Поддержка пользователей 03. Диагностика ПК с Windows: журналы, надёжность, sfc и DISM

«После вчерашнего обновления всё глючит», «Word сам закрывается», «компьютер перезагрузился, пока я был на совещании, и несохранённое пропало», «может, просто переустановим Windows?» В таких обращениях нет ни текста ошибки, ни даты. Переустановка кажется быстрым выходом, но стирает следы причины и отнимает у человека полдня на настройку. Поэтому сначала осмотр: от шагов, которые только читают данные, к шагам, которые что-то меняют. У каждого изменения здесь есть страховка и откат.

Что нужно знать заранее

• Как принять заявку и когда передать её выше (там же таблица линий поддержки) — в Поддержка пользователей 01; как подключиться к ПК с согласия пользователя — в Поддержка пользователей 02.
• Событие (event) — запись Windows о том, что произошло. У неё есть время, источник (source, или provider: служба, драйвер или программа, которая её написала), номер Event ID и уровень (level: Critical, Error, Warning, Information). Записи лежат в журналах (logs).
• Линии и пароль администратора. Шаги с пометкой «(вторая линия)» требуют прав администратора: первая линия передаёт их вместе с результатами проверок. Пароль администратора вводят только на компьютере организации, за которым вы сидите лично, и на своей станции при подключении по RDP (удалённый рабочий стол) или PowerShell. В сеансе Быстрой поддержки (Quick Assist), на личном или подозрительном ПК, в чат, по телефону и пользователю его не вводят и не диктуют. Пароль пользователя не просят, не принимают и не вводят; общее правило — в Поддержка пользователей 02.
• Среда в примерах: ПК PC1 (192.168.10.101) сотрудника ivanov в домене lab.example, вы — helpdesk1. Get-WinEvent работает в Windows PowerShell 5.1 и в PowerShell 7.
• Русские названия даны по ru-ru страницам Microsoft (часть — машинный перевод), рядом стоят английские; на вашем экране подписи могут отличаться.

Порядок осмотра

Шаг 1  Что изменилось?      вопросы пользователю, msinfo32
Шаг 2  Что пишет система?   Просмотр событий, Get-WinEvent
Шаг 3  Когда началось?      Монитор надёжности
Шаг 4  Драйверы             откат (вторая линия)
Шаг 5  Страховка            точка восстановления (вторая линия)
Шаг 6  Системные файлы      DISM, затем sfc (вторая линия)
Шаг 7  Изоляция причины     безопасный режим, чистая загрузка (вторая линия)
Шаг 8  Диск                 chkdsk (вторая линия)
Выше   Восстановление системы, затем сброс ПК

Шаги 1–3 ничего не меняют, начинайте с них. Каждый следующий шаг рискованнее предыдущего: переходите к нему, только если прежние не дали ответа.

Шаг 1. Что изменилось и как выглядит ПК

Спросите: когда заметили впервые; что было накануне (программа, обновление, новое устройство, перенос ПК); повторяется всегда или иногда; какой точный текст ошибки; у коллег так же. Если у всех, причина вряд ли в этом ПК: смотрите сеть и сервер (Сети с нуля 10). Текст ошибки и время запишите дословно: по ним потом ищут запись в журнале.

Снимок системы даёт «Сведения о системе» (System Information, msinfo32). Запускайте от имени администратора (вторая линия): через поиск, правая кнопка, «Запуск от имени администратора». Иначе часть драйверов может выглядеть остановленной, хотя работает. В безопасном режиме сведения об оборудовании недоступны. Для заявки сохраните отчёт в текстовый файл (командная строка от имени администратора; каталог должен существовать):

msinfo32 /report C:\Temp\PC1-info.txt

Файл приложите к заявке и удалите с ПК пользователя: в нём описана конфигурация компьютера (практика автора).

Шаг 2. Журналы: что пишет сама система

Откройте «Просмотр событий» (Event Viewer): Win+R, eventvwr.msc. В «Журналах Windows» (Windows Logs) главные два: Application («Приложение») — события программ, System («Система») — события служб, драйверов и самой Windows. Правый клик по журналу и Filter Current Log (на ru-ru странице chkdsk пункт назван «Фильтровать текущий журнал») оставят только нужные источники событий (Event sources).

