Caching von Events?

[ArcTan 10]

Hallo,

 

ich habe einen Server, der des öfteren mal abschmiert und stelle fest, dass der Zeitpunkt zu dem das letzte Event im Eventlog auftaucht teilweise um Stunden vor dem Zeitpunkt des Crashes liegt. Vielleicht werden ja die Events vor dem Schreiben auf Platte gecacht?

 

Hilfreich für die Fehlersuche wäre es, dem Eventlog Service beizubringen, jedes Event sofort auf Platte zu schreiben. Weiß jemand von Euch, wie ich dies hinbekommen könnte?

 

Grüße

Arc

[NilsK 2.790]

Moin,

 

die Eventlogs werden nicht so lange im Speicher gehalten, dass ein Versatz um Stunden aufträte. Ich habe keine Spezifikation dazu zur Hand, aber meiner Erfahrung nach liegt der Speicherversatz im Bereich von Sekunden.

 

Was genau heißt "abschmiert"? Bluescreen? In dem Fall gibt es Besseres als das Eventlog, nämlich den Bluescreen selbst und ggf. einen Memory Dump.

faq-o-matic.net Wo erhalte ich Informationen zu einem Stop-Fehler (Bluescreen)?

 

Gruß, Nils

[ArcTan 10]

Danke für die schnelle Antwort.

 

Leider produziert der Server keinen Bluescreen. Auf der Konsole ist einfach nur ein schwarzer Hintergrund zu sehen, kein Mauszeiger, keine Menüleiste o.ä. So als wenn der Server ausgeschlatet wäre, Pings kommen nicht zurück, die Platten-LEDs zeigen keine Aktivität . Allerdings ist er noch eingeschaltet...

Ein Reboot und es ist, als wäre nichts gewesen...

Außer dass bis zum "unexpected shutdown" eventlog-Einträge fehlen.

 

Da wir im Bereich von Minuten merken, wenn der Server nicht mehr erreichbar ist und rebooten, die Event-Log Einträge jedoch über einen längeren Zeitraum vor dem Zusammenbruch fehlen sonst jedoch keine Daten verloren gehen, war die erste Idee das Caching der Eventlog-Einträge.

[NilsK 2.790]

Moin,

 

wenn ihr euch in dem Fall sicher seid, dass der Server Einträge hätte erzeugen müssen, könnte ein Problem mit der Festplatte selbst vorliegen. Wir hatten so einen "Blackscreen"-Fall gerade heute morgen bei einer Maschine, deren Platte vollgelaufen war.

 

An einem prinzipiellen Caching oder verzögerten Schreiben liegt es jedenfalls nicht, dass Windows nichts schreibt.

 

Eine Möglichkeit wäre, in dem Fall einen manuellen Bluescreen mit Memory-Dump zu produzieren und zu sehen, ob dort irgendwas Vertdächtiges auftaucht. Das setzt allerdings Erfahrungen in der Dump-Analyse voraus.

 

http://windowsitpro.com/article/articleid/16149/how-do-i-blue-screen-windows-2000-on-demand.html

 

Why would you want to manually crash a box? Simple, if the box has hung and will not respond. Usually in this situation, the only option you have is to reboot, however, you learn nothing at all by doing this. If you crash the system, you will be able to load the crash dump in a debugger and see the stack. This will allow you to figure out roughly what the system was doing at the time. You might be able to narrow the issue down to a driver or application. This might also help Microsoft support or the vendor of the application at fault.

 

This can also work with USB keyboards, follow the steps in KB244139.

http://support.microsoft.com/kb/244139

 

Gruß, Nils