Avant de réparer ou de migrer un ordinateur Windows 2000, sauvegardez ses journaux d’événements. Cette procédure crée des copies de diagnostic sans effacer les journaux actifs. Elle concerne un ancien système existant et isolé ; l’exportation ne nécessite pas Internet.
1. Identifier la panne et l’ordinateur
Notez le nom de l’ordinateur, la version de Windows et le Service Pack, l’heure et le comportement observé. Ajoutez le fuseau horaire configuré et tout décalage connu de l’horloge. Ne modifiez pas l’heure pendant la collecte. Un numéro d’événement ne suffit pas : il faut également sa source et sa description.
2. Ouvrir les bons journaux
Dans le Panneau de configuration, ouvrez les Outils d’administration puis l’Observateur d’événements. Il figure aussi dans les Outils système de Gestion de l’ordinateur. Sauvegardez au moins Système et Application séparément. Les rôles du serveur peuvent fournir d’autres journaux. Le journal Sécurité exige des droits particuliers et dépend de l’audit configuré ; ne modifiez pas les stratégies d’audit pour cette collecