โฟลเดอร์บันทึกอยู่ใน Windows ที่ไหน

คุณเคยสงสัยไหมว่า Windows เก็บข้อมูลทั้งหมดเกี่ยวกับสิ่งที่เกิดขึ้นในระบบไว้ที่ไหน? ไฟล์บันทึก (Log files) เปรียบเสมือนนักสืบส่วนตัวของระบบปฏิบัติการพวกมันจะแจ้งเตือนเราเกี่ยวกับข้อผิดพลาด การติดตั้ง การเปลี่ยนแปลง ฮาร์ดแวร์และแม้แต่การปิดระบบที่ไม่คาดคิด ไม่ว่าคุณจะเป็นผู้ใช้ทั่วไปที่อยากรู้อยากเห็น ผู้ที่ต้องการแก้ไขปัญหา หรือมืออาชีพที่ต้องการตรวจสอบสิ่งที่เกิดขึ้น การรู้ว่าไฟล์เหล่านี้อยู่ที่ไหนนั้นเป็นสิ่งสำคัญ

ในบทความนี้ ผมจะอธิบายอย่างชัดเจนและละเอียดถี่ถ้วนเกี่ยวกับเส้นทางของโฟลเดอร์บันทึกและประเภทของไฟล์บันทึกที่ Windows สร้างขึ้นในสถานการณ์ต่างๆคุณจะสามารถค้นหาบันทึกที่คุณต้องการได้อย่างรวดเร็ว ไม่ว่าจะเป็นบันทึกการติดตั้ง เหตุการณ์ของระบบ ข้อผิดพลาดร้ายแรง และอื่นๆ อีกมากมาย ผมจะบอกวิธีเข้าถึงบันทึกเหล่านั้นและเหตุผลที่การอ่านบันทึกเหล่านั้นมีประโยชน์ ที่นี่คุณจะพบข้อมูลที่ทันสมัยที่สุด โดยผสมผสานสิ่งที่ดีที่สุดจากเอกสารอย่างเป็นทางการเข้ากับเคล็ดลับเชิงปฏิบัติ

เหตุใดไฟล์บันทึก Windows จึงมีความสำคัญมาก?

ไฟล์บันทึกใน Windows ทำหน้าที่เป็นบันทึกรายละเอียดของทุกสิ่งที่เกิดขึ้นภายในระบบปฏิบัติการ ไฟล์เหล่านี้มีความสำคัญอย่างยิ่งต่อการวินิจฉัยปัญหา การแก้ไขข้อผิดพลาดที่ซับซ้อน และการตรวจสอบความปลอดภัยหรือการวิเคราะห์ทางนิติวิทยาศาสตร์ทุกครั้งที่ระบบได้รับการติดตั้ง อัปเดต บูตเครื่อง หรือเกิดความล้มเหลว ระบบจะทิ้งร่องรอยไว้ในรูปแบบของไฟล์บันทึก สิ่งนี้ช่วยให้ทั้งผู้ใช้ขั้นสูงและช่างเทคนิคสามารถระบุสาเหตุหลักของปัญหา ตรวจจับการเปลี่ยนแปลง และตรวจสอบความสมบูรณ์ของระบบได้

ตำแหน่งโฟลเดอร์บันทึกหลักใน Windows

ระบบปฏิบัติการ Windows ไม่ได้จัดเก็บไฟล์บันทึกไว้ในโฟลเดอร์เดียว แต่จะกระจายไปยังตำแหน่งต่างๆ ขึ้นอยู่กับเวอร์ชันของระบบ ประเภทของเหตุการณ์ และขั้นตอนการติดตั้ง ต่อไปนี้คือสรุปเส้นทางที่เกี่ยวข้องมากที่สุดสำหรับสถานการณ์ต่างๆ:

1. ไฟล์บันทึกระหว่างการติดตั้ง Windows

การติดตั้ง Windows เป็นช่วงเวลาหนึ่งที่สร้างไฟล์บันทึก (log file) มากที่สุด ไฟล์บันทึกเหล่านี้ช่วยให้สามารถวิเคราะห์ปัญหาที่เกิดขึ้นระหว่างกระบวนการได้อย่างละเอียดโฟลเดอร์และไฟล์จะแตกต่างกันไปตามขั้นตอนการติดตั้ง:

