ID d'événement Windows 6008 – EventLog : Détection d'arrêt système inattendu

Commencez par examiner le journal Système autour de l'heure de l'arrêt inattendu pour identifier les causes potentielles :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Cherchez les entrées avec l'ID d'événement 6008 et notez leurs horodatages
4. Examinez les événements immédiatement avant l'heure de l'arrêt pour des indices :
   • ID d'événement 41 (Kernel-Power) : Indique des problèmes liés à l'alimentation
   • ID d'événement 1001 (BugCheck) : Montre des informations sur l'écran bleu de la mort (BSOD)
   • Événements critiques ou d'erreur provenant des pilotes matériels
5. Utilisez PowerShell pour filtrer les événements pertinents :

Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2,3} | Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-7)} | Sort-Object TimeCreated

Cette méthode fournit un contexte immédiat sur ce qui a causé l'arrêt inattendu.

Utilisez le Moniteur de fiabilité Windows pour obtenir une vue d'ensemble des problèmes de stabilité du système :

1. Appuyez sur Win + R, tapez perfmon /rel, et appuyez sur Entrée
2. Examinez le graphique de fiabilité pour les marques X rouges indiquant des événements critiques
3. Cliquez sur les dates avec des événements critiques pour voir des informations détaillées
4. Recherchez des motifs dans les arrêts inattendus au fil du temps
5. Exportez les données de fiabilité pour analyse en utilisant PowerShell :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=6008} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path "C:\temp\shutdown_events.csv" -NoTypeInformation

Commande alternative pour vérifier les données de fiabilité :

Get-CimInstance -ClassName Win32_ReliabilityRecords | Where-Object {$_.EventIdentifier -eq 6008} | Select-Object TimeGenerated, Message

Cela fournit un contexte historique et aide à identifier les motifs récurrents.

Examinez les journaux liés au matériel et les informations système pour identifier les causes matérielles potentielles :

1. Vérifiez les journaux de l'Architecture des Erreurs Matérielles de Windows (WHEA) :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-WHEA-Logger'} | Select-Object TimeCreated, Id, LevelDisplayName, Message

2. Examinez les événements Kernel-Power pour les problèmes liés à l'alimentation :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Kernel-Power'} | Where-Object {$_.Id -eq 41} | Select-Object TimeCreated, Message

3. Vérifiez la température du système et l'état du matériel à l'aide des outils intégrés :

Get-CimInstance -ClassName Win32_TemperatureProbe
Get-CimInstance -ClassName Win32_Fan
Get-CimInstance -ClassName Win32_Processor | Select-Object Name, CurrentTemperature

4. Examinez les paramètres d'alimentation et la configuration de l'onduleur :

powercfg /query
Get-CimInstance -ClassName Win32_Battery | Select-Object Name, BatteryStatus, EstimatedChargeRemaining

Activez le suivi détaillé des arrêts pour capturer plus d'informations sur les arrêts inattendus futurs :

1. Configurez le suivi des événements d'arrêt via la stratégie de groupe ou le registre :

# Activer le suivi des événements d'arrêt via le registre
Set-ItemProperty -Path "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Reliability" -Name "ShutdownReasonOn" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Reliability" -Name "ShutdownReasonUI" -Value 1 -Type DWord

2. Activez la journalisation détaillée du démarrage et de l'arrêt :

# Activer la journalisation du démarrage
bcdedit /set bootlog yes
# Activer la journalisation des événements d'arrêt
Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" -Name "BootExecute" -Value @("autocheck autochk *", "bootlog")

3. Configurez la collecte automatique des vidages sur incident :

# Configurer le système pour créer des vidages mémoire en cas d'incidents
Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "CrashDumpEnabled" -Value 1
Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "DumpFile" -Value "%SystemRoot%\MEMORY.DMP"

4. Configurez la surveillance des journaux d'événements personnalisés :

# Créer une tâche planifiée pour surveiller l'ID d'événement 6008
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-WinEvent -FilterHashtable @{LogName='System'; Id=6008} | Select-Object -First 1 | Out-File C:\temp\last_unexpected_shutdown.txt"
$Trigger = New-ScheduledTaskTrigger -AtStartup
Register-ScheduledTask -TaskName "Monitor_Unexpected_Shutdowns" -Action $Action -Trigger $Trigger

Déployez une surveillance avancée pour détecter et prévenir de manière proactive les arrêts inattendus :

1. Configurer un script de surveillance basé sur PowerShell :

# Script de surveillance avancée pour les arrêts inattendus
$LogName = "System"
$EventID = 6008
$LastCheck = (Get-Date).AddHours(-24)

$UnexpectedShutdowns = Get-WinEvent -FilterHashtable @{
    LogName = $LogName
    Id = $EventID
    StartTime = $LastCheck
} -ErrorAction SilentlyContinue

if ($UnexpectedShutdowns) {
    $Report = $UnexpectedShutdowns | ForEach-Object {
        [PSCustomObject]@{
            TimeCreated = $_.TimeCreated
            Computer = $_.MachineName
            EventID = $_.Id
            Message = $_.Message
        }
    }
    
    # Envoyer une alerte par email ou enregistrer dans le système de surveillance central
    $Report | Export-Csv -Path "C:\Monitoring\UnexpectedShutdowns_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation
    
    # Optionnel : Envoyer au journal des événements Windows pour une surveillance centralisée
    Write-EventLog -LogName Application -Source "Custom Monitoring" -EventId 1001 -EntryType Warning -Message "Detected $($UnexpectedShutdowns.Count) unexpected shutdowns in the last 24 hours"
}

2. Configurer Windows Performance Toolkit pour une analyse détaillée :

# Installer et configurer WPT pour l'analyse des arrêts
# Télécharger depuis Microsoft et installer Windows Performance Toolkit
# Créer une trace personnalisée pour les événements d'arrêt
wpr -start GeneralProfile -start CPU -start DiskIO

3. Configurer la journalisation centralisée avec un module PowerShell personnalisé :

# Créer une fonction personnalisée pour l'analyse des arrêts
function Analyze-UnexpectedShutdowns {
    param(
        [int]$DaysBack = 30,
        [string]$ComputerName = $env:COMPUTERNAME
    )
    
    $Events = Get-WinEvent -ComputerName $ComputerName -FilterHashtable @{
        LogName = 'System'
        Id = 6008
        StartTime = (Get-Date).AddDays(-$DaysBack)
    } -ErrorAction SilentlyContinue
    
    if ($Events) {
        $Analysis = @{
            TotalEvents = $Events.Count
            FirstOccurrence = ($Events | Sort-Object TimeCreated)[0].TimeCreated
            LastOccurrence = ($Events | Sort-Object TimeCreated -Descending)[0].TimeCreated
            AveragePerDay = [math]::Round($Events.Count / $DaysBack, 2)
            ComputerName = $ComputerName
        }
        
        return [PSCustomObject]$Analysis
    }
}