Как читать: найдите время жалобы, посмотрите записи Critical, Error и Warning рядом с ним, скопируйте в заявку источник, Event ID и текст. Единичные ошибки есть и на здоровом ПК. Значение имеет то, что совпало по времени с жалобой или повторяется (практика автора).

То же из PowerShell быстрее, когда журнал большой: фильтр -FilterHashtable применяется при чтении, поэтому работает быстрее, чем Where-Object. Без прав администратора часть журналов вернёт ошибку доступа. Пример для жалобы «сам перезагрузился»:

$filter = @{
    LogName   = 'System'
    Id        = 41, 1074
    StartTime = (Get-Date).AddDays(-7)
}
Get-WinEvent -FilterHashtable $filter |
    Select-Object TimeCreated, Id, ProviderName |
    Format-Table -AutoSize

Пример вывода (даты и язык зависят от региональных настроек):

TimeCreated          Id ProviderName
-----------          -- ------------
03.11.2026 08:12:40  41 Microsoft-Windows-Kernel-Power
02.11.2026 19:03:05 1074 User32

Событие 41 (источник Microsoft-Windows-Kernel-Power, уровень Critical, журнал System) Windows пишет при следующем запуске после неожиданного выключения: перебоя питания или Stop-ошибки («синего экрана»). Если код ошибки успел записаться, он лежит в данных события в десятичном виде. Ненулевой PowerButtonTimestamp значит, что ПК перезапустили удержанием кнопки питания. Нулевые коды или отсутствие события обычно указывают на питание или оборудование. Но если рядом есть событие 46 (источник volmgr, «Crash dump initialization failed!»), синий экран возможен, просто дамп не записался: проверьте настройки дампа и файла подкачки. Событие 1074 (источник User32) означает, что перезагрузку запросили программа или пользователь, 6006 — штатное выключение, 6008 — «грязное», неожиданное. Полный разбор — в статье Microsoft про событие 41 (она адресована сотрудникам поддержки).

Второй типичный запрос — «программа вылетает». Подставьте имя нужного процесса:

$filter = @{
    LogName      = 'Application'
    ProviderName = 'Application Error'
    Data         = 'winword.exe'
    StartTime    = (Get-Date).AddDays(-2)
}
Get-WinEvent -FilterHashtable $filter |
    Select-Object -First 5 TimeCreated, Id, Message |
    Format-List

Откройте текст событий целиком и приложите его к заявке: по нему вторая линия найдёт модуль, в котором произошёл сбой.

Шаг 3. Монитор надёжности: когда началось

Монитор надёжности (Reliability Monitor) запускается командой perfmon /rel (Win+R или командная строка). Верхняя половина окна — график индекса стабильности по дням. Под ним строки событий: установка и удаление программ (включая компоненты Windows, обновления и драйверы), сбои приложений, сбои оборудования (диск и память), сбои самой Windows. Значок в столбце даты означает, что событие такого типа было; щёлкните по дню, и внизу появятся подробности. История хранится до года.

Монитор отвечает на вопрос «когда началось»: провал индекса в тот день, когда поставили программу или драйвер, — готовая гипотеза для проверки, но не диагноз. Описание архивное (Windows Server 2008, Windows Vista); в Windows 11 подписи могут отличаться.

Шаг 4. Драйверы: откат (вторая линия)

Если проблема началась после установки или обновления драйвера, верните прежний. Нужны права администратора: правой кнопкой по «Пуск», «Диспетчер устройств» (Device Manager), раскройте категорию, правой кнопкой по устройству, «Свойства», вкладка «Драйвер», «Откатить драйвер» (Roll Back Driver). Выберите причину, подтвердите и при запросе перезагрузитесь. Если проблема появилась после обновления драйвера через Windows Update, возврат прежнего часто её устраняет.

Если откат не помог, на том же устройстве выберите «Удалить устройство» (Uninstall device) и перезагрузитесь: Windows попробует установить драйвер заново. Для сетевого и видеоадаптера делайте это только у самого компьютера, не в удалённом сеансе: он может оборваться. Заранее скачайте драйвер производителя; откат — установка его вручную (Поддержка пользователей 06). Версия и разрядность драйвера должны совпадать с вашей Windows. Меняйте одно устройство за раз и проверяйте результат до следующего шага.

