ID d'événement Windows 1013 – Kernel-General : Informations sur le temps de fonctionnement du système

Accédez aux informations de base sur l'événement via l'interface du Visualiseur d'événements Windows :

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 1013 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 1013 pour voir des informations détaillées
6. Consultez l'onglet Général pour les données de disponibilité de base et les horodatages
7. Vérifiez l'onglet Détails pour les données XML brutes contenant des métriques supplémentaires

Utilisez PowerShell pour récupérer et analyser les données de l'ID d'événement 1013 de manière programmatique :

# Obtenez les 10 entrées les plus récentes de l'ID d'événement 1013
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1013} -MaxEvents 10

# Extraire des informations détaillées avec un formatage personnalisé
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1013} -MaxEvents 5 | 
  Select-Object TimeCreated, Id, LevelDisplayName, Message | 
  Format-Table -AutoSize

# Obtenez les événements des 30 derniers jours
$StartDate = (Get-Date).AddDays(-30)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1013; StartTime=$StartDate}

# Exporter les données de disponibilité en CSV pour analyse
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1013} -MaxEvents 50 | 
  Select-Object TimeCreated, Message | 
  Export-Csv -Path "C:\temp\uptime_events.csv" -NoTypeInformation

Pour une analyse avancée, analysez les données XML pour extraire des valeurs de disponibilité spécifiques :

# Analyser les données XML pour des informations précises sur la disponibilité
$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1013} -MaxEvents 10
foreach ($Event in $Events) {
    $XML = [xml]$Event.ToXml()
    $UptimeData = $XML.Event.EventData.Data
    Write-Host "Heure de démarrage : $($Event.TimeCreated)"
    Write-Host "Données de disponibilité : $($Event.Message)"
    Write-Host "---"
}

Mettre en œuvre une surveillance automatisée pour suivre les modèles de disponibilité du système et générer des rapports :

# Créer un script de surveillance de disponibilité complet
function Get-SystemUptimeReport {
    param(
        [int]$Days = 30
    )
    
    $StartDate = (Get-Date).AddDays(-$Days)
    $UptimeEvents = Get-WinEvent -FilterHashtable @{
        LogName='System'
        Id=1013
        StartTime=$StartDate
    } -ErrorAction SilentlyContinue
    
    if ($UptimeEvents) {
        $Report = @()
        foreach ($Event in $UptimeEvents) {
            $Report += [PSCustomObject]@{
                BootTime = $Event.TimeCreated
                Message = $Event.Message
                DayOfWeek = $Event.TimeCreated.DayOfWeek
            }
        }
        return $Report | Sort-Object BootTime -Descending
    }
}

# Générer et afficher le rapport
$UptimeReport = Get-SystemUptimeReport -Days 60
$UptimeReport | Format-Table -AutoSize

# Calculer la disponibilité moyenne entre les redémarrages
if ($UptimeReport.Count -gt 1) {
    $TimeDifferences = @()
    for ($i = 0; $i -lt ($UptimeReport.Count - 1); $i++) {
        $Diff = $UptimeReport[$i].BootTime - $UptimeReport[$i+1].BootTime
        $TimeDifferences += $Diff.TotalHours
    }
    $AverageUptime = ($TimeDifferences | Measure-Object -Average).Average
    Write-Host "Disponibilité moyenne entre les redémarrages : $([math]::Round($AverageUptime, 2)) heures"
}

Combinez les données de l'ID d'événement 1013 avec les événements d'arrêt (1074, 6006, 6008) pour un suivi complet du cycle de vie du système :

# Analyse complète du redémarrage du système
function Get-SystemRestartAnalysis {
    param([int]$Days = 14)
    
    $StartDate = (Get-Date).AddDays(-$Days)
    
    # Obtenez les événements de démarrage (1013)
    $StartupEvents = Get-WinEvent -FilterHashtable @{
        LogName='System'
        Id=1013
        StartTime=$StartDate
    } -ErrorAction SilentlyContinue
    
    # Obtenez les événements d'arrêt (1074, 6006, 6008)
    $ShutdownEvents = Get-WinEvent -FilterHashtable @{
        LogName='System'
        Id=1074,6006,6008
        StartTime=$StartDate
    } -ErrorAction SilentlyContinue
    
    # Combinez et triez tous les événements
    $AllEvents = @()
    
    foreach ($Event in $StartupEvents) {
        $AllEvents += [PSCustomObject]@{
            Time = $Event.TimeCreated
            Type = "Startup"
            EventId = $Event.Id
            Message = $Event.Message
        }
    }
    
    foreach ($Event in $ShutdownEvents) {
        $AllEvents += [PSCustomObject]@{
            Time = $Event.TimeCreated
            Type = "Shutdown"
            EventId = $Event.Id
            Message = $Event.Message
        }
    }
    
    return $AllEvents | Sort-Object Time -Descending
}

# Exécutez l'analyse
$RestartAnalysis = Get-SystemRestartAnalysis -Days 30
$RestartAnalysis | Format-Table Time, Type, EventId, @{Name="Message";Expression={$_.Message.Substring(0,[Math]::Min(80,$_.Message.Length))}} -AutoSize

