Windows异常关机日志与易飞ERP连接异常排查实战

真的受够了“系统异常”这四个字。尤其是周五下午正准备做月度结账财务那边突然喊“易飞登不进去了”或者是早上到公司同事指着电脑说“昨天半夜它自己重启了开机就提示异常关机”。很多人的第一反应是重装客户端、重装系统可重装完过两天又开始犯。其实大部分“系统异常”都被Windows老老实实记在了日志里只是没人去看。这篇文章就围绕两件事展开一是怎么看系统异常关机日志把夜里偷偷重启、断电、蓝屏的元凶揪出来二是易飞ERP连接异常的排查套路从客户端到服务器之间到底哪里出了问题。适合每天被各种“异常”折磨的运维、网管也想让普通办公室用户学几个自查手段少等IT远程折腾一上午。1. 先搞清楚“系统异常”到底是什么1.1 异常不是随机出现的它是可以被分类的我做了十几年系统维护踩坑踩出一个心得看到“系统异常”别慌先判断它是哪一层的毛病。系统异常大致可以分成三类硬件层异常、操作系统层异常、应用软件层异常。硬件层异常好理解断电、电源老化、内存接触不良、硬盘坏道、CPU过热这些是物理层面的问题。操作系统层异常是Windows本身出了岔子比如更新补丁冲突、驱动崩溃、关键服务启动失败。应用软件层异常则是某个具体程序的问题比如易飞ERP客户端连不上数据库、Office启动报错、浏览器卡死。怎么快速划分看持续性。硬件问题往往是反复出现且无规律偶尔一次基本不用大动干戈。软件问题通常有固定场景比如“每次打开报表就崩”“每天上午十点准时掉线”。把范围缩小到某一层排查速度和准确率能高出一大截。1.2 通用排查思路先看日志再动“手术”很多维修人员习惯一上来就重装系统、重装软件。这就像去医院不做检查直接切阑尾运气好碰对了运气差就是把问题压下去过几天换个姿势蹦出来。系统日志就是病历本。Windows从启动到关机每一步关键节点都会写日志什么时候开机的、哪个服务加载失败、哪次关机不是正常的、哪块硬盘发生读写错误、哪个程序崩了。这些记录不会撒谎只是需要你愿意花十分钟去看。我常用的工具是三个事件查看器eventvwr.msc、可靠性历史记录reliability monitor、性能监视器perfmon。事件查看器查具体报错代码可靠性历史记录看整体趋势性能监视器用于追查周期性卡顿和资源占用。平时维护我至少每两周看一眼可靠性历史记录一旦发现连续几天出现红色感叹号就得赶在用户发现之前处理掉。1.3 不要轻易清空日志有些同事觉得日志文件越堆越占硬盘隔三差五把Windows日志清空。这是个坏习惯。日志占用的空间很小但它记录的是系统健康状况的历史。真要遇到疑难杂症翻两个月前的日志才能找到近期变化的端倪清空了就啥也没了。要是实在担心日志文件过大右键“系统”日志属性设置“日志最大大小”并按需保留而不是一键清空。2. 查看系统异常关机日志三条路径揪出罪魁祸首2.1 关键事件ID6008、41、1074、109Windows事件查看器的系统日志里这四类事件ID和“异常关机”关系最密切事件ID名称含义6008EventLog上一次系统在日期/时间发生了意外关机41Kernel-Power系统在未先正常关机的情况下重新启动1074User32系统已由用户或进程关闭/重启会记录是谁发起的109Kernel-Power系统电源状态转变失败例如休眠恢复失败6008和41是最容易被混为一谈的。我简单区分6008是“结果”——记录某个时间点发生了非正常关机它是关机时或下次启动时补写的41是“原因”——系统启动后发现上一次关闭不是正常的底层电源管理中断了所以直接记一条Kernel-Power 41。通常看到600841成对出现就能确认这台电脑有过一次异常断电或强制断电。1074则是“谁干的”如果某天半夜电脑自动重启查1074的来源是Windows Update、还是某款优化软件一目了然。要记得不是所有重启都是“异常”有1074记录说明系统是被某个进程正常触发重启的只是用户没在旁边看着。2.2 实操三分钟打开日志窗口最直接的方法是WinR输入 eventvwr.msc回车。左侧展开“Windows日志”-“系统”右侧点击“筛选当前日志”在“事件ID”栏输入 6008,41,1074,109确定。筛选出来的就是和异常开关机有关的全部记录。如果你习惯命令行用PowerShell或CMD都可以。在CMD里执行wevtutil qe System /q:*[System[(EventID6008 or EventID41 or EventID1074)]] /c:50 /rd:true /f:text D:\shutdown_log.txt这条命令会把系统日志里最近50条相关事件导出到D盘。