Шаг 5. Страховка: точка восстановления (вторая линия)

Точка восстановления — снимок системных файлов, установленных программ, реестра и параметров Windows. Личные файлы она не затрагивает, поэтому заменой резервной копии не служит. Защита системы по умолчанию не включена, хотя включать её рекомендуется. Проверьте: Win+R, systempropertiesprotection.exe. В окне «Свойства системы» на вкладке «Защита системы» выберите «Настроить…», затем «Включить защиту системы», задайте ползунком предельный объём места и нажмите «Применить». Кнопка «Создать…» делает точку вручную; перед шагом 6 создайте её.

Откат делается так: Win+R, rstrui.exe, «Далее», выберите точку (флажок «Показать другие точки восстановления» открывает старые), при желании нажмите «Проверить затронутые программы» и затем «Готово». Windows перезапустится сама. Если система не загружается, средство доступно в среде восстановления Windows (Windows Recovery Environment, WinRE): «Устранение неполадок» (Troubleshoot), «Дополнительные параметры» (Advanced options), «Восстановление системы» (System Restore).

Шаг 6. DISM и sfc: проверка системных файлов (вторая линия)

Эти команды проверяют и чинят системные файлы, а не документы пользователя. sfc /scannow (System File Checker) сверяет все защищённые системные файлы и заменяет повреждённые копией из кэша. DISM (Deployment Image Servicing and Management) работает глубже: он проверяет и чинит хранилище компонентов (component store) — «склад» системных файлов, из которого Windows берёт их для ремонта. Поэтому в пошаговой инструкции Microsoft для Windows 10 и 11 сначала идёт DISM, затем sfc.

Запускайте в командной строке от имени администратора и не закрывайте окно, пока проверка не дойдёт до 100 %. Время заранее не назвать: для DISM в документации сказано «может занять несколько минут», на медленных дисках дольше (практика автора), для sfc срока нет. Предупредите пользователя, подключите ноутбук к питанию, создайте точку восстановления (шаг 5).

DISM.exe /Online /Cleanup-Image /RestoreHealth
sfc /scannow

DISM берёт нужные файлы из Windows Update. Если Windows Update неисправен, источником могут служить работающая копия Windows или папка Windows side-by-side с сетевого ресурса или съёмного носителя (например, установочного DVD): DISM.exe /Online /Cleanup-Image /RestoreHealth /Source:C:\RepairSource\Windows /LimitAccess. Подготовка источника — задача второй линии; если ремонт не находит файлы, передайте заявку с логами.

Результат sfc бывает одним из четырёх:

Подробности пишутся в журнал %windir%\Logs\CBS\CBS.log; журнал DISM по умолчанию — %WINDIR%\Logs\Dism\dism.log. Строки sfc выбирает команда (в cmd):

findstr /c:"[SR]" %windir%\Logs\CBS\CBS.log > "%TEMP%\sfcdetails.txt"

Приложите sfcdetails.txt и dism.log к заявке и удалите файл sfcdetails.txt с ПК пользователя (практика автора).

Шаг 7. Безопасный режим и чистая загрузка (вторая линия)

Оба приёма отвечают на вопрос: «виноваты ли сторонние драйверы, службы и автозапуск?»

Безопасный режим (safe mode) запускает Windows с ограниченным набором файлов и драйверов. Если там проблемы нет, причина не в параметрах по умолчанию и базовых драйверах. Вход: «Параметры», «Система», «Восстановление», «Расширенный запуск» (Advanced startup), «Перезагрузить сейчас». В WinRE выберите «Устранение неполадок», «Дополнительные параметры», «Параметры загрузки» (Startup Settings), «Перезапустить» (на зашифрованном диске нужен ключ BitLocker, см. врезку выше) и клавишу 4 (безопасный режим), 5 (с загрузкой сетевых драйверов) или 6 (с командной строкой). Обратно — обычная перезагрузка; если ПК продолжает грузиться в безопасном режиме, в msconfig на вкладке Boot («Загрузка») снимите флажок Safe boot («Безопасная загрузка»).

