Удаление поврежденных файлов журнала Просмотр событий

В этой статье описывается метод переименования или перемещения этих файлов для устранения неполадок.

Исходный номер базы знаний: 172156

Симптомы

При запуске Windows Просмотр событий может возникнуть одно из следующих сообщений об ошибках, если один из файлов *.evt поврежден:

Дескриптор недопустим

Доктор Уотсон Services.exe
Исключение: нарушение доступа (0xc0000005), адрес: 0x76e073d4

При нажатии кнопки "ОК " или "Отмена" в сообщении об ошибке доктора Уотсона также может появиться следующее сообщение об ошибке:

Просмотр событий
Сбой удаленного вызова процедуры

Процесс services.exe может использовать высокий процент использования ЦП.

Причина

Файлы журнала Просмотр событий (Sysevent.evt, Appevent.evt, Secevent.evt) всегда используются системой, предотвращая удаление или переименование файлов. Служба EventLog не может быть остановлена, так как она требуется другим службам, поэтому файлы всегда открыты.

Решение

Важно!

В этот раздел, описание метода или задачи включены действия, содержащие указания по изменению параметров реестра. Однако неправильное изменение параметров реестра может привести к возникновению серьезных проблем. Поэтому убедитесь, что вы внимательно выполните следующие действия. Для дополнительной защиты создайте резервную копию реестра перед его изменением. В этом случае реестр можно восстановить, если возникнет проблема. Дополнительные сведения см. в статье "Резервное копирование и восстановление реестра в Windows"

Секция NTFS

1. Нажмите кнопку "Пуск", наведите указатель на параметры, выберите панель управления и дважды щелкните "Службы".

2. Выберите службу EventLog и выберите "Запуск". Измените тип запуска на "Отключено", а затем нажмите кнопку "ОК". Если вы не можете войти на компьютер, но можете получить доступ к реестру удаленно, можно изменить значение запуска в следующем разделе реестра на 0x4: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog

3. Перезапустите Windows.

   Примечание.

   При запуске системы может произойти сбой нескольких служб; Сообщение, информирующее пользователя об использовании Просмотр событий для просмотра ошибок, может появиться.

4. Переименуйте или переместите поврежденный файл *.evt из следующего расположения: %SystemRoot%\System32\Config

5. В средстве служб панель управления повторно включите службу EventLog, задав ее значение по умолчанию для автоматического запуска или измените значение запуска реестра обратно на 0x2.

Раздел FAT (альтернативный метод)

1. Загрузите запрос MS-DOS с помощью загрузочного диска DOS.

2. Переименуйте или переместите поврежденный файл *.evt из следующего расположения: %SystemRoot%\System32\Config

3. Удалите диск и перезапустите Windows.

При перезапуске Windows файл журнала событий будет повторно создан.