Per aprire il Visualizzatore eventi in Windows 11, prema tasto Windows + X e selezioni Visualizzatore eventi, oppure prema tasto Windows + R, digiti eventvwr.msc e prema Invio. Arresti anomali ed errori vengono registrati in Registri di Windows > Sistema e Registri di Windows > Applicazione. Filtrare per i livelli Critico ed Errore e poi cercare l'ID evento di solito porta alla causa.
Il Visualizzatore eventi può sembrare complicato, ma per diagnosticare la maggior parte dei problemi bastano poche delle sue funzioni. Questa guida mostra quali registri contano, come filtrarli e cosa significano gli ID evento più comuni.
| ID evento | Registro e origine | Cosa significa di solito |
|---|---|---|
| 41 | Sistema, Kernel-Power | Windows si è riavviato senza essersi arrestato correttamente (arresto anomalo, interruzione di corrente o spegnimento forzato) |
| 6008 | Sistema, EventLog | «Il precedente arresto del sistema … è stato imprevisto» |
| 1001 | Sistema, BugCheck | Il PC si è ripreso da una schermata blu (errore di arresto) |
| 1000 | Applicazione, Application Error | Un programma si è arrestato in modo anomalo; indica l'applicazione e il modulo che hanno generato l'errore |
| 1002 | Applicazione, Application Hang | Un programma ha smesso di rispondere ed è stato chiuso |
| 7000 / 7001 | Sistema, Service Control Manager | Un servizio non è stato avviato, oppure non è riuscito un servizio da cui dipende |
| 7031 / 7034 | Sistema, Service Control Manager | Un servizio è terminato in modo imprevisto |
Come si apre il Visualizzatore eventi in Windows 11?
Il modo più rapido è fare clic con il pulsante destro del mouse sul pulsante Start, oppure premere tasto Windows + X, e selezionare Visualizzatore eventi. Può anche cercare «Visualizzatore eventi» nel menu Start, oppure premere tasto Windows + R ed eseguire eventvwr.msc. Tutti e tre i metodi aprono la stessa console.
Il Visualizzatore eventi si apre anche senza diritti di amministratore, e in questo modo può leggere i registri Applicazione e Sistema. Il registro Sicurezza e alcune azioni, come la cancellazione dei registri, richiedono un account amministratore.
La finestra ha tre riquadri. Il riquadro a sinistra è l'albero dei registri, quello centrale elenca gli eventi del registro selezionato e il riquadro Azioni a destra contiene i comandi per filtrare, salvare e creare visualizzazioni personalizzate.
Quali registri del Visualizzatore eventi controllare per trovare gli errori?
Per la maggior parte dei problemi, controlli Registri di Windows > Sistema e Registri di Windows > Applicazione. Il registro Sistema raccoglie eventi relativi a hardware, driver, servizi e arresti, quindi copre arresti anomali, riavvii e schermate blu. Il registro Applicazione raccoglie i programmi che si arrestano in modo anomalo o si bloccano. Il registro Sicurezza raccoglie gli accessi e gli eventi di controllo.
- Applicazione: arresti anomali e blocchi delle app, errori di Office e dei programmi di installazione.
- Sicurezza: accessi riusciti e non riusciti, modifiche agli account ed eventi di controllo. Utile per verificare chi ha effettuato l'accesso e quando.
- Installazione: eventi di Windows Update e di installazione delle funzionalità.
- Sistema: driver, servizi, dischi, alimentazione e arresti imprevisti.
- Registri applicazioni e servizi: registri dettagliati dei singoli componenti di Windows, come Microsoft > Windows > WindowsUpdateClient.
Ogni evento ha un livello: Critico, Errore, Avviso, Informazioni o Dettagliato. Critico ed Errore sono quelli da cui partire.
Cosa vediamo spesso: molti si allarmano per il numero di voci Errore in rosso su un PC che funziona bene. Ogni sistema Windows registra alcuni errori e avvisi innocui. Un evento conta solo se il suo orario coincide con il problema che ha notato.
Come si filtra il Visualizzatore eventi per trovare un arresto anomalo?
Selezioni il registro, ad esempio Sistema, quindi selezioni Filtro registro corrente nel riquadro Azioni. Spunti Critico ed Errore, imposti Registrato su un intervallo di tempo attorno all'arresto anomalo e selezioni OK. Può anche digitare ID evento specifici, separati da virgole, nella casella <Tutti gli ID evento>.
- Annoti approssimativamente quando si è verificato il problema.
- Nel Visualizzatore eventi, selezioni Registri di Windows > Sistema.
- Nel riquadro Azioni, selezioni Filtro registro corrente.
- In Livello evento, spunti Critico ed Errore.
- Imposti Registrato su Ultime 24 ore, oppure scelga Intervallo personalizzato per farlo coincidere con l'orario.
- Se lo desidera, inserisca ID come
41,6008,1001nella casella degli ID evento. - Selezioni OK. Selezioni un evento per leggerne le schede Generale e Dettagli.