• ก่อนที่จะติดตั้งสามารถเข้าถึงฮาร์ดไดรฟ์ได้:
  X:\Windows\panther\ (ในกรณีที่ X (โดยปกติจะหมายถึงไดรฟ์ชั่วคราวที่ใช้ในสภาพแวดล้อม WinPE) นี่เป็นที่ที่บันทึกเริ่มต้นจะถูกจัดเก็บก่อนการติดตั้ง Windows บนดิสก์จริง
• ระหว่างการตั้งค่าหลังจากเข้าถึงดิสก์:
  %WINDIR%\Panther\ (โดยปกติ C:\Windows\Panther\). ที่นี่บันทึกไว้ การตั้งค่าบันทึก y setuperr.logสิ่งสำคัญคือต้องเข้าใจว่าการติดตั้งเป็นไปด้วยดีหรือมีข้อผิดพลาดร้ายแรงเกิดขึ้น
• การติดตั้งอุปกรณ์ Plug & Play:
  %WINDIR%\Inf\Setupapi.log สำหรับเวอร์ชันเก่า ในระบบที่ทันสมัย ​​เวอร์ชันที่เกี่ยวข้องคือ setupapi.dev.log y บันทึกการตั้งค่า api.app.log.
• ข้อผิดพลาดของหน่วยความจำหรือการหยุดทำงานที่ร้ายแรง:
  %WINDIR%\Memory.dmp (ดัมพ์เต็ม) และ %WINDIR%\Minidump\ (มินิดัมพ์) บันทึกเหล่านี้รวบรวมข้อมูลหลังจากหน้าจอสีน้ำเงินหรือระบบขัดข้องร้ายแรง
• บันทึกการเตรียมระบบ:
  %WINDIR%\System32\Sysprep\Panther\ สำหรับบันทึกของกระบวนการจัดเตรียมภาพ

บันทึกตามขั้นตอนการติดตั้ง

บันทึกอาจอยู่ในเส้นทางที่แตกต่างกันขึ้นอยู่กับขั้นตอนของกระบวนการติดตั้ง นี่คือสรุป:

• เฟสดาวน์สตรีม (ก่อนการติดตั้งจากระบบอื่น) :
  • C:\WINDOWS\setupapi.log
  • C:$WINDOWS.~BT\Sources\Panther\setupact.log
  • C:$WINDOWS.~BT\Sources\Panther\setuperr.log
  • C:$WINDOWS.~BT\Sources\Panther\miglog.xml
  • C:$WINDOWS.~BT\Sources\Panther\PreGatherPnPList.log
• เฟส Windows PE (สภาพแวดล้อมก่อนการติดตั้ง):
  • X:$WINDOWS.~BT\Sources\Panther\setupact.log
  • X:$WINDOWS.~BT\Sources\Panther\setuperr.log
  • X:$WINDOWS.~BT\Sources\Panther\miglog.xml
  • X:$WINDOWS.~BT\Sources\Panther\PreGatherPnPList.log
• เฟสกำหนดค่าออนไลน์ (ขั้นแรก รองเท้า):
  • C:\WINDOWS\PANTHER\setupact.log
  • C:\WINDOWS\PANTHER\setuperr.log
  • C:\WINDOWS\PANTHER\miglog.xml
  • C:\WINDOWS\INF\setupapi.dev.log
  • C:\WINDOWS\INF\setupapi.app.log
  • C:\WINDOWS\Panther\PreGatherPnPList.log
  • C:\WINDOWS\Panther\PostGatherPnPList.log
• เฟสต้อนรับ Windows:
  • C:\WINDOWS\Performance\Winsat\winsat.log
• ขั้นตอนการย้อนกลับ (ความล้มเหลวระหว่างการอัปเดตและพยายามย้อนกลับ):
  • C:$WINDOWS.~BT\Sources\Panther\setupact.log
  • C:$WINDOWS.~BT\Sources\Panther\miglog.xml
  • C:$WINDOWS.~BT\Sources\Panther\setupapi\setupapi.dev.log
  • C:$WINDOWS.~BT\Sources\Panther\setupapi\setupapi.app.log
  • C:$WINDOWS.~BT\Sources\Panther\PreGatherPnPList.log
  • C:$WINDOWS.~BT\Sources\Panther\PostGatherPnPList.log

หมายเหตุ:เส้นทางอาจแตกต่างกันเล็กน้อย ขึ้นอยู่กับเวอร์ชันของ Windows และตัวอักษรไดรฟ์ที่ทำการติดตั้ง

2. ไฟล์บันทึกสำหรับการติดตามเหตุการณ์ระบบ

โปรแกรมEvent Viewerเป็นเครื่องมือที่ดีที่สุดสำหรับการดูบันทึกระบบโปรแกรมนี้ช่วยให้คุณดูเหตุการณ์ที่เกี่ยวข้องกับแอปพลิเคชัน ความปลอดภัย ระบบ การติดตั้ง และอื่นๆ อีกมากมายเป็นสิ่งจำเป็นสำหรับการวินิจฉัยและการตรวจสอบ

