مقدمه

در Windows Server بسیاری از اتفاقات مهم سیستم‌عامل، سرویس‌ها، Driverها، Storage، Network، Shutdown و Restart در Windows Event Log ثبت می‌شوند.

یکی از مهم‌ترین Logها برای عیب‌یابی سرور:

System

است.

Event Viewer ابزار داخلی ویندوز برای مشاهده این Eventها است و Windows Event Log اطلاعات رویدادهای نرم‌افزاری و سخت‌افزاری را به‌صورت متمرکز ثبت می‌کند.

در این آموزش روش بررسی System Log در Windows Server 2025 را از طریق Event Viewer، PowerShell و wevtutil بررسی می‌کنیم.

System Log چیست؟

System Log شامل Eventهایی است که توسط Windows و اجزای سطح سیستم ثبت می‌شوند.

برای مثال می‌توان اطلاعات مربوط به موارد زیر را در این قسمت مشاهده کرد:

• Startup و Shutdown
• Restart غیرمنتظره
• Serviceها
• Driverها
• Disk و Storage
• File System
• Network Adapter
• Windows Time
• Kernel
• Power
• برخی خطاهای سخت‌افزاری

به همین دلیل هنگام Troubleshooting مشکلات Windows Server معمولاً یکی از اولین قسمت‌هایی که باید بررسی شود:

Windows Logs
System

است.

روش اول: باز کردن Event Viewer از Server Manager

در Windows Server می‌توانید از Server Manager وارد Event Viewer شوید.

مسیر:

Server Manager
Tools
Event Viewer

پس از باز شدن Event Viewer، از سمت چپ مسیر زیر را باز کنید:

Event Viewer (Local)
Windows Logs
System

روش دوم: باز کردن Event Viewer از Start

در Start عبارت زیر را جستجو کنید:

Event Viewer

سپس برنامه Event Viewer را اجرا کنید.

بعد وارد:

Windows Logs
System

شوید.

روش سوم: اجرای مستقیم Event Viewer

کلیدهای:

Win + R

را بزنید.

سپس دستور زیر را وارد کنید:

eventvwr.msc

و Enter بزنید.

این روش یکی از سریع‌ترین روش‌ها برای باز کردن Event Viewer است.

ورود به System Log

بعد از باز شدن Event Viewer مسیر زیر را باز کنید:

Event Viewer (Local)
Windows Logs
System

در قسمت مرکزی Eventها نمایش داده می‌شوند.

هر Event شامل اطلاعاتی مانند موارد زیر است:

Event Level چیست؟

Eventهای Windows دارای Levelهای مختلف هستند.

برای Troubleshooting معمولاً ابتدا باید روی موارد زیر تمرکز کنید:

Critical
Error
Warning

اما وجود یک Error به‌تنهایی به این معنی نیست که Server الزاماً مشکل جدی دارد. باید زمان Event، Source، Event ID و Message نیز بررسی شوند.

مشاهده جزئیات یک Event

روی Event موردنظر Double Click کنید.

دو Tab اصلی نمایش داده می‌شود:

General
Details

تب General

در:

General

توضیح قابل خواندن Event نمایش داده می‌شود.

برای مثال ممکن است اطلاعاتی مانند موارد زیر دیده شود:

The service terminated unexpectedly.

یا:

The system has rebooted without cleanly shutting down first.

مهم‌ترین اطلاعاتی که باید ثبت کنید:

Log Name
Source
Event ID
Level
Time Created
Message

تب Details

برای اطلاعات فنی بیشتر وارد:

Details

شوید.

دو حالت وجود دارد:

Friendly View
XML View

حالت XML مخصوصاً هنگام Troubleshooting تخصصی یا ارسال اطلاعات برای پشتیبانی کاربردی است.

فیلتر کردن System Log

روی:

System

کلیک کنید.

از پنل سمت راست:

Filter Current Log...

را انتخاب کنید.

Microsoft نیز برای بررسی Eventها استفاده از Filter Current Log را برای محدود کردن Eventها براساس Source یا مشخصات دیگر توصیه می‌کند.

فیلتر براساس Event Level

در قسمت:

Event level

می‌توانید گزینه‌های زیر را انتخاب کنید:

Critical
Error
Warning
Information
Verbose

برای بررسی خطاهای مهم معمولاً:

Critical
Error
Warning

را انتخاب کنید.

