записывается в журнал System непосредственно перед выключением или перезагрузкой сервера. Это прямое свидетельство того, что операционная система была выключена штатно и корректно без внезапной потери питания.
| Параметр | Штатное выключение | Аварийный сбой (BSOD / Питание) |
|---|---|---|
| Наличие Event ID 6006 | Присутствует в конце сессии | Отсутствует (журнал не успел записать событие) |
| Следующее событие старта | Event ID 6005 | Event ID 6008 (Предыдущее выключение было неожиданным) |
| Целостность файловой системы | Данные сброшены на диск | Возможно повреждение транзакций и файлов |
Как найти пользователя или процесс, выключивший сервер (Event ID 6006)
Само по себе событие 6006 сообщает лишь факт остановки. Чтобы узнать, кто именно и почему инициировал перезагрузку, найдите связанное событие USER32 Event ID 1074, которое записывается за несколько секунд до 6006.
- Найдите причину и инициатора выключения через PowerShell:
# Поиск информации о том, кто перезагрузил или выключил сервер:
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074} -MaxEvents 5 | ForEach-Object {
[PSCustomObject]@{
Time = $_.TimeCreated
User = $_.Properties[6].Value
Process = $_.Properties[0].Value
Reason = $_.Properties[2].Value
Comment = $_.Properties[5].Value
}
} | Format-List- Проверьте события установки обновлений Windows (WindowsUpdateClient): если перезагрузка была вызвана автоматическими апдейтами:
# Проверка перезагрузок, вызванных Windows Update (Event ID 19):
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-WindowsUpdateClient'; Id=19} -MaxEvents 5 | Select-Object TimeCreated, MessageСовет: Чтобы предотвратить случайные перезагрузки администраторами в рабочих сессиях, включите политику отображения диалога ввода причины выключения: Конфигурация компьютера > Административные шаблоны > Система > Отображать диалог с запросом причины выключения.
Частые вопросы (FAQ)
Если перед включением сервера нет события 6006, что это значит?
Это означает, что сервер выключился нештатно: пропало электричество, сервер был выключен кнопкой питания, произошел сбой гипервизора или синий экран (BSOD).
Какая утилита позволяет удаленно перезагрузить сервер с записью причины?
Команда shutdown: shutdown /r /m \\ServerName /t 30 /c "Плановое обновление ПО" /d p:4:1.
За сколько секунд до отключения питания пишется Event 6006?
Event 6006 записывается на самом последнем этапе остановки служб, обычно за 1–3 секунды до выгрузки ядра Windows.
Как найти время последней штатной остановки сервера?
Выполните команду: (Get-WinEvent -FilterHashtable @{LogName='System'; Id=6006} -MaxEvents 1).TimeCreated.