Créez une tâche planifiée pour exécuter cette analyse chaque semaine :

# Enregistrez une tâche planifiée pour l'analyse hebdomadaire des redémarrages
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\RestartAnalysis.ps1"
$Trigger = New-ScheduledTaskTrigger -Weekly -DaysOfWeek Monday -At 9:00AM
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "Weekly Restart Analysis" -Action $Action -Trigger $Trigger -Settings $Settings -Description "Analyser les modèles de redémarrage du système en utilisant l'ID d'événement 1013"

Implémentez une surveillance au niveau de l'entreprise avec des alertes personnalisées pour les modèles de redémarrage anormaux :

# Script de surveillance avancée avec capacités d'alerte
function Monitor-SystemUptimePatterns {
    param(
        [int]$AlertThresholdHours = 2,
        [string]$SMTPServer = "mail.company.com",
        [string]$AlertEmail = "admin@company.com"
    )
    
    # Obtenez les événements de démarrage récents
    $RecentStartups = Get-WinEvent -FilterHashtable @{
        LogName='System'
        Id=1013
        StartTime=(Get-Date).AddHours(-24)
    } -ErrorAction SilentlyContinue
    
    if ($RecentStartups.Count -gt 3) {
        # Détections de multiples redémarrages
        $AlertMessage = @"
Multiples redémarrages système détectés sur $($env:COMPUTERNAME):

Heures de redémarrage :
$($RecentStartups | ForEach-Object { "- $($_.TimeCreated)" } | Out-String)

Cela peut indiquer une instabilité du système ou une activité de maintenance.
"@
        
        # Envoyer un email d'alerte (configurer les paramètres SMTP si nécessaire)
        try {
            Send-MailMessage -To $AlertEmail -From "monitoring@company.com" -Subject "Multiples Redémarrages Détectés - $($env:COMPUTERNAME)" -Body $AlertMessage -SmtpServer $SMTPServer
            Write-Host "Alerte envoyée pour multiples redémarrages" -ForegroundColor Yellow
        } catch {
            Write-Warning "Échec de l'envoi de l'email d'alerte : $($_.Exception.Message)"
        }
    }
    
    # Vérifiez les redémarrages inattendus (ID d'événement 6008 - arrêt inattendu)
    $UnexpectedShutdowns = Get-WinEvent -FilterHashtable @{
        LogName='System'
        Id=6008
        StartTime=(Get-Date).AddHours(-24)
    } -ErrorAction SilentlyContinue
    
    if ($UnexpectedShutdowns) {
        Write-Warning "Arrêts inattendus détectés au cours des dernières 24 heures : $($UnexpectedShutdowns.Count)"
        $UnexpectedShutdowns | ForEach-Object {
            Write-Host "Arrêt inattendu à : $($_.TimeCreated)" -ForegroundColor Red
        }
    }
}

# Créez une vue personnalisée du journal des événements Windows pour l'ID d'événement 1013
$CustomViewXML = @'

  
    *[System[(EventID=1013)]]
  

'@

# Enregistrez la vue personnalisée dans un fichier
$CustomViewXML | Out-File -FilePath "$env:TEMP\Event1013_CustomView.xml" -Encoding UTF8
Write-Host "XML de vue personnalisée enregistré dans : $env:TEMP\Event1013_CustomView.xml"
Write-Host "Importez ce fichier dans le Visualiseur d'événements sous Vues Personnalisées pour un filtrage facile de l'ID d'événement 1013"

# Exécutez la fonction de surveillance
Monitor-SystemUptimePatterns

Configurez la corrélation du Windows Performance Toolkit (WPT) :

# Corréler l'ID d'événement 1013 avec les données de performance de démarrage
# Nécessite l'installation du Windows Performance Toolkit
function Get-BootPerformanceCorrelation {
    $BootEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1013} -MaxEvents 5
    
    foreach ($Event in $BootEvents) {
        $BootTime = $Event.TimeCreated
        Write-Host "Analyse du démarrage à : $BootTime" -ForegroundColor Green
        
        # Vérifiez les événements de performance liés autour de l'heure de démarrage
        $StartWindow = $BootTime.AddMinutes(-2)
        $EndWindow = $BootTime.AddMinutes(10)
        
        $PerfEvents = Get-WinEvent -FilterHashtable @{
            LogName='Microsoft-Windows-Diagnostics-Performance/Operational'
            StartTime=$StartWindow
            EndTime=$EndWindow
        } -ErrorAction SilentlyContinue
        
        if ($PerfEvents) {
            Write-Host "  Trouvé $($PerfEvents.Count) événements de performance pendant la fenêtre de démarrage"
        }
    }
}

Get-BootPerformanceCorrelation