فیلتر براساس زمان

در قسمت:

Logged

می‌توانید Eventها را براساس زمان محدود کنید.

برای مثال:

Last hour
Last 12 hours
Last 24 hours
Last 7 days
Custom range

اگر کاربر اعلام کرده Server ساعت مشخصی Restart شده است، بهتر است Eventهای همان بازه زمانی بررسی شوند.

فیلتر براساس Event ID

در قسمت:

<All Event IDs>

می‌توانید یک یا چند Event ID وارد کنید.

برای مثال:

41,1074,6006,6008

این روش برای بررسی Shutdown و Restart سرور بسیار کاربردی است.

چند Event ID کاربردی در System Log

Event ID باید همراه با Source و Message بررسی شود و نباید صرفاً براساس شماره Event نتیجه‌گیری کرد.

مثال: بررسی Restart ناگهانی Server

فرض کنید Server به‌صورت ناگهانی Restart شده است.

وارد:

Event Viewer
Windows Logs
System

شوید.

سپس:

Filter Current Log

را باز کنید.

در Event ID وارد کنید:

41,1074,6006,6008

سپس زمان رخدادها را بررسی کنید.

اگر:

Event ID 1074

وجود داشته باشد، معمولاً می‌توان Process یا User آغازکننده Shutdown/Restart را در Message بررسی کرد.

اگر:

Event ID 41

و:

Event ID 6008

در همان بازه دیده شوند، باید مواردی مانند Power Failure، Crash، Hypervisor، Reset یا توقف غیرعادی سیستم بررسی شوند.

بررسی خطای Serviceها

برای مشکلات Serviceها می‌توانید System Log را با Source زیر Filter کنید:

Service Control Manager

در:

Event sources

گزینه:

Service Control Manager

را انتخاب کنید.

Eventهای مربوط به Start، Stop و Failure سرویس‌ها نمایش داده خواهند شد.

مثال بررسی Crash یک Service

فرض کنید یک Service مرتب Stop می‌شود.

Eventهایی مانند:

7031
7034

را بررسی کنید.

در General معمولاً نام Service نیز نمایش داده می‌شود.

سپس وضعیت سرویس را بررسی کنید:

Get-Service -Name SERVICE_NAME

برای مثال:

Get-Service -Name W32Time

بررسی خطاهای Disk و Storage

اگر Server با مشکلات Disk، RAID، Storage یا File System مواجه است، System Log را براساس Sourceهای مرتبط بررسی کنید.

ممکن است Sourceهایی مانند موارد زیر مشاهده شوند:

Disk
Ntfs
storahci
stornvme
storport
volmgr

وجود Error یا Warning مکرر از Storage Sourceها باید همراه با Event Message، وضعیت Disk، RAID Controller، Hypervisor و Hardware بررسی شود.

بررسی خطاهای Network

در مشکلات Network نیز System Log می‌تواند اطلاعات مربوط به Adapter، Driver یا TCP/IP را ثبت کند.

به زمان قطعی شبکه توجه کنید و Eventهای همان دقیقه را بررسی کنید.

برای مثال می‌توانید در Event Source به دنبال Componentهای مرتبط با موارد زیر باشید:

Tcpip
Network Adapter
NDIS
DNS Client

Source دقیق بسته به Driver و نسخه Windows متفاوت است.

مرتب‌سازی Eventها

در Event Viewer می‌توانید روی ستون:

Date and Time

کلیک کنید تا Eventها براساس زمان مرتب شوند.

برای Troubleshooting معمولاً بهتر است جدیدترین Eventها در بالا نمایش داده شوند.

پیدا کردن Event مشخص

از سمت راست گزینه:

Find...

را انتخاب کنید.

برای مثال می‌توانید عبارت زیر را جستجو کنید:

disk

یا:

shutdown

یا نام Service:

W32Time

این روش برای Logهای حجیم مفید است.

ایجاد Custom View

اگر مرتباً Eventهای خاصی را بررسی می‌کنید می‌توانید از:

Create Custom View...

استفاده کنید.

برای مثال می‌توانید یک View بسازید که فقط Eventهای زیر را نمایش دهد:

Log: System
Level: Critical, Error, Warning

یا فقط Eventهای یک Service خاص.

مسیر فایل System Log

فایل‌های Event Log به‌صورت پیش‌فرض در مسیر زیر نگهداری می‌شوند:

C:\Windows\System32\winevt\Logs

System Log معمولاً در فایل زیر قرار دارد:

C:\Windows\System32\winevt\Logs\System.evtx

Microsoft نیز مسیر پیش‌فرض Event Logها را در %SystemRoot%\System32\winevt\Logs معرفی می‌کند.

Export گرفتن از System Log

برای ارسال Log به پشتیبانی یا نگهداری نسخه آن:

روی:

System

Right Click کنید.

سپس:

Save All Events As...

را انتخاب کنید.

فرمت پیشنهادی:

.evtx

برای مثال:

System-2026-09-13.evtx

فرمت EVTX اطلاعات کامل Eventها را حفظ می‌کند و برای بررسی تخصصی مناسب‌تر از Screenshot است.

Export با Command Line

می‌توان با wevtutil نیز System Log را Export کرد.

ابتدا Folder بسازید:

New-Item -ItemType Directory -Path C:\EventLogs -Force

سپس:

wevtutil epl System C:\EventLogs\System.evtx

Microsoft اعلام می‌کند wevtutil می‌تواند برای Query، Export، Archive و مدیریت Event Logها استفاده شود و این ابزار روی Windows Server 2025 پشتیبانی می‌شود.

بررسی System Log با PowerShell

برای مشاهده آخرین Eventهای System:

Get-WinEvent -LogName System -MaxEvents 50

Get-WinEvent امکان دریافت Eventها از Logهایی مانند System و Application را فراهم می‌کند و Eventها را به‌صورت پیش‌فرض از جدیدترین به قدیمی‌ترین برمی‌گرداند.

نمایش اطلاعات مهم Eventها

Get-WinEvent -LogName System -MaxEvents 20 |
Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message

برای خوانایی بیشتر:

Get-WinEvent -LogName System -MaxEvents 20 |
Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message |
Format-List

مشاهده Error و Warningهای 24 ساعت اخیر

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    Level = 1,2,3
    StartTime = (Get-Date).AddHours(-24)
} |
Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message

Levelهای مورد استفاده:

1 = Critical
2 = Error
3 = Warning
4 = Information
5 = Verbose

Microsoft برای Queryهای بهینه در Get-WinEvent استفاده از FilterHashtable را توصیه می‌کند و پارامترهایی مانند LogName، ID، Level، StartTime و ProviderName را پشتیبانی می‌کند.

بررسی Event ID مشخص با PowerShell

برای مثال Event ID 41:

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    Id = 41
} -MaxEvents 20

بررسی چند Event ID مربوط به Restart

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    Id = 41,1074,6006,6008
} |
Select-Object TimeCreated, Id, ProviderName, Message |
Format-List

بررسی Service Control Manager

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    ProviderName = 'Service Control Manager'
    StartTime = (Get-Date).AddDays(-1)
} |
Select-Object TimeCreated, Id, LevelDisplayName, Message |
Format-List

مشاهده فقط Errorهای System

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    Level = 2
} -MaxEvents 50

بررسی Log با wevtutil

نمایش آخرین 20 Event:

wevtutil qe System /c:20 /rd:true /f:text

پارامتر:

/rd:true

باعث می‌شود جدیدترین Eventها ابتدا نمایش داده شوند.

مشاهده تنظیمات System Log

wevtutil gl System

با این دستور می‌توانید اطلاعاتی مانند:

enabled
retention
maxSize
logFileName

را مشاهده کنید.

بررسی اندازه Log

در Event Viewer روی:

System

Right Click کنید.

سپس:

Properties

را باز کنید.

موارد مهم:

Log path
Current log size
Maximum log size

همچنین نحوه رفتار هنگام پر شدن Log قابل مشاهده است.

افزایش Maximum Log Size

در Serverهای پرترافیک ممکن است System Log خیلی سریع Overwrite شود.

از:

System
Properties

می‌توانید مقدار:

Maximum log size

را افزایش دهید.

مقدار مناسب به حجم Eventها، فضای Disk و سیاست نگهداری Log سازمان بستگی دارد.

Clear کردن System Log

در شرایط عادی System Log را بدون دلیل پاک نکنید، زیرا ممکن است اطلاعات مهم Troubleshooting از بین برود.