Чистая загрузка (clean boot) оставляет только необходимые драйверы и программы автозапуска. Войдите администратором и запустите msconfig (System Configuration, «Конфигурация системы»). На вкладке Services («Службы») включите Hide all Microsoft services («Скрыть все службы Майкрософт»), нажмите Disable all («Отключить все») и «Применить». На вкладке Startup (в ru-ru документации «Запуск», на другой странице «Автозагрузка») нажмите Open Task Manager («Открыть диспетчер задач») и отключите каждый включённый элемент, записывая их список. Закройте диспетчер, нажмите «ОК» и перезагрузитесь. Если проблема исчезла, возвращайте службы и элементы по половине за раз: так причину находят быстрее. Отдельные записи автозапуска проще отключать по одной: Поддержка пользователей 04.

Вернуть всё обратно: в msconfig на вкладке General («Общие») выберите Normal Startup («Обычный запуск»); на вкладке Services снимите Hide all Microsoft services, нажмите Enable all («Включить все») и «Применить»; затем включите в диспетчере задач отключённые элементы, нажмите «ОК» и перезагрузитесь, когда система предложит. Страница Microsoft предупреждает: сетевые политики могут помешать этим шагам, ПК временно потеряет часть функций, а использование «Конфигурации системы» может сделать компьютер непригодным. Практика автора: чистая загрузка выключает и сторонний антивирус, и средства удалённого подключения, поэтому не открывайте почту и сайты, а на корпоративных ПК согласуйте тест с ответственными за безопасность.

Шаг 8. chkdsk: проверка диска (вторая линия)

chkdsk проверяет файловую систему и метаданные тома на логические и физические ошибки. Без параметров он только показывает состояние тома и ничего не исправляет; на работающем системном томе такой запуск может выдать ложные ошибки, потому что том не удаётся заблокировать. Поэтому сообщения без /f — повод сохранить данные и сверить журналы (источники Chkdsk и Wininit в «Просмотре событий», состояние диска — Поддержка пользователей 04), но не диагноз.

С /f ошибки исправляются: том должен быть заблокирован, иначе chkdsk предложит проверку при следующей перезагрузке (для системного диска она так и идёт, после неё ПК перезагрузится сам). С /r добавляется поиск повреждённых секторов и спасение читаемых данных, это включает /f. На больших жёстких дисках /r может идти часами, а частые полные проверки твердотельных накопителей (SSD) слегка, но зря расходуют ресурс записи.

Порядок (практика автора): сначала chkdsk C: без параметров как первый взгляд, затем журналы; chkdsk C: /f — решение после копии данных и согласованного простоя. Отката у исправлений нет, а при ремонте FAT (старой файловой системы флешек и карт памяти) возможна потеря данных, поэтому копия нужна заранее. Прерывать проверку не рекомендуется, хотя том после этого не должен стать хуже. Если ошибки возвращаются, заподозрите сам диск.

Если осмотр не помог: ступени вверх

Варианты восстановления идут от наименее разрушительного: встроенные средства устранения неполадок («Параметры», «Система», «Устранение неполадок», «Другие средства устранения неполадок»), переустановка Windows без потери файлов, приложений и параметров (в новых выпусках Windows 11), удаление недавнего обновления, откат до точки, сброс ПК и, последней, облачная сборка.

• Восстановление системы откатывает системные файлы и параметры, а личные файлы не трогает.
• Восстановление до точки во времени (point-in-time restore, новые выпуски Windows 11) возвращает весь компьютер, включая личные файлы: всё изменённое после выбранной точки будет потеряно.
• Сброс ПК («Вернуть этот компьютер в исходное состояние», Reset this PC) переустанавливает Windows с нуля; личные файлы можно сохранить или удалить всё. Нужны копия данных и, на зашифрованном диске, ключ BitLocker. Программы придётся ставить заново, а для ПК в домене решение согласуйте со второй линией (практика автора).
• Облачная сборка (Cloud rebuild, Windows 11; на ru-ru странице «Облачная сборка») — последняя ступень: свежая копия Windows, удаляются все личные файлы, приложения и параметры. Отката нет: нужны копия данных (врезка «Как сохранить данные пользователя перед рискованным шагом») и ключ BitLocker.

