Aide au dépannage
Exploiter l'Observateur d'évènement

Liens internes :


Reporter le n° de l'Event ID dans la case et cliquer sur le bouton pour voir apparaître deux adresses susceptibles de donner des informations sur l'erreur. Penser, en parcourant ces pages, à associer l'Event ID avec la source de l'erreur; dans l'exemple ci-dessous, la source serait "Loadperf". Les deux sites consultés sont :

EventID.net : www.eventid.net
Technet : www.microsoft.com/technet/support/ee/ee_advanced.aspx

Event ID n°

Entrer ou coller le numéro de l'Event ID et cliquer le bouton. Les deux liens vont s'afficher ci-dessous :

 

Ces infos sont en anglais. Mais il suffit de repérer les mots clés tels que la source de l'erreur, ou les numéros des articles Microsoft de la forme M123456 dans EventID. L'outil ci-après va permettre d'afficher facilement la KB123456 correspondante, en français si disponible. Google ou votre moteur de recherche favori, permettra à partir des mots-clés trouvés de ramener de la documentation en français.


En complément, cet outil permet d'accéder facilement à un article du MSDN numéroté KB123456 à partir des références M123456 trouvées dans EventID. Plus d'infos en cliquant sur KB.htm
N°KB
Google permettra d'obtenir des infos en français :

Pour des messages d'erreur du genre Invalid File Format Error 8004022F voir ==> http://support.microsoft.com/gp/errormessage

Malekal a publié un Tutoriel avec un exemple de recherche de panne portant sur le problème suivant :
Les mises à jour suivantes n'ont pas été installées : Microsoft Office 2003 Service Pack 3 (SP3).
Dans cet exemple l'examen de l'Observateur d'Événements révèle le numéro d'erreur 0x80070643 lequel permet de trouver une solution sur le Net.

C'est l'occasion pour moi, à propos du problème des mises à jour qui ne s'installent pas, de vous inviter à essayer cette solution :
KB943144 Les mises à jours téléchargées ne s'installent pas

Zebulon publie dans son forum un article sur l'Observateur d'Événements avec une liste de traitements des couples [Id Évènement/Source].

Penser à visualiser le Gestionnaire de Périphériques en affichant les périphériques cachés.
Voir http://support.microsoft.com/gp/hardware_device_problems
Voici, pour l'exemple, la résolution d'un
ID 7000, Source: Service Control
Description : le service connexion TV/vidéo Microsoft n'a pas pu démarrer en raison de l'erreur :
Le service ne peut pas être démarrer parce qu'il est désactivé ou qu'aucun périphérique activé ne lui est associé.

Bien que l'erreur parle de Service, c'était donc bien à Périphérique qu'il fallait penser. C'est souvent le cas. Autoruns et son Onglet Drivers peut être une bonne aide. À manipuler avec prudence toutefois. Sauvegarder le Registre avec Erunt pour être sûr de pouvoir redémarrer avec une Console de Récupération ou un BARTPE.

Afficher les Services :
Démarrer>Exécuter>services.msc
Afficher les périphériques :
Démarrer>Exécuter>devmgmt.msc

Réparation du Registre quand ça ne démarre plus


Copier la Description et l'Event ID

Lorsque l'on consulte l'Observateur d'évènements (Démarrer>Exécuter>eventvwr), certains évènements peuvent être marqués en Erreur avec une croix rouge. Un double-clic affiche la boite "Propriétés de Événement" qui apparaît ainsi :

Copier la description complète avec le bouton entouré en rouge.
Coller ces informations dans un fichier texte ou un message destiné à un forum.
 

Noter la Source de l'événement et l'Event ID

Noter la Source (dans cet exemple, la source du problème est indiquée comme étant LoadPerf) et l'ID évén. (en anglais Event ID), égal dans cet exemple à 3006. Avec ça vous pouvez déjà faire une recherche Google. Si Google ne donne pas suffisamment de liens parce qu'il est réglé pour chercher des pages en français, essayer le bouton Web pour élargir la recherche aux autres langues. Cherchez aussi dans les NewsGroups avec Google Groupes.

