イベントビューアーの開き方と見方 — エラーが大量でも慌てない
PCの調子が悪いときに開くイベントビューアー。初めて開くと、赤い「エラー」がずらっと並んでいて驚きます。でも、エラーの数が多いこと自体は、故障のしるしではありません。筆者のPCの30日分のログでは、エラーが1,275件あり、そのうち見る必要があったのは数件でした。この記事では、開き方から、放っておいてよいエラーと見るべきエラーの見分け方、目的別によく使うイベントIDまでを説明します。
イベントビューアーの開き方
- Win+X（スタートボタンを右クリック）→「イベント ビューアー」
- Win+R で
eventvwr.mscと入力して Enter - スタートメニューの検索で「イベント ビューアー」と入力する
システムとApplicationのログは、普通のユーザーでも読めます。セキュリティのログだけは管理者の権限が必要で、普通のユーザーでPowerShellから読もうとすると Attempted to perform an unauthorized operation. と拒否されました。ログオンの記録を見たいときは、イベントビューアーを「管理者として実行」で開きます。
どのログを見るか
左の「Windows ログ」の下に主なログが並んでいます。困りごとに合わせて選びます。
| ログ | 記録されること | こんなときに見る |
|---|---|---|
| システム | Windowsそのもの、ドライバー、サービス | 勝手に再起動した、起動が遅い、デバイスがおかしい、サービスが動かない |
| Application | アプリ | アプリが落ちる・固まる |
| セキュリティ | ログオン・ログオフ、権限の変更（監査） | だれがいつログオンしたか、パスワードの失敗（管理者が必要） |
| Setup | 更新プログラムや機能のインストール | 更新のあとから調子が悪い |
「アプリケーションとサービス ログ」の下には、機能ごとの細かいログがあります。たとえばグループポリシーは Microsoft\Windows\GroupPolicy\Operational、リモートデスクトップは Microsoft\Windows\TerminalServices- で始まるログに記録されます（GPOの切り分け・リモートデスクトップの切り分けで使い方を説明しています）。
「レベル」の意味
| レベル | 意味 |
|---|---|
| 重大 | 処理を続けられなくなった。代表例は、正常に終了しないまま起動した（Kernel-Power 41） |
| エラー | 何かが失敗した。ただし、Windowsがあとでやり直して済んでいることも多い |
| 警告 | 今は問題ないが、注意したほうがよいかもしれないこと |
| 情報 | 正常に動いた記録（起動した、サービスが開始した など） |
セキュリティのログだけは、レベルの代わりに「成功の監査」「失敗の監査」と表示されます。
実際のPCのエラーは、ほとんどが放っておいてよいものだった
筆者のデスクトップPC（Windows 11）で、システムのログの直近30日分を数えると、全部で6,051件のうち、情報が4,736件、エラーが1,275件、警告が38件、重大が2件でした。このPCは毎日ふつうに使えていて、困っていることはありません。エラーを、記録したソース（プログラム）とイベントIDの組み合わせで分けると、次のようになりました。
| ソースとID | 件数 | 何が起きたか | 判断 |
|---|---|---|---|
| NetBT 4321 BROWSER 8009・8019 | 1,215 | ワークグループ（WORKGROUP）の「代表のPC」の役を、同じLANにある別のWindows PCが先に持っていて、名乗れなかった | 放っておいてよい。家庭や小さな事務所でWindows PCが複数あると出続ける |
| DistributedCOM 10005・10010 （警告の10016も） | 22 （28） | Windowsの部品（COM）を呼び出す権限がない、または起動に失敗した | 放っておいてよい。10016はMicrosoftも「想定どおりで無視してよい」と説明している |
| Service Control Manager 7000・7009・7031 ほか | 29 | 起動直後に、アプリの更新サービスなどが30秒以内に応答しなかった、一度止まって自動で再開した | そのサービスのアプリで困っていなければ放っておいてよい |
| Windows Firewall 2042 | 4 | 更新プログラムの再起動の途中で、設定を一時的に読めなかった | 同じ時刻にまとまって出ているだけなら放っておいてよい |
| Kernel-Power 41（重大） EventLog 6008 | 2 2 | 前回、正常に終了しないまま電源が切れた | 見るべき。そのとき何をしていたか、ほかのエラーが直前にないかを確かめる |
| nvlddmkm 153 | 1 | GPU（NVIDIAのグラフィック）のドライバーがエラーを記録した | 見るべき。画面が一瞬消えた時刻と合えば、ドライバーの更新を検討 |