/rd:true表示按时间倒序最新记录排最前面。我一般会连导出三个月的记录然后用Excel或Notepad打开按日期列个时间线。拿到记录之后关键看三点发生频率、时间规律、邻近事件。如果每周固定周三凌晨出现6008那就去查当天是否有更新维护如果每次都是电压不稳的季节才有重点查供电如果重启前总有某个应用程序的报错那是软件触发的问题。2.3 快速查看上次唤醒来源powercfg /lastwake排查自动开机和自动重启还有一个屡试不爽的命令powercfg /lastwake它能显示上一次把电脑从睡眠/休眠状态唤醒的设备和原因。很多人的电脑设置“允许唤醒定时器”结果Windows更新或系统维护在半夜把电脑唤醒接着执行更新更新完毕后自动重启如果此时恰好断电就会留下异常关机记录。执行powercfg /lastwake后如果看到“唤醒历史计数 1”来源是“定时器”或“Intel(R) Ethernet Connection”这类就说明是定时唤醒机制在作怪。解决办法控制面板-电源选项-更改计划设置-更改高级电源设置-睡眠-允许唤醒定时器改为“禁用”。台式机也可以进BIOS关掉“Wake on LAN”和RTC定时开机。2.4 真实案例复盘一台电脑为什么总是在凌晨重启之前处理过财务部的一台办公电脑同事每天早上来都看到“系统已从异常关机中恢复”桌面从“未正常关闭”的提示里跳出来。一开始怀疑电源有问题换了个电源适配器也没解决。我打开事件查看器筛选6008和41发现每次异常关机时间都集中在凌晨2点到2点半之间。再往前翻当天下午总有一条Windows Update安装成功的记录。这就对上了系统当天接收更新补丁计划维护在凌晨执行但主板开了ErP节能和快速启动更新过程中设备短暂休眠之后因为有唤醒定时器又自动唤醒来回折腾几次后系统检测到电源状态异常直接记录Kernel-Power 41。解决办法并不复杂把Windows更新重启策略调整到“活动时间内自动重启”关闭快速启动禁用允许唤醒定时器。之后一个月再没出现过6008。经验是日志只是线索真正要找的是“异常关机前后那段时间发生了什么”。看到6008别急着怀疑硬盘先看时间点再看前后事件往往答案就藏在相邻的记录里。3. 易飞ERP连接异常排查实战别急着重装客户端3.1 易飞ERP连接异常的常见表现易飞是很多制造企业、贸易公司在用的ERP系统通常采用服务器-客户端架构客户端装在各台办公电脑上服务器则承担应用服务和数据库服务。它的“连接异常”不是单一问题而是一系列原因的总称体现在用户面前就变成五花八门的报错打开易飞客户端还没到登录界面就提示“无法连接数据库服务器”输入账号密码后一直转圈卡几分钟才报“连接超时”登录正常但用着用着突然提示“系统连接已断开”重进又好了同一局域网里一半人正常另一半人频繁报错在某台电脑上永远连不上换一台电脑就正常这些现象背后对应的排查顺序完全不同。有的是服务端问题有的是网络问题有的是客户端配置问题还有的是杀毒软件捣乱。直接重装客户端是最笨的办法因为问题往往不在客户端本身。3.2 五步链路排查法从服务器一路走到客户端我遇到易飞连接异常从来不问“是不是服务器挂了”而是按下面五步走第一步确认服务器端核心服务是否正常。在服务器上运行SQL Server配置管理器看SQL Server服务是否处于“正在运行”状态。如果SQL服务没启动客户端全都会连不上这种问题重启SQL服务就能解决。再看易飞应用服务是否正常不同版本的易飞服务名不一样比如DsgFlowWorkFlow、DsgTaskAgent等在Windows服务管理器里找到对应服务检查状态。最直接的验证方式是在服务器本机打开易飞客户端如果本机登录也报错那就不是网络的事先处理服务端再说。第二步检查客户端到服务器的网络连通性。从故障电脑上ping服务器IP看丢包率和延迟。ping通了再测端口。易飞客户端连接数据库默认走SQL Server的1433端口连接应用服务会用到其他端口具体看安装配置。测试端口用telnet命令最快telnet 192.168.1.10 1433如果窗口变成全黑则端口通如果提示“无法打开到主机的连接”则端口不通。Windows 10默认没装telnet客户端可以到“启用或关闭Windows功能”里勾选或者用PowerShell的Test-NetConnectionTest-NetConnection -ComputerName 192.168.1.10 -Port 1433这一步能帮你快速判断故障是卡在“网络层”还是“服务层”。