Selezioni Cancella filtro nel riquadro Azioni per tornare a vedere il registro completo. Il filtro si applica solo al registro corrente, quindi lo ripeta per il registro Applicazione se necessario.
Sfumatura avanzata: il primo errore di un gruppo di solito è la causa, mentre quelli successivi ne sono spesso le conseguenze. Ordini per Data e ora e legga verso l'alto partendo dall'evento più vecchio del gruppo, invece di cominciare dal più recente.
Cosa significa l'ID evento 41 Kernel-Power?
L'ID evento 41 indica che Windows si è riavviato senza prima arrestarsi correttamente. Viene registrato all'avvio successivo, non nel momento del guasto, quindi documenta che qualcosa è andato storto ma non cosa. Le cause più comuni sono un errore di arresto (schermata blu), un'interruzione di corrente, una batteria scarica o la pressione prolungata del pulsante di accensione per spegnere forzatamente il PC.
Apra l'evento e controlli la scheda Dettagli. L'articolo di Microsoft sull'ID evento 41 Kernel-Power spiega i due campi più utili:
- BugcheckCode: se non è zero, si è verificato un errore di arresto. Il valore è in decimale, quindi lo converta in esadecimale (la Calcolatrice in modalità Programmatore lo fa) per farlo corrispondere al codice di arresto.
- PowerButtonTimestamp: se non è zero, il pulsante di accensione è stato tenuto premuto per forzare lo spegnimento.
Causa ed effetto: quando entrambi i valori sono zero, Windows non è riuscito a registrare nulla prima che il PC perdesse alimentazione. Questo schema fa pensare all'alimentatore, al surriscaldamento, a un cavo allentato o a un blocco totale del sistema piuttosto che a un arresto anomalo del software.
L'ID evento 6008 compare di solito insieme all'evento 41 e conferma che l'arresto è stato imprevisto. Se la causa è stata una schermata blu, spesso segue l'ID evento 1001 di BugCheck, che mostra il codice di arresto.
Come si scopre perché un'app si è arrestata in modo anomalo?
Cerchi in Registri di Windows > Applicazione l'ID evento 1000 con origine Application Error. L'evento indica l'applicazione che ha generato l'errore e il modulo che ha generato l'errore, cioè il file che non ha funzionato. L'ID evento 1002, Application Hang, significa che il programma si è bloccato ed è stato chiuso, invece di arrestarsi in modo anomalo.
Il modulo che ha generato l'errore è l'indizio più utile. Se è un file dell'app stessa, reinstalli o aggiorni l'app. Se è un file di un driver grafico o di un plug-in, aggiorni quello.
Per i problemi a livello di sistema, vale la pena controllare le voci di Service Control Manager nel registro Sistema. L'evento 7000 significa che un servizio non è stato avviato, il 7001 che non è stato possibile avviarlo perché non è riuscito un servizio da cui dipende, mentre il 7031 o il 7034 indicano che un servizio si è interrotto in modo imprevisto.
Se gli errori indicano un driver, la nostra guida per trovare e aggiornare i driver di Windows 11 spiega come ripristinarlo o reinstallarlo. Se seguono una schermata nera, consulti le nostre soluzioni per la schermata nera di Windows 11.
Come si crea una visualizzazione personalizzata nel Visualizzatore eventi?
Selezioni Crea visualizzazione personalizzata nel riquadro Azioni, scelga un intervallo di tempo e i livelli di evento, quindi indichi i registri da includere con Per registro oppure le origini con Per origine. Selezioni OK, assegni un nome e la salvi. La visualizzazione compare in Visualizzazioni personalizzate e si aggiorna automaticamente ogni volta che la apre.
Un esempio pratico è una visualizzazione degli eventi Critico ed Errore dei registri Applicazione e Sistema degli ultimi sette giorni. Windows include già una visualizzazione integrata simile, chiamata Eventi amministrativi, in Visualizzazioni personalizzate, che raccoglie gli eventi Critico, Errore e Avviso dai registri principali.
Le visualizzazioni personalizzate sono utili anche per un singolo problema ricorrente. Un filtro sull'origine Kernel-Power o su un ID evento specifico Le fornisce una cronologia aggiornata della frequenza con cui si verifica.
Cos'è il Monitoraggio affidabilità e in cosa si differenzia?
Il Monitoraggio affidabilità è una sequenza temporale più semplice, basata sugli stessi dati degli eventi. Mostra un grafico giorno per giorno di errori delle applicazioni, errori di Windows, avvisi e aggiornamenti installati, con un indice di stabilità da 1 a 10. Spesso è il modo più rapido per vedere cosa è cambiato poco prima che iniziassero i problemi.
Per aprirlo, prema tasto Windows + R ed esegua perfmon /rel. In alternativa, apra Pannello di controllo > Sicurezza e manutenzione, espanda Manutenzione e selezioni Visualizza cronologia affidabilità.