• วิธีเปิด Event Viewer ใน Windows:
  1. คลิกปุ่มเริ่มแล้วพิมพ์ ตัวแสดงเหตุการณ์ o แสดงเหตุการณ์.
  2. จาก ผู้ดูแลเซิร์ฟเวอร์ บน Windows Server: ไปที่ เครื่องมือ > เครื่องมือแสดงเหตุการณ์.
• หมวดหมู่หลักภายใน Event Viewer:
  • แอปพลิเคชัน: บันทึกที่สร้างขึ้นจากโปรแกรม
  • การรักษาความปลอดภัย: บันทึกการตรวจสอบ การเข้าสู่ระบบ การอนุญาต ฯลฯ
  • Sistema: กิจกรรมของ ไดรเวอร์, ความล้มเหลวของฮาร์ดแวร์และการบริการ
  • การติดตั้ง: ข้อมูลเกี่ยวกับการติดตั้งแอพพลิเคชันหรือส่วนประกอบ
  • กิจกรรมที่ส่งต่อ: บันทึกที่ได้รับจากคอมพิวเตอร์หรือเซิร์ฟเวอร์อื่น

แต่ละหมวดหมู่จะช่วยให้คุณค้นหาและวิเคราะห์เหตุการณ์เฉพาะได้ตัวอย่างเช่น หากคุณพยายามค้นหาว่าไฟฟ้าดับโดยไม่คาดคิดเกิดขึ้นเมื่อใดและเพราะเหตุใด คุณควรเน้นที่ส่วน 'ระบบ' ซึ่งมักพบเหตุการณ์สำคัญที่เกี่ยวข้องกับการเริ่มต้นใหม่หรือการปิดระบบอย่างกะทันหัน

3. บันทึกการวินิจฉัยและการแก้ไขปัญหา

เมื่อคุณต้องการแก้ไขปัญหา ไฟล์บันทึก (log files) จะเป็นตัวช่วยที่ดีที่สุดของคุณเพราะคุณสามารถตรวจจับข้อผิดพลาด คำเตือน ข้อความแจ้งข้อมูล และเหตุการณ์สำคัญต่างๆ ได้ ไฟล์เหล่านี้ประกอบด้วยเวลา คำอธิบาย และรายละเอียดทางเทคนิคของสิ่งที่เกิดขึ้น ข้อความประเภทต่อไปนี้มีความสำคัญเป็นพิเศษ:

• ข้อผิดพลาด: บ่งชี้ถึงข้อผิดพลาดที่สำคัญ เช่น ไดรเวอร์ไม่สามารถโหลดได้ หรือแอปพลิเคชันปิดลงโดยไม่คาดคิด
• คำเตือน: มันบ่งชี้ถึงปัญหาที่อาจเกิดขึ้น แต่ไม่ได้ป้องกันการทำงาน
• ข้อมูล: ข้อความแจ้งผลการดำเนินงานสำเร็จ
• สำคัญ: รายงานปัญหาที่ร้ายแรง เช่น การปิดระบบที่ไม่เหมาะสมหรือการสูญเสียข้อมูล

ตัวอย่างที่เป็นรูปธรรม:หากเซิร์ฟเวอร์ปิดตัวลงเนื่องจากไฟฟ้าดับ ระบบจะสร้างเหตุการณ์ระดับ 'วิกฤต' ในบันทึกระบบ ซึ่งรวมถึงวันที่และเวลาที่เกิดเหตุอย่างแม่นยำ ทำให้คุณสามารถระบุสาเหตุและช่วงเวลาที่เกิดความล้มเหลวได้อย่างถูกต้อง

หากต้องการดูรายละเอียด เพียงดับเบิ้ลคลิกที่เหตุการณ์ใดก็ได้ใน Event Viewer หน้าต่างที่มีข้อมูลทางเทคนิคทั้งหมดจะปรากฏขึ้นซึ่งมีประโยชน์มากสำหรับการระบุและแก้ไขปัญหา ตรวจสอบการใช้งานคอมพิวเตอร์ และแม้กระทั่งตรวจจับช่องโหว่ด้านความปลอดภัยที่อาจเกิดขึ้น

วิธีการส่งออกและวิเคราะห์ไฟล์บันทึก

บางครั้งคุณอาจต้องส่งออกไฟล์บันทึกเพื่อนำไปวิเคราะห์ในคอมพิวเตอร์เครื่องอื่น หรือส่งให้ฝ่ายสนับสนุนด้านเทคนิค ระบบปฏิบัติการ Windows อนุญาตให้คุณบันทึกไฟล์บันทึกในรูปแบบต่างๆ (ข้อความ, XML, CSV) โดยใช้ยูทิลิตี้บางตัว:

• จาก Event Viewer:
  1. เปิด Event Viewer และเลือกบันทึกที่ต้องการ (ตัวอย่าง: ระบบ)
  2. ในแผงด้านขวา เลือก บันทึกเหตุการณ์เป็น…
  3. เลือกตำแหน่งและประเภทไฟล์ (EVTX, XML, TXT, CSV)
• ตลอด คำสั่ง บนบรรทัดคำสั่ง:คุณสามารถใช้เครื่องมือเช่น เวฟตูทิล o เทรเซอร์ปต์ เพื่อดัมพ์บันทึกเฉพาะ เช่น:

  วิธีใช้ /lf C:\windows\panther\setup.etl

  Tracerpt /l C:\windows\panther\setup.etl

โฟลเดอร์รีจิสทรีอื่น ๆ ที่เกี่ยวข้องใน Windows

นอกเหนือจากบันทึกการติดตั้งและบันทึกระบบแล้ว Windows ยังสร้างไฟล์ในตำแหน่งอื่นๆ ตามเหตุการณ์ต่างๆ อีกด้วย :

• C:\Windows\Logs\ซีบีเอส\: : บันทึกการอัปเดตและการซ่อมแซมจะถูกบันทึกไว้ที่นี่ ซึ่งเป็นสิ่งสำคัญเมื่อมีปัญหาเกิดขึ้น windows Update.
• C:\Windows\ประสิทธิภาพ\Winsat\winsat.log:ผลการทดสอบประสิทธิภาพที่ดำเนินการโดยใช้ Windows System Assessment Tool
• C:\Windows\System32\Winevt\บันทึก\:โฟลเดอร์ที่ประกอบด้วยไฟล์ทางกายภาพของบันทึกทั้งหมดที่ดูจาก Event Viewer โดยแต่ละบันทึกจะเป็นไฟล์ .evtx

โปรแกรมและบริการเฉพาะบางอย่างยังเขียนบันทึกของตัวเองลงในโฟลเดอร์การติดตั้งหรือไดเร็กทอรีชั่วคราวด้วย

เคล็ดลับการปฏิบัติสำหรับการทำงานกับบันทึก Windows

• ตรวจสอบวันที่และเวลาของกิจกรรม เพื่อจำกัดขอบเขตของปัญหา
• อาศัยตัวกรองและการค้นหา ภายใน Event Viewer เพื่อค้นหาเหตุการณ์สำคัญ
• อย่าลบไฟล์บันทึกหากไม่ทราบว่ามีไว้เพื่ออะไร คุณอาจสูญเสียข้อมูลอันมีค่าและทำให้การแก้ไขปัญหาในอนาคตเป็นเรื่องยาก
• หากคุณมีคำถามเกี่ยวกับความหมายของบันทึกบางประการ โปรดดูเอกสารอย่างเป็นทางการของ Microsoft หรือชุมชนทางเทคนิค
• โปรดจำไว้ว่าบันทึกอาจใช้พื้นที่ แต่โดยทั่วไปแล้วควรเก็บรักษาไว้เพื่อการตรวจสอบและการวินิจฉัย

ความแตกต่างระหว่างบันทึกผู้ใช้และบันทึกระบบคืออะไร

มีบันทึกที่สร้างโดยระบบปฏิบัติการเอง (เช่น การติดตั้ง ไดรเวอร์ การบังคับปิดระบบ) และบันทึกที่สร้างโดยแอปพลิเคชันหรือผู้ใช้ แบบแรกจะอยู่ในเส้นทางที่ได้รับการป้องกันภายในโฟลเดอร์ Windows เสมอ ในขณะที่แบบหลังมักจะพบในโฟลเดอร์เช่น C:\Usuarios\NombreUsuario\AppData\Local หรือภายในเส้นทางการติดตั้งของโปรแกรมเอง

ในการระบุที่มาของไฟล์บันทึก ให้ดูที่เส้นทางและตรวจสอบเนื้อหาเสมอ: ไฟล์บันทึกของระบบมักจะจัดเรียงตามหมวดหมู่และมีการกำหนดหมายเลขเหตุการณ์ ในขณะที่ไฟล์บันทึกของผู้ใช้จะเรียบง่ายกว่าและมีโครงสร้างน้อยกว่า