Состояние на ноябрь 2026 года (проверьте актуальность). Windows 10 снята с поддержки 14 октября 2025 года, шаги ориентированы на Windows 11, а в Windows 10 пути в «Параметрах» другие. Переустановка без потери данных описана для Windows 11 версии 22H2 и новее, точка во времени и быстрое машинное восстановление при массовых сбоях загрузки — для 24H2 и новее, облачная сборка — для Windows 11; на вашей версии этих возможностей может не быть. Описание монитора надёжности архивное.

Типичные ошибки и недоразумения

• Переустановка «для верности». Вы теряете журналы и причину, а проблема может вернуться: сначала осмотр.
• Запуск sfc без DISM и без точки восстановления. В инструкции Microsoft сначала идёт DISM, а без точки восстановления у вас нет страховки.
• Вывод «ошибки в журнале, значит, это причина». Ошибки есть и на здоровом ПК; значение имеет совпадение по времени с жалобой и повторяемость.
• chkdsk /f или /r без копии данных. Откатить исправления нельзя; сначала копия и журналы.
• Начало шага без копии данных и ключа BitLocker. Без ключа зашифрованный ПК может оказаться недоступным.
• Чистая загрузка «навсегда». Это диагностика: вернитесь к обычному запуску по шагам из шага 7.
• Ввод пароля администратора или пользователя на чужом ПК. Правило — в Поддержка пользователей 02; нет прав — передайте заявку.

Проверьте себя

1. Почему шаги 1–3 стоит выполнять до sfc и DISM? Они ничего не меняют в системе и показывают, что и когда изменилось; sfc и DISM меняют системные файлы, поэтому идут после, с точкой восстановления и копией данных.
2. Что означает событие 41 с нулевыми кодами? Windows перезапустилась без чистого завершения и код ошибки не записала: в первую очередь проверяйте питание и оборудование, а также событие 46 (volmgr): оно говорит, что дамп не записался, а синий экран возможен.
3. В каком порядке запускают DISM и sfc и что делать, если sfc пишет «could not perform the requested operation»? Для Windows 10 и 11 сначала DISM /Online /Cleanup-Image /RestoreHealth, затем sfc /scannow; при этом сообщении sfc повторяют в безопасном режиме.
4. Чем «Восстановление системы» отличается от «Восстановления до точки во времени»? Первое откатывает системные файлы и параметры, личные файлы не трогает; второе возвращает весь ПК, включая личные файлы (в новых выпусках Windows 11).

Что дальше

• Поддержка пользователей 04. «Компьютер тормозит» — найти узкое место: нагрузка, диск, память, автозагрузка.
• Поддержка пользователей 10. Потеря данных и фишинг — восстановление файлов и действия при заражении.
• Резервное копирование: правило 3-2-1 — как строить копии, чтобы шаги выше были безопасны.
• Windows Server с нуля 10. Обновления: Windows Update и WSUS — как в домене задают обновления, из-за которых начинаются жалобы.

Источники

• Get-WinEvent — ключи -FilterHashtable, пример для Application Error, права администратора
• Описание средства Microsoft System Information (Msinfo32.exe) — запуск от имени администратора, /report, ограничения в безопасном режиме
• perfmon — параметр /rel
• Use Reliability Monitor to Troubleshoot (архив, WS 2008) — график индекса, категории событий, история
• Event ID 41 The system has rebooted without cleanly shutting down first — события 41, 46, 1074, 6006, 6008, коды
• Use the System File Checker tool to repair missing or corrupted system files — порядок DISM и sfc, источник ремонта, сообщения, CBS.log
• DISM global options for command-line syntax — журнал DISM по умолчанию
• System Protection — защита системы выключена по умолчанию, включение и ручное создание точки
• System Restore — rstrui.exe, откат из Windows и из среды восстановления
• How to perform a clean boot in Windows — порядок чистой загрузки и возврата, предупреждения
• Windows startup settings (безопасный режим) — вход через среду восстановления, варианты 4–6, выход
• chkdsk — параметры, поведение, журналы, ограничения
• Recovery options in Windows — порядок вариантов восстановления, сброс ПК, точка во времени
• Update drivers through Device Manager in Windows — откат и переустановка драйвера
• Find your BitLocker recovery key — где искать ключ, идентификатор ключа, что делать без ключа