第三步检查客户端配置和数据库连接设置。易飞客户端的服务器配置一般写在安装目录下的配置文件中或者通过开始菜单的“易飞ERP系统管理工具”查看。最容易出错的是服务器名称写了IP但数据库实例名不对。例如SQL Server默认实例通常直接填IP或机器名命名实例则要填成“IP\实例名”的形式。易飞老客户端大多是32位程序在64位系统上配置ODBC数据源时必须用C:\Windows\SysWOW64\odbcad32.exe这个32位版本来配用普通的64位ODBC管理器配了不生效很多“连接数据库失败”其实死在这里。第四步查防火墙和杀毒软件。服务器上Windows防火墙默认会拦截来自外部的SQL端口连接。在“高级安全Windows Defender防火墙”里新增入站规则放行TCP 1433以及易飞应用服务对应的端口。如果客户端装了第三方安全软件重点检查隔离区有没有易飞安装目录下的exe、dll文件很多杀毒软件会把易飞核心组件当病毒杀掉导致客户端一启动就报“系统异常”或“组件加载失败”。遇到这种情况把易飞安装目录加入信任区然后重新安装/修复客户端组件。第五步检查并发许可和连接池。易飞是有并发数限制的如果企业买了20个并发许可现在有21个人同时在线新登录的人就会提示“连接数已满”或“系统异常”。这种问题查服务器上的当前会话数就能确认。还有一种不易察觉的情况客户端异常退出后服务端没有及时释放会话连接池被占满表现为过一段时间后越来越多的人登录不了重启易飞应用服务能临时缓解但根治需要设置合理的连接回收机制。日常运维时我建议每隔一段时间监控SQL Server的连接数SELECT DB_NAME(dbid) AS DatabaseName, COUNT(*) AS Connections FROM sys.sysprocesses GROUP BY dbid;如果发现大量“sleeping”状态的连接堆积就要优化连接串里的连接生命周期参数。3.3 一个典型应用场景部分电脑连得上部分电脑连不上某次接到一个库存部门的报修说仓库的扫码电脑全部登录不了易飞但办公室电脑都正常。我先ping服务器仓库电脑和服务器之间通了telnet 1433端口失败。这就把范围缩小到端口不通。查客户端防火墙是开启状态之前为了方便有人给仓库电脑装了个外接盒子的管理软件把Windows防火墙默认入站规则改了导致易飞客户端无法通过防火墙与服务器建立TCP连接。解决办法在仓库电脑防火墙里放行易飞程序问题解决。如果只是某一台电脑连不上而其他电脑正常多半是那台电脑自己的问题网卡驱动异常、IP地址冲突、DNS配置错误、客户端安装损坏。此时先在命令行重置网络协议netsh winsock reset netsh int ip reset ipconfig /release ipconfig /renew ipconfig /flushdns执行完重启再试登录。90%的单机连接问题都能用这套组合拳解决。3.4 远程访问场景下的易飞连接异常现在很多分公司通过专线、虚拟组网等方式访问总部的易飞服务器这种场景下“连接异常”的报错率明显比局域网高。最常见的是带宽不足和延迟过高。客户端和服务器之间的数据交互频繁如果链路延迟超过100毫秒登录和开单就会卡顿如果内网办公视频监控、文件下载占满带宽ERP就会间歇性断线。排查这类问题别只看ping返回“请求超时”要加大包测试丢包ping 192.168.1.10 -l 1400 -t如果小包通、大包丢说明MTU设置有问题或链路质量差。此时检查路由器/交换机的MTU设置通常设为1400可以缓解如果依然丢包就要联系线路运营商检查物理链路。有一次分公司反馈“每天十点开始集体掉线”我蹲守监控发现同一时间段的视频监控推流占用大量上行带宽。所以远程接入的ERP一定要给视频、下载类应用做带宽限制或者给ERP服务器和客户端划分VLAN优先通道。3.5 不要迷信重装客户端很多同事看到易飞报错第一句就是“重装一下吧”。重装本身没有错但如果不定位原因重装之后过几天问题复现的概率很大。我处理过一台报了“系统异常”的电脑重装了三次易飞客户端每次装完能用两天然后又坏。后来查Windows应用程序日志发现每次都是某个.NET组件加载失败再细查是这个补丁被360误删了。重装易飞客户端根本不会修复系统级组件只有把补丁恢复、把组件加入信任区才真正解决。易飞自带的LOG也要学会看。