บันทึกสำหรับสภาพแวดล้อมและเซิร์ฟเวอร์ระดับมืออาชีพ

ในระบบ Windows Server หรือในสภาพแวดล้อมระดับองค์กร การวิเคราะห์และตรวจสอบบันทึกเหตุการณ์มีความสำคัญยิ่งกว่าโปรแกรม Event Viewer ช่วยให้คุณดูบันทึกเหตุการณ์ในเครื่องและเข้าถึงเหตุการณ์ที่ส่งต่อมาจากเซิร์ฟเวอร์อื่น ซึ่งมีประโยชน์มากในโครงสร้างพื้นฐานขนาดใหญ่ นอกจากนี้ยังมีเครื่องมือจัดการบันทึกเหตุการณ์ขั้นสูง เช่นPerformance Monitorหรือระบบ SIEM (Security Information and Event Management) อีกด้วย

การตรวจสอบแบบครอบคลุมช่วยคาดการณ์ปัญหาฮาร์ดแวร์ ระบุการเปลี่ยนแปลงที่น่าสงสัย และรักษาเส้นทางการตรวจสอบเพื่อให้สอดคล้องกับกฎระเบียบด้านความปลอดภัย

การรวบรวมบันทึกสำหรับการสนับสนุนด้านเทคนิค

หากคุณต้องการความช่วยเหลือจากฝ่ายสนับสนุนด้านเทคนิคของ Microsoft หรือผู้เชี่ยวชาญ วิธีการทั่วไปคือการรวบรวมไฟล์บันทึกที่เกี่ยวข้อง Microsoft แนะนำให้ใช้เครื่องมือรวบรวมบันทึกอัตโนมัติ (เช่น TSS) ที่รวบรวมบันทึกการติดตั้ง ระบบ แอปพลิเคชัน และไดรเวอร์ที่สำคัญ

การรวบรวมข้อมูลอย่างเป็นระบบนี้ทำให้การแก้ไขเหตุการณ์เป็นไปอย่างราบรื่น ลดข้อผิดพลาดของมนุษย์เมื่อรวบรวมไฟล์ และอำนวยความสะดวกให้ช่างเทคนิคที่ดูแลกรณีนั้นๆ วินิจฉัยได้แม่นยำยิ่งขึ้น

หากบันทึกเสียหายหรือไม่สามารถเข้าถึงได้จะต้องทำอย่างไร

บางครั้งไฟล์บันทึกอาจเสียหายหรือไม่สามารถเข้าถึงได้เนื่องจากสิทธิ์การเข้าถึงซึ่งส่วนใหญ่มักเกิดจากข้อผิดพลาดของดิสก์มัลแวร์หรือการปิดระบบโดยไม่คาดคิดหากเกิดเหตุการณ์เช่นนี้กับคุณ ให้ลองทำตามขั้นตอนต่อไปนี้:

• เรียกใช้การสแกนดิสก์ด้วยเครื่องมือ CHKDSK เพื่อซ่อมแซมเซกเตอร์ที่เสียหาย
• ตรวจสอบสิทธิ์ของโฟลเดอร์หรือไฟล์บันทึก
• กู้คืนไฟล์จากการสำรองข้อมูล หากมีอยู่

ในระบบที่เสียหายร้ายแรง สามารถเข้าถึงดิสก์จากคอมพิวเตอร์เครื่องอื่นและกู้คืนไฟล์ด้วยตนเองได้

การจัดการและการจัดเก็บไฟล์บันทึก (Log Files) ของ Windows อย่างถูกต้องเป็นกุญแจสำคัญในการบำรุงรักษาและการวินิจฉัยระบบอย่างมีประสิทธิภาพ ตั้งแต่การติดตั้ง Windows จนถึงการใช้งานประจำวัน ไฟล์บันทึกเหล่านี้มีข้อมูลมากมายเกี่ยวกับสิ่งที่เกิดขึ้น ช่วยให้ระบุและแก้ไขข้อผิดพลาดได้ง่าย และให้การสนับสนุนที่สำคัญสำหรับช่างเทคนิคและผู้ดูแลระบบ การทำความคุ้นเคยกับเส้นทาง หมวดหมู่ และวิธีการวิเคราะห์ไฟล์บันทึกจะช่วยประหยัดเวลาและป้องกันปัญหาที่ไม่คาดคิดเมื่อเกิดปัญหาขึ้นในระบบปฏิบัติการ