Essayer aussi :
http://search.microsoft.com
http://www.google.fr/search?num=100&q=xp+site:microsoft.com
http://www.google.fr/search?num=100&q=xp+site:support.microsoft.com
(cocher "Pages francophones" pour n'afficher que les pages en français)

Comme dans l'exemple, chercher avec l'Event ID et/ou la Source : ex : event id 3006 loadperf
Commencer avec 3006, et selon les résultats ajouter loadperf, xp, eventid, etc ...
On peut également chercher à partir du texte du message d'erreur :
"impossible de lire les chaines du compteur de performance"

Si vous n'y arrivez pas, venez demander de l'aide :
http://social.answers.microsoft.com
 

Astuce pour exploiter les liens trouvés dans EventID.net

Sur le site EventID.net, des numéros M123456 renvoient à des articles du MSDN.
Cet outil permettra d'y accéder facilement: KB.htm

 

Remarques

 

Les Services

Les Services, ou les Pilotes, sont souvent en cause dans les messages d'erreur.
Pour voir les Services et modifier leurs modes de fonctionnement utiliser la Console service.msc
Astuce : utiliser le mode auteur avec le commutateur /a on pourra ainsi conserver ses réglages :
Démarrer>Exécuter>services.msc /a
Une difficulté est que le nom des services est évoqué en anglais ou en français.
Pour aider à l'identification du service en cause, et obtenir quelques conseils de configuration :
http://assiste.com.free.fr/p/services_windows/services_xp.html
Google permet de retrouver facilement à quel service correspond une source :
www.google.fr/search?q=site:assiste.com.free.fr
Par exemple pour trouver à quoi correspond une source d'erreur au nom de NetBT :
www.google.fr/search?q=netbt+site:http://assiste.com.free.fr/p/services_windows

Le site de Black Viper est réputé. On y trouve une liste des services, et un index.
Ici aussi on peut utiliser Google : www.google.fr/search?q=+site:blackviper.com

Penser que ce qui est appelé Service dans un message d'erreur peut être en fait un Périphérique.
Voir l'exemple cité plus haut.

 

Exemple de résolution d'une erreur DCOM 10005 UPNPhost

Source de l'événement : DCOM
ID de l'événement : 10005
DCOM a reçu l'erreur "Le service ne peut pas être démarré parce qu'il est désactivé ou qu'aucun périphérique activé ne lui est associé. "lors de la mise en route du service upnphost avec les arguments etc.." ==>

EventID et Technet

Essayer avec le moteur de recherche en haut de la page.

GOOGLE

Entrer ces éléments dans Google ou Google Groupes, en particulier DCOM 10005 upnphost ==> Exemple
L'un des liens proposés est L'écran se fige (Erreur NetBT, DCOM et Userenv mis a jour) et la solution est à la fin.

 

Recherche manuelle du service en cause

La difficulté vient du nom anglais abrégé UPNPhost du service.
Voici comment trouver le nom complet et en français du service tel qu'il apparaît dans la Console des Services.
Chercher UPNPhost :
www.google.fr/search?q=upnphost+site:http://assiste.com.free.fr/p/services_windows
Il n'y a plus qu'à vérifier l'état du service
Hôte de périphérique universel Plug-and-Play
(Universal Plug and Play Device Host) ==>
Démarrer>Exécuter>services.msc /a

Discussion

Il convient à présent de réfléchir un peu. Le site http://assiste.com.free.fr insiste sur les inconvénients qu'il y a à laisser ce Service en fonctionnement à cause des problèmes de sécurité qu'il pose. Savoir que le réglage par défaut est Manuel, réglage recommandé par d'autres sites (Source 1, source 2) et dans Aide et Support (Démarrer>Exécuter>hh sys_srv.chm::/sys_srv_default_settings.htm). Comme je propose de désactiver ce Service pour résoudre d'autres problèmes (voir http://fspsa.free.fr/systray-erratique.htm#disparition-chevron) il m'a été fait la remarque que cette désactivation pouvait gêner les logiciels de messagerie instantanée ou l'assistance à distance. Cerise sur le gâteau Windows Media Player 11 appelle ce service et provoque donc cet EventID s'il est désactivé. On m'a dit que ce comportement est une anomalie qui devrait être corrigée...

 

Conclusion

Conserver le Service Hôte de périphérique universel Plug-and-Play et Service de découvertes SSDP sur Désactivé si aucun logiciel ne réclame leurs fonctionnements, ou bien il faudra dans certains cas (WMP11) supporter la présence de cet évènement. On pourra s'inspirer de ce batch pour ne démarrer ces Services que ponctuellement. Si Désactivé est trop gênant, un particulier pourrait sans doute, sur une machine n'appartenant pas à un réseau d'entreprise (demander l'avis de l'Administrateur) et à jour (Windows et Anti-Virus) utiliser ces Services sur Manuel, puisque c'est le réglage par défaut.

 

Exemple de résolution d'une erreur DCOM 10005 StiSvc

Source de l'événement : DCOM
ID de l'événement : 10005
Description :
DCOM a reçu l'erreur "Le service ne peut pas être démarré parce qu'il est désactivé ou qu'aucun périphérique activé ne lui est associé. " lors de la mise en route du service StiSvc avec les arguments "" pour démarrer le serveur :
{A1F4E726-8CF1-11D1-BF92-0060081ED811}

Chercher StiSvc :
www.google.fr/search?q=stisvc+site:http://assiste.com.free.fr/p/services_windows
Il n'y a plus qu'à aller démarrer ce service Acquisition d'Image Windows (WIA)
Démarrer>Exécuter>services.msc /a
Démarrer le service et le régler sur Automatique, ou sur Manuel, comme suggéré ci-dessus.
Sur Automatique il sera démarré avec Windows.
Sur Manuel il démarrera lors d'une première sollicitation, ce qui peut provoquer une petite attente.
 

