ID d'événement Windows 6144 – Kernel-General : Collecte du compteur de performance système démarrée

Commencez par examiner les détails complets de l'événement pour comprendre le contexte et le timing.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 6144 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 6144 pour voir les informations détaillées
6. Vérifiez l'onglet Général pour la description de l'événement et l'onglet Détails pour les données XML
7. Notez l'horodatage et corrélez-le avec les temps de démarrage du système ou l'activité de l'outil de surveillance

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=6144} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -AutoSize

Vérifiez que les services de surveillance des performances fonctionnent correctement et examinez tout problème lié aux services.

1. Ouvrez la console Services en appuyant sur Win + R, en tapant services.msc, et en appuyant sur Entrée
2. Localisez et vérifiez l'état de ces services clés :
   • Journaux et alertes de performance (pla)
   • Instrumentation de gestion Windows (winmgmt)
   • Hôte DLL de compteur de performance (PerfHost)
3. Cliquez avec le bouton droit sur chaque service et sélectionnez Propriétés pour vérifier le type de démarrage
4. Vérifiez l'onglet Dépendances pour comprendre les relations entre les services

Utilisez PowerShell pour vérifier l'état des services de manière programmatique :

Get-Service -Name "pla", "winmgmt", "PerfHost" | Format-Table Name, Status, StartType, DisplayName -AutoSize

Redémarrez les services liés aux performances si nécessaire :

Restart-Service -Name "pla" -Force
Restart-Service -Name "PerfHost" -Force

Identifiez quelles applications ou services déclenchent la collecte de compteurs de performance pour comprendre le contexte de l'événement.

1. Ouvrez Gestionnaire des tâches en appuyant sur Ctrl + Shift + Échap
2. Cliquez sur l'onglet Détails et recherchez les processus qui utilisent couramment les compteurs de performance:
   • perfmon.exe (Moniteur de performance)
   • logman.exe (Utilitaire de journaux de performance)
   • powershell.exe ou pwsh.exe (si vous exécutez des commandes Get-Counter)
   • Agents de surveillance tiers
3. Vérifiez l'onglet Services pour les services liés à la surveillance
4. Utilisez Moniteur de ressources (resmon.exe) pour voir l'activité détaillée des processus

Interrogez les processus en cours d'exécution qui pourraient accéder aux compteurs de performance :

Get-Process | Where-Object {$_.ProcessName -match "perfmon|logman|nagios|scom|zabbix"} | Format-Table ProcessName, Id, StartTime, CPU -AutoSize

Vérifiez les tâches planifiées qui pourraient déclencher la surveillance :

Get-ScheduledTask | Where-Object {$_.TaskName -match "perf|monitor|counter"} | Format-Table TaskName, State, LastRunTime -AutoSize

Examinez le registre Windows pour vérifier la configuration des compteurs de performance et identifier les problèmes potentiels.

1. Ouvrez l'Éditeur du Registre en appuyant sur Win + R, en tapant regedit, et en appuyant sur Entrée
2. Accédez à HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib
3. Vérifiez les valeurs Last Counter et Last Help pour vérifier l'intégrité de la base de données des compteurs
4. Examinez HKLM\SYSTEM\CurrentControlSet\Services pour les fournisseurs de compteurs de performance
5. Cherchez des services avec des sous-clés Performance qui indiquent des fournisseurs de compteurs

Utilisez PowerShell pour vérifier la configuration des compteurs de performance :

# Vérifiez l'intégrité de la base de données des compteurs de performance
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib" -Name "Last Counter", "Last Help"

Reconstruisez les compteurs de performance si une corruption est détectée :

# Exécutez en tant qu'administrateur
lodctr /R
# Redémarrez les services de compteurs de performance
Restart-Service -Name "pla", "PerfHost" -Force

Mettre en œuvre une surveillance complète pour suivre les modèles d'Event ID 6144 et les corréler avec les performances du système.

1. Créer une vue personnalisée dans le Visualiseur d'événements pour les événements liés aux performances
2. Dans Visualiseur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
3. Configurer des filtres pour les Event IDs : 6144, 6145, 6146 (événements de compteur de performance)
4. Inclure des sources supplémentaires : Kernel-General, Performance Logs and Alerts
5. Enregistrer la vue sous "Surveillance des compteurs de performance"

Configurer une surveillance automatisée avec PowerShell :

# Créer un script de surveillance pour l'Event ID 6144
$FilterHashtable = @{
    LogName = 'System'
    Id = 6144
    StartTime = (Get-Date).AddHours(-24)
}

$Events = Get-WinEvent -FilterHashtable $FilterHashtable -ErrorAction SilentlyContinue

if ($Events) {
    Write-Host "Found $($Events.Count) Event ID 6144 occurrences in the last 24 hours"
    $Events | Format-Table TimeCreated, Id, LevelDisplayName -AutoSize
} else {
    Write-Host "No Event ID 6144 found in the last 24 hours"
}

Créer une tâche planifiée pour une surveillance continue :

# Enregistrer une tâche planifiée pour surveiller les événements de compteur de performance
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-PerfCounters.ps1"
$Trigger = New-ScheduledTaskTrigger -Daily -At "09:00AM"
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "Monitor Performance Counters" -Action $Action -Trigger $Trigger -Settings $Settings