在易飞安装目录下常有LOG文件夹勾选“启用记录”后客户端每个关键操作都会写日志报错时会输出堆栈信息。把那个LOG里的最后几十行和事件查看器里的应用程序日志对应起来很多疑难杂症都能找到准确原因。4. 让“系统异常”少找上门三个提前预防的习惯4.1 把Windows更新的主动权拿回来我承认Windows自动更新帮我们修了很多安全漏洞但它动不动安排在凌晨自动重启正是“系统异常关机”日志的主要来源之一。很多用户第二天早上看到“Windows已更新”却不知道为什么电脑重启了只觉得“系统异常”。解决办法是设置“使用时间”。打开设置-Windows更新-高级选项-使用时间把时间段设为工作时段比如8:00-22:00。这样Windows只会在这个时间段内安装更新并重启。如果某些更新依然在非使用时间重启还可以通过组策略禁止自动重启运行gpedit.msc计算机配置-管理模板-Windows组件-Windows更新-“对于有已登录用户的计算机不执行计划的自动重启”启用它。这样即使在夜里下载了更新只要有人登录着电脑就不会强制重启。4.2 关掉快速启动和唤醒定时器快速启动是Windows 10/11的默认特性它能让开机“感觉”更快本质是关机时把内核会话写入休眠文件下次开机时加载。但代价是关机不彻底某些驱动在“伪关机”状态下容易异常第二天开机后出现声卡没声音、网卡丢包、ERP连不上等问题。尤其对办公生产电脑快速启动弊大于利。可以在控制面板-电源选项-选择电源按钮的功能-更改当前不可用的设置里取消勾选“启用快速启动推荐”。服务器和工控机建议直接关闭电源管理里的睡眠选项。同时执行一次powercfg /lastwake如果显示上次唤醒来源是“计时器”就按之前的建议禁用“允许唤醒定时器”。对于关键业务电脑最好在BIOS里关闭RTC定时开机和网络唤醒避免任何形式的深夜自动启动。4.3 每两周看一次可靠性历史记录与其等用户报修不如主动巡视。WinR输入“reliability”打开可靠性历史记录里面以时间轴方式显示系统每一条严重事件应用程序崩溃、Windows停止工作、意外关机。我习惯每两周看一眼重点关注有没有重复出现的“红叉”。如果上周出现了三次某应用停止工作那今天大概率又会出问题在该应用真正影响生产前把它解决掉。可靠性历史记录只保留一段时间建议在“查看详细信息”里定期把关键事件截图归档。同时配合一个简单习惯在服务器或电脑上标注“上次稳定运行时间”和“最近变更”。很多时候系统异常的诱因不是玄学而是最近加装了一个软件、更新了一个驱动、改了一条网络配置。把这些变更记住定位问题的速度能快好几倍。5. 常见问题快查速查表这些年处理系统异常问题的经验我整理成一张速查表适合贴在运维共享文档里遇到问题先对号入座症状查看位置常见原因解决方向开机提示“系统已从异常关机中恢复”事件ID 6008、41断电、强制关机、电源故障查电源/UPS按时间规律找诱因电脑半夜自动重启事件ID 1074 Windows更新记录自动更新重启设置使用时间、禁自动重启电脑每隔几天自动开机powercfg /lastwake唤醒定时器、网络唤醒关闭允许唤醒定时器BIOS关RTCERP提示“无法连接数据库”服务器SQL服务状态telnet 1433SQL服务未启动、防火墙拦截启动服务放行端口ERP登录卡死转圈易飞LOG、ODBC配置ODBC位数不对、DNS异常用SysWOW64的odbcad32配置所有客户端突然连不上ERP服务器事件查看器、SQL连接数并发数满、SQL服务假死重启SQL服务检查License某台电脑连不上ERP本机网络环境、杀毒隔离区网卡问题、杀毒误删组件重置网络协议、恢复信任区使用中频繁断线ping大包、带宽监控网络拥塞、延迟过高限制带宽、优化链路、调整MTU蓝屏后重启事件ID 1001BugCheck驱动冲突、硬件故障查看蓝屏代码更新驱动、测内存程序偶发崩溃应用程序日志、.NET Runtime缺少运行库、补丁丢失安装对应运行库修复系统组件最后再分享一个实用心得遇到系统异常先把现场信息用手机拍下来包括报错文字、事件ID、时间点。很多时候咱们赶到现场时弹窗早就关了用户也说不清具体报什么错只有一张照片才有发言权。在我的经验里80%的“系统异常”都不是系统本身坏了而是某个外部因素恰好在那一段时间干扰了系统。日志不会骗人养成先看日志再动手的习惯比任何优化工具都管用。ERP这件事也一样。易飞连接异常先按服务器、网络、客户端配置、杀毒软件、并发许可的顺序排查每一步都用命令验证而不是靠感觉。稳住服务端、盯住网络质量大多数“系统异常”其实都能被提前按死在摇篮里。