اگر واقعاً نیاز به Clear کردن Log دارید، ابتدا Export تهیه کنید:

wevtutil epl System C:\EventLogs\System-Before-Clear.evtx

سپس می‌توان Log را Clear کرد:

wevtutil cl System

wevtutil به‌صورت رسمی قابلیت Clear کردن Event Log را نیز ارائه می‌کند.

بررسی System Log یک Server دیگر

در Event Viewer می‌توانید از:

Action
Connect to Another Computer...

برای اتصال به Event Log یک Windows Server دیگر استفاده کنید.

برای این کار Account شما باید Permission لازم داشته باشد و ارتباط شبکه و Firewall اجازه Remote Event Log Management را بدهند.

بررسی Remote System Log با PowerShell

برای مثال:

Get-WinEvent -ComputerName SERVER01 -LogName System -MaxEvents 50

برای نمایش اطلاعات مهم:

Get-WinEvent -ComputerName SERVER01 -LogName System -MaxEvents 50 |
Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message

Get-WinEvent امکان دریافت Eventها از Computerهای Remote را نیز فراهم می‌کند.

System Log با Application Log چه تفاوتی دارد؟

اگر مشکل مربوط به خود Application باشد، علاوه بر System Log باید:

Windows Logs
Application

نیز بررسی شود.

هنگام بررسی یک مشکل از کجا شروع کنیم؟

فرض کنید کاربر می‌گوید:

The server restarted at approximately 02:30 AM.

ابتدا زمان دقیق مشکل را مشخص کنید.

سپس:

Event Viewer
Windows Logs
System

را باز کنید.

Filter را روی بازه زمانی همان ساعت قرار دهید و ابتدا موارد زیر را بررسی کنید:

Critical
Error
Warning

سپس Eventهای قبل و بعد از مشکل را نیز مشاهده کنید.

در بسیاری از موارد علت اصلی دقیقاً چند ثانیه یا چند دقیقه قبل از Event نهایی ثبت شده است.

فقط Error نهایی را بررسی نکنید

یکی از اشتباهات رایج این است که فقط آخرین Error بررسی شود.

برای مثال ممکن است Event زیر ثبت شود:

Service terminated unexpectedly

اما علت اصلی چند ثانیه قبل از آن مربوط به:

Disk
Network
Authentication
Dependency
Driver

باشد.

بنابراین همیشه Eventهای قبل و بعد از زمان خطا را نیز بررسی کنید.

چه اطلاعاتی برای پشتیبانی ارسال کنیم؟

برای بررسی دقیق یک مشکل بهتر است اطلاعات زیر ارائه شوند:

Server name
Problem date and time
Event Source
Event ID
Event Level
General message
Related events before and after the error
System.evtx export

اگر فقط یک Event مطرح است، Screenshot بخش:

General

و در صورت نیاز:

Details
XML View

نیز مفید است.

چک‌لیست بررسی System Log

مطالعات بیشتر

مستند رسمی Microsoft درباره Windows Event Logging:

Event Logging — Microsoft Learn

مستند رسمی Microsoft درباره Get-WinEvent:

Get-WinEvent — Microsoft Learn

راهنمای رسمی Microsoft درباره Filter کردن Eventها با FilterHashtable:

Creating Get-WinEvent Queries with FilterHashtable — Microsoft Learn

مستند رسمی Microsoft درباره wevtutil در Windows Server:

wevtutil — Microsoft Learn

جمع‌بندی

برای بررسی System Log در Windows Server مسیر اصلی به شکل زیر است:

Server Manager
Tools
Event Viewer
Windows Logs
System

یا مستقیماً:

eventvwr.msc

برای Troubleshooting ابتدا زمان رخداد مشکل را مشخص کرده و سپس از:

Filter Current Log

برای محدود کردن Eventها براساس:

Time
Level
Source
Event ID

استفاده کنید.

برای بررسی خطاهای مهم ابتدا:

Critical
Error
Warning

را بررسی کنید و روی یک Event ID به‌تنهایی نتیجه‌گیری نکنید؛ Source، Message و Eventهای قبل و بعد از آن نیز اهمیت دارند.

برای بررسی سریع از PowerShell نیز می‌توانید استفاده کنید:

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    Level = 1,2,3
    StartTime = (Get-Date).AddHours(-24)
}

و در صورت نیاز به ارسال Log برای بررسی تخصصی، فایل System Log را با فرمت:

.evtx

Export کنید.