| Volsnap 36 | 1 | 復元ポイントなどに使う領域（シャドウコピーの記憶域）を上限のため増やせず、シャドウコピーが中止された | 見るべき。復元ポイントを使うつもりなら、容量の設定を見直す |
| WindowsUpdateClient 20 | 1 | 更新プログラム（ここではストアのアプリの更新）のインストールに失敗した | 見るべき。次の更新で成功していれば問題ない |
見るべきだった7件は、どれも1〜2件しかありません。数が多いものほど「毎回決まって出るもの」で、少ないものほど「何かがあったとき」の記録である、というのが、ログを見るときの大まかな感覚です。
見るべきエラーの見分け方
- 困った時刻の前後だけを見る：「昨日の15時ごろに固まった」なら、その前後10分ほどのイベントを見ます。ログ全体のエラーを上から読む必要はありません。
- 「重大」は必ず見る：重大はめったに出ないので、出ていれば何かが起きています。
- 毎日同じ時刻・同じ内容で大量に出るものは、たいてい無害：起動のたびに出るものは、起動の手順の一部として失敗しているだけのことが多いです。
- イベントIDは「ソース」とセットで調べる：IDの番号はソースごとに別の意味です。筆者のPCでは、同じ153でも、Kernel-Bootの153は「仮想化ベースのセキュリティが無効」という情報、nvlddmkmの153はGPUドライバーのエラーでした。検索するときは「nvlddmkm 153」のように、ソース名とIDを並べます。
絞り込み方（現在のログをフィルター）
ログを選んだ状態で、右の「操作」から「現在のログをフィルター」を押すと、条件で絞り込めます。
- ログの日付：「過去24時間」などで、困った時期だけにする
- イベント レベル：「重大」と「エラー」だけにチェックを入れる
- イベントID：
41,6008,1074のようにカンマ区切りで複数指定できる。-4321のように先頭に - を付けると、そのIDを除ける - イベント ソース：特定のドライバーやサービスだけにする
よく使う条件は「カスタム ビュー」として保存しておくと、次から1クリックで開けます。なお、最初からある「カスタム ビュー」→「管理イベント」は、すべてのログのエラーと警告を集めたものなので、件数が多すぎて調べものには向きません。
目的別：よく使うイベントID
| 調べたいこと | ログ | ソース | ID | 意味 |
|---|---|---|---|---|
| 起動・シャットダウンの履歴 | システム | Kernel-Boot | 27 | 起動した。BootTypeが1なら高速スタートアップでの起動 |
| システム | Kernel-General | 12・13 | OSが起動した・停止した（高速スタートアップでは記録されない） | |
| システム | User32 | 1074 | だれ（どのプログラム）がシャットダウン・再起動を始めたか | |
| システム | Kernel-Power | 41 | 正常に終了しないまま起動した（重大） | |
| システム | EventLog | 6008 | 前回のシャットダウンは予期しないものだった | |
| サービスが動かない | システム | Service Control Manager | 7000・7009・7031・7034 | 開始に失敗・応答がない・予期せず停止した |
| システム | Service Control Manager | 7045 | 新しいサービスがインストールされた（見覚えがなければ要注意） | |
| アプリが落ちる・固まる | Application | Application Error | 1000 | アプリが異常終了した（どのアプリか、どのファイルで落ちたかが分かる） |
| Application | Application Hang | 1002 | アプリが応答しなくなって閉じられた | |
| ディスク・ハードウェア | システム | disk | 7・51・153 | 不良ブロック・ページング中のエラー・読み書きのやり直し |
| システム | Ntfs | 55・98 | 55はファイルシステムの破損を検出。98はボリュームの状態で、ふだんは「正常です」という情報（エラー・警告のときだけ要注意） | |
| システム | WHEA-Logger | 17・18・19 | ハードウェアのエラー（18は致命的、17・19は修正済み） | |
| 更新プログラム | システム | WindowsUpdateClient | 19・20・43 | インストールに成功・失敗・開始 |
| ログオン | セキュリティ | Security-Auditing | 4624・4625 | ログオンに成功・失敗（総当たり攻撃の確認にも使う） |
| セキュリティ | Security-Auditing | 4740 | アカウントがロックアウトされた |
起動の記録に EventLog の6005（イベントログ サービスの開始）を使う方法もよく紹介されますが、高速スタートアップで起動したときは6005が記録されません。起動を数えるなら Kernel-Boot の27が確実です（高速スタートアップの仕組み）。
PowerShellで一覧にする
イベントビューアーでは数えにくい「どのエラーが何件あるか」は、PowerShellのほうが早く分かります。どちらも管理者でなくても実行できます。
直近7日のエラー・警告を、多い順に並べる
Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2,3; StartTime=(Get-Date).AddDays(-7)} |
Group-Object ProviderName, Id | Sort-Object Count -Descending |
Select-Object Count, Name -First 8Count Name
----- ----
6 Microsoft-Windows-DistributedCOM, 10005
6 NetBT, 4321
4 Microsoft-Windows-Windows Firewall With Advanced Security, 2042
4 Microsoft-Windows-DistributedCOM, 10016
2 Microsoft-Windows-Kernel-PnP, 219
1 Microsoft-Windows-DistributedCOM, 10010
1 Service Control Manager, 7009
1 Service Control Manager, 7034Level の数字は、1が重大、2がエラー、3が警告です。上のほうに並ぶ「いつものもの」を把握しておくと、新しく出てきたエラーに気づきやすくなります。
起動・シャットダウンの履歴を見る
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074,41,6008,12,13,27; StartTime=(Get-Date).AddDays(-14)} |
Where-Object { $_.ProviderName -match 'User32|Kernel-Power|EventLog|Kernel-General|Kernel-Boot' } |
Select-Object TimeCreated, Id, @{n='Source';e={$_.ProviderName -replace 'Microsoft-Windows-',''}} |
Sort-Object TimeCreatedTimeCreated Id Source
----------- -- ------
2026/10/23 7:17:06 12 Kernel-General
2026/10/23 7:17:06 27 Kernel-Boot
2026/10/23 7:17:08 41 Kernel-Power
2026/10/23 7:17:20 6008 EventLog
…
2026/10/27 6:51:37 1074 User32
2026/10/27 7:34:28 27 Kernel-Boot読み方の例です。10/23は、起動（12・27）の直後に41と6008が出ているので、その前の終わり方が正常ではなかったと分かります。10/27は、1074（シャットダウンの開始）のあとの起動で27だけがあり、12（OSの起動）がないので、高速スタートアップで起動しています。ProviderName で絞っているのは、同じIDを別のソースも使っているためです。
1074のメッセージには、シャットダウンを始めたプログラムと種類（再起動・電源を切る）が入っています。更新プログラムによる再起動なら、TrustedInstaller.exe などのWindows Update関係のプログラム名が出ます。
よくある質問
Q. イベントビューアーにエラーが大量にある。ウイルスや故障？
A. それだけでは判断できません。普通に使えているPCでも、エラーは毎日のように記録されます。筆者のPCでは30日で1,275件のエラーがあり、見るべきものは数件でした。困っている症状が起きた時刻の前後と、レベルが「重大」のイベントから見てください。
Q. エラーを消したい。ログをクリアしてもよい？
A. クリアしても、エラーの原因はなくなりません。調べるための手がかりが消えるだけなので、おすすめしません。古いイベントは、ログが最大サイズに達すると自動で上書きされます。
Q. セキュリティのログが見られない。
A. セキュリティのログは管理者でないと読めません。イベントビューアーを右クリックして「管理者として実行」で開くか、管理者のアカウントで開いてください。システムとApplicationのログは、普通のユーザーでも読めます。
🔗 関連：高速スタートアップとは（起動の種類をイベントログで確かめる） ／ リモートデスクトップに接続できない時の切り分け ／ グループポリシーが適用されない時の切り分け ／ Windowsサービスアカウントと権限 ／ 共有フォルダにアクセスできない時の確認方法