Selezioni un giorno per vederne gli eventi, quindi faccia doppio clic su un errore per i dettagli tecnici. Se un'icona rossa di errore compare subito dopo l'installazione di un driver o di un aggiornamento, quell'installazione è la prima cosa da annullare.
Cosa vediamo spesso: il Monitoraggio affidabilità rende evidenti schemi difficili da notare nel Visualizzatore eventi, come la stessa app che si arresta ogni mattina o errori che iniziano il giorno in cui è arrivato un determinato aggiornamento.
Come si esportano i registri del Visualizzatore eventi?
Selezioni il registro, oppure applichi prima un filtro, quindi selezioni Salva tutti gli eventi con nome (o Salva file registro filtrato con nome) nel riquadro Azioni. Scelga il formato .evtx per conservare tutto e aprirlo in un altro Visualizzatore eventi, oppure i formati testo o CSV per una lettura semplice. Invii il file a chi La sta aiutando.
Dalla riga di comando, lo strumento wevtutil può esportare un intero registro. Esegua questo comando in Terminale (Amministratore), verificando che la cartella di destinazione esista:
wevtutil epl System C:\Logs\system.evtx
Per elencare in formato testo i dieci errori più recenti del registro Sistema, esegua:
wevtutil qe System /q:"*[System[(Level=2)]]" /c:10 /rd:true /f:text
Il riferimento del comando wevtutil di Microsoft elenca altre opzioni. I registri esportati possono contenere nomi utente e nomi di computer, quindi li condivida solo con persone di fiducia.
Il Visualizzatore eventi, il Monitoraggio affidabilità e questi strumenti sono inclusi in tutte le edizioni di Windows 11. Le impostazioni dei criteri di registrazione per il registro Sicurezza, come i criteri di controllo avanzati tramite Criteri di gruppo, richiedono Windows 11 Pro, che può ottenere con un codice di licenza Windows 11 Pro originale.
Domande frequenti
È sicuro cancellare i registri del Visualizzatore eventi?
Cancellare i registri non danneggia Windows, ma elimina le prove che potrebbero servirLe per la risoluzione dei problemi. Inoltre non risolve nulla, perché i nuovi errori ricompariranno semplicemente. Se vuole ripartire da zero, salvi prima il registro con Salva tutti gli eventi con nome, quindi selezioni Cancella registro.
Perché il Visualizzatore eventi mostra tanti errori su un PC che funziona?
Windows e le app registrano molti errori e avvisi minori durante il normale funzionamento, come un servizio che va brevemente in timeout all'avvio. La maggior parte è innocua. Si concentri sugli eventi critici, sugli errori che si ripetono e sugli errori il cui orario coincide con un arresto anomalo, un blocco o un riavvio che ha effettivamente notato.
Il Visualizzatore eventi può dirmi cosa ha causato una schermata blu?
In parte. L'ID evento 1001 di BugCheck e il campo BugcheckCode dell'evento 41 registrano il codice di arresto. Quel codice restringe il campo delle cause, ad esempio un problema di driver o di memoria. Gli errori registrati appena prima dell'arresto anomalo indicano spesso il driver o il dispositivo che non ha funzionato.
Dove sono salvati i file di registro del Visualizzatore eventi?
I file di registro sono salvati in C:\Windows\System32\winevt\Logs come file .evtx. Non li sposti né li elimini direttamente da lì. Per farne una copia, usi Salva tutti gli eventi con nome nel Visualizzatore eventi oppure il comando wevtutil epl.
Come vedo quando il PC è stato spento o riavviato?
Filtri il registro Sistema per gli ID evento 6005 e 6006, che registrano l'avvio e l'arresto del servizio Registro eventi a ogni accensione e spegnimento. L'evento 1074 registra i riavvii e gli arresti pianificati, incluso il processo o l'utente che li ha richiesti, mentre gli eventi 41 e 6008 segnalano quelli imprevisti.
Guide correlate
- Schermata nera in Windows 11: come risolverla
- Come trovare, scaricare e aggiornare i driver in Windows 11
- Come spegnere Windows 11: metodi rapidi e scorciatoie
- Come verificare la versione di Windows 11 e aggiornare a 26H2
Link di questa guida
| Link | Tipo | Perché è utile |
|---|---|---|
| ID evento 41 Kernel-Power | Esterno | Spiega BugcheckCode e PowerButtonTimestamp |
| Riferimento del comando wevtutil | Esterno | Esportare e interrogare i registri dalla riga di comando |
| Trovare e aggiornare i driver di Windows 11 | Interno | Correggere gli errori dei driver individuati nei registri |
| Soluzioni per la schermata nera di Windows 11 | Interno | Passi successivi quando i registri mostrano arresti anomali dello schermo |
| Codice di licenza Windows 11 Pro | Interno | Aggiunge i Criteri di gruppo per il controllo avanzato |