ID d'événement Windows 19 – Kernel-PnP : Événement d'installation ou de configuration de périphérique

Commencez par examiner les entrées spécifiques de l'ID d'événement 19 pour comprendre quels appareils ont déclenché les événements.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 19 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 19 pour voir des informations détaillées
6. Examinez l'onglet Général pour les ID d'instance de périphérique et les identifiants matériels
7. Vérifiez l'onglet Détails pour les données XML contenant des informations spécifiques à l'appareil
8. Notez les modèles de timestamp pour corréler avec les changements matériels ou les activités système

Recherchez des chemins d'instance de périphérique comme PCI\VEN_8086&DEV_1234 ou USB\VID_045E&PID_028E pour identifier des composants matériels spécifiques.

Utilisez PowerShell pour extraire et analyser les données de l'ID d'événement 19 de manière programmatique pour la reconnaissance de motifs et l'analyse en masse.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 19 avec des informations détaillées :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=19} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

3. Pour une analyse plus détaillée, extrayez les données XML des événements :

$Events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=19} -MaxEvents 20
foreach ($Event in $Events) {
    $XML = [xml]$Event.ToXml()
    Write-Host "Time: $($Event.TimeCreated)"
    Write-Host "Message: $($Event.Message)"
    Write-Host "---"
}

4. Filtrez les événements par plages horaires spécifiques pour les corréler avec des changements matériels connus :

$StartTime = (Get-Date).AddDays(-7)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=19; StartTime=$StartTime} | Group-Object Message | Sort-Object Count -Descending

Cette approche aide à identifier les événements de périphérique fréquents et les motifs potentiels indiquant des problèmes matériels.

Corréler les occurrences de l'ID d'événement 19 avec le statut du Gestionnaire de périphériques et la journalisation PnP détaillée pour un dépannage complet des périphériques.

1. Ouvrez Gestionnaire de périphériques en cliquant avec le bouton droit sur Ce PC et en sélectionnant Gérer → Gestionnaire de périphériques
2. Cherchez les périphériques avec des icônes d'avertissement (triangles jaunes) ou des indicateurs d'erreur (croix rouges)
3. Cliquez avec le bouton droit sur les périphériques problématiques et sélectionnez Propriétés → onglet Détails
4. Changez le menu déroulant Propriété en Identifiants de matériel pour correspondre aux identifiants de périphérique de l'ID d'événement 19
5. Activez la journalisation PnP détaillée en modifiant le registre :

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter" -Name "IHVDRIVER" -Value 0xFFFFFFFF -PropertyType DWord -Force

6. Redémarrez le système pour activer la journalisation PnP améliorée
7. Vérifiez le fichier setupapi.dev.log pour des informations détaillées sur l'installation des périphériques :

Get-Content "$env:SystemRoot\inf\setupapi.dev.log" | Select-String -Pattern "Device Install" -Context 5,5

8. Examinez les journaux de l'Architecture des erreurs matérielles de Windows (WHEA) pour les erreurs liées au matériel :

Get-WinEvent -LogName "System" | Where-Object {$_.ProviderName -eq "Microsoft-Windows-WHEA-Logger"}

Effectuez une analyse complète des pilotes et une vérification de la compatibilité matérielle lorsque l'ID d'événement 19 indique des problèmes potentiels de périphérique.

1. Utilisez PowerShell pour énumérer les pilotes installés et leurs versions :

Get-WindowsDriver -Online | Where-Object {$_.Driver -like "*problem_device*"} | Select-Object Driver, Version, Date, ProviderName

2. Vérifiez les pilotes non signés ou problématiques à l'aide du Gestionnaire de périphériques :
3. Appuyez sur Win + X et sélectionnez Gestionnaire de périphériques
4. Cliquez sur Affichage → Afficher les périphériques cachés
5. Développez les catégories de périphériques et recherchez les entrées grisées ou problématiques
6. Vérifiez les signatures des pilotes et l'état des mises à jour :

Get-SystemDriver | Where-Object {$_.State -eq "Running"} | Select-Object Name, State, Status, StartMode | Sort-Object Name

6. Utilisez la vérification du Windows Hardware Compatibility Publisher (WHCP) :

pnputil /enum-drivers | findstr /i "published"

7. Vérifiez l'historique de Windows Update pour les installations récentes de pilotes :

Get-HotFix | Where-Object {$_.Description -like "*Driver*"} | Sort-Object InstalledOn -Descending

8. Examinez les résultats du Vérificateur de fichiers système pour l'intégrité des pilotes :

sfc /scannow

Déployez des techniques de débogage avancées et une surveillance des performances pour les problèmes persistants d'ID d'événement 19 dans les environnements d'entreprise.

1. Activez la traçabilité du Windows Performance Toolkit (WPT) pour une analyse PnP détaillée :

wpr -start GeneralProfile -start CPU -start DiskIO

2. Configurez la traçabilité avancée des événements pour Windows (ETW) pour les événements PnP :

logman create trace "PnPTrace" -p "Microsoft-Windows-Kernel-PnP" 0xFFFFFFFF 0xFF -o C:\Logs\PnPTrace.etl -ets

3. Surveillez les événements PnP en temps réel à l'aide de WPA (Windows Performance Analyzer) :
4. Installez le SDK Windows ou l'ADK Windows pour les outils WPA
5. Capturez les traces ETL lors de l'installation de périphériques ou pendant les périodes problématiques
6. Utilisez Process Monitor pour suivre l'accès au système de fichiers et au registre pendant les opérations PnP :

procmon.exe /AcceptEula /Minimized /BackingFile C:\Logs\PnPActivity.pml

6. Analysez les états de gestion de l'alimentation des périphériques affectant le comportement PnP :

powercfg /devicequery wake_armed
powercfg /requests

7. Créez un script de surveillance PowerShell personnalisé pour le suivi continu de l'ID d'événement 19 :

Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent WHERE EventType = 2" -Action {
    Get-WinEvent -FilterHashtable @{LogName='System'; Id=19} -MaxEvents 1 | 
    Export-Csv -Path "C:\Logs\PnPEvents.csv" -Append -NoTypeInformation
}

8. Mettez en œuvre des paramètres de stratégie de groupe pour le contrôle de l'installation des périphériques dans les environnements de domaine
9. Configurez le transfert d'événements Windows (WEF) pour centraliser la collecte de l'ID d'événement 19 sur plusieurs systèmes