C'est terminé. On vérifiera les jours suivants que l'alerte a disparue de l'Observateur d'événements.

 

GoogleEarth ne fonctionne plus
résolu avec l'aide de l'Observateur d'Événements

Après des mois de bons et loyaux services, GoogleEarth ne fonctionne plus.
Très surprenant, même une réinstallation reste sans effet.
L'examen de l'Observateur d'Événements apporte cette information :
Application défaillante googleearth.exe, module défaillant nvwgf2um.dll
Le remplacement de c:\Windows\System32\nvwgf2um.dll à partir d'une sauvegarde a soldé l'affaire (lire l'histoire).
Ce n'était pas GoogleEarth qui était en cause, le réinstaller ne servait à rien. NVwgf2um.dll est en rapport avec la carte Graphique NVidia.

 

Mon PC redémarre lors de la défragmentation
EventID 1003 System Error

L'observateur d'événement indique :
Source: System Error
Catégorie: (102)
ID évén: 1003

Résolu en supprimant une mise à jour récente de Intel Application Accelerator (lire la discussion).

Cet intéressant exemple de résolution montre plusieurs choses :

Autres considérations :

 

Démarrer et arrêter des services en lignes de commandes

Liste détaillée des services XP : http://assiste.com.free.fr/p/services_windows/services_xp.html  [googlé]

Il peut être utile de savoir démarrer ou arrêter un service en ligne de commandes.
On utilise la commande NET START ou NET STOP avec comme argument le nom du service en français ou en anglais.
Voir Aide et Support pour les détails. On peut accéder à Aide et support pour ces commandes directement en collant ces lignes dans Exécuter :

cmd /c cd %windir%\help&&start HH NTCMDS.CHM::/ntcmds.htm
HH NTCMDS.CHM::/net_command_options.htm
HH NTCMDS.CHM::/net_start.htm

On utilise en général le nom abrégé anglais.
Quelques exemples :

NET START browser

Démarre Explorateur d'ordinateur et Station de travail

NET START "dhcp client"

Démarre Client DHCP

NET START Workstation

Démarre Station de travail

NET START eventlog

Démarre Journal d'événements

NET START messenger

Démarre Affichage des messages

NET START netlogon

Démarre Connexion réseau

NET START schedule

Démarre Planificateur de tâches

NET START spooler

Démarre Spouleur d'impression

On peut utiliser le nom complet français (avec des guillemets s'il y a des espaces).
Voici un exemple dans une Console de commandes :

C:\>net stop stisvc
Le service Acquisition d'image Windows (WIA) s'arrête.
Le service Acquisition d'image Windows (WIA) a été arrêté.

C:\>net start "Acquisition d'Image Windows (WIA)"
Le service Acquisition d'image Windows (WIA) démarre.....
Le service Acquisition d'image Windows (WIA) a démarré.

 

Lister les services avec la commande SC QUERY

La commande sc query affiche la liste des Services. Celle-ci étant longue il convient de rediriger la sortie vers un fichier texte, qu'on affiche avec Notepad avec la seconde commande comme indiqué :

C:\>sc query > svc.txt
C:\>notepad svc.txt

 

Configurer des Services en lignes de commandes

La commande sc config permet de configurer des Services. Exemple avec le Service messenger :

sc config messenger start= auto
sc config messenger start= demand
sc config messenger start= disabled

L'exemple suivant porte sur les Services UPNPHOST ety SSDPSRV :

sc config UPNPHOST start= demand
sc config SSDPSRV start= demand
net start UPNPHOST
net start SSDPSRV

net stop UPNPHOST
net stop SSDPSRV
sc config UPNPHOST start= disabled
sc config SSDPSRV start= disabled

Ce Batch permettra ainsi d'utiliser ponctuellement ces Services tout en les conservant désactivés le reste du temps.

 

Désactiver un Pilote ou un Service qui empêche le démarrage

Il peut arriver que suite à une mise à jour ou une installation le système ne démarre plus. Normalement F8 permet d'accéder au Menu de Démarrage Avancé et "Démarrer selon dernière bonne configuration" devrait aider. On peut également tenter un démarrage en mode sans échec qui propose à son ouverture de revenir à un point de restauration. Il est possible également de revenir à un point de restauration en mode Invite de commande, en entrant cette commande :
%systemroot%\system32\restore\rstrui.exe

Si ça ne marche pas, il faut utiliser la Console de Récupération ou un BARTPE. Il est possible de récupérer un Registre ou d'éditer le Registre.

Il vaut mieux connaître à l'avance le nom du service à désactiver, faire une recherche sur le web, comparer avec une autre machine en cherchant dans ses services ou les propriétés de ses Périphériques. Msinfo32 et msconfig peuvent aider à cette identification, voir plus bas. Penser au dernier matériel ou logiciel installé...

 

Désactivation d'un Pilote ou d'un Service depuis la Console de Récupération

Si on opère depuis la Console de Récupération utiliser la commande HELP pour avoir la liste des commandes, et la commande LISTSVC pour afficher page par page la liste des services et leur configuration. Essayer de repérer le service et noter son nom. Le désactiver ensuite avec la commande DISABLE. Exemple pour un anti-virus connu :

disable symtdi

EXIT pour sortir de la Console et redémarrer.

Noter qu'on peut avoir besoin de démarrer un service.
Voici un exemple expliqué en images avec enable rpcss ==>
http://www.zebulon.fr/dossiers/61-9-redemarrer-service.html
 

 

Désactiver le pilote Intel Application Accelerator depuis la Console de récupération

On a vu plus haut comment le Intel Application Accelerator pouvait ne pas être adapté à une machine. La panne peut venir comme on l'a vu à l'occasion d'une mise à jour par l'utilisateur du pilote, mais il est apparu à l'occasion du SP3 que certaines machines (HP, Compaq, équipées d'un processeur AMD) pouvaient ne pas redémarrer après cette mise à jour de Windows (info).

HP a publié un Utilitaire de mise à niveau Windows XP SP3 pour les systèmes dotés de AMD à utiliser avant de faire la mise à jour. Ce n'est pas expliqué mais le problème viendrait du fait de la méthode d'implantation du Windows pré-installé :

La méthode suivante propose de simplement renommer le fichier C:\Windows\System32\Drivers\intelppm.sys à partir du Mode sans échec (F8), ou de la Console de Récupération (F8 aussi) proposée sur ces modèles (elle est installée sur le disque dur) ==>

Cette méthode mérite d'être notée. Il est quand même plus satisfaisant intellectuellement de désactiver le service correspondant, mais on agira selon ses moyens. On peut utiliser une commande appropriée depuis l'invite de commandes sans échec (proposée dans le menu F8), ou depuis la Console CMD en Mode sans échec (Démarrer>Exécuter>cmd), ou depuis la Console de Récupération. Au cas où seul ce moyen serait disponible, un BARTPE comme UBCD4WIN permet d'éditer le registre et d'y désactiver le service. Rien n'empêche de renommer en même temps Windows\System32\Drivers\intelppm.sys comme proposé par HP, on fera comme on le sent, le tout est d'arriver à redémarrer !

Si on peut accéder au Mode sans Échec la commande à utiliser pour désactiver le service est :

sc config intelppm start= disabled

On l'utilisera éventuellement avant de faire la màj SP3; ou on appliquera la solution HP ci-dessus après être revenu à un point de restauration si nécessaire.

Sous la Console de Récupération (elle est peut-être disponible sur votre système HP, essayez F8 au démarrage) la commande est plus simple :

disable intelppm

Si vous désirez appliquer la méthode HP qui consiste à renommer le pilote Windows\System32\Drivers\intelppm.sys la commande est la suivante :

ren c:\windows\system32\drivers\intelppm.sys XXXintelppm.syX

 

Désactiver le pilote Intel Application Accelerator depuis UBCD4WIN

Un BARTPE quelconque permet d'éditer le Registre avec Regedit en important la ruche à modifier. UBCD4WIN possède un outil qui facilite un peu l'opération. Les deux méthodes sont explicitées ici.

La clé concernant intelppm est :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\intelppm
Start = 0 charge le service au démarrage
Start = 1 charge le driver lors de l'initialisation du noyau
Start = 2 chargé par le Contrôleur de Services
Start = 3 Manuel
Start = 4 Désactivé

Msinfo32 permet d'identifier le nom du pilote et d'en déduire le nom de la clé correspondante dans le Registre. La commande sc query intelppm informe de l'état du Service. La commande sc config intelppm start= disabled désactive le service. On vérifie ici que la valeur Start a pris le contenu 4 :

Vous pouvez également renommer le fichier Windows\System32\Drivers\intelppm.sys comme proposé dans la méthode HP.

Si vous êtes perdus et que vous vouliez plutôt revenir à un point de restauration, c'est possible depuis le Mode sans échec. Ce n'est pas prévu avec la Console de Récupération de XP, il est cependant possible de revenir à un Point de Restauration à partir d'un CD bootable : ERD Commander


Bonne chance dans vos dépannages !
Retour au début
Les restes du site
JF    

compteur Free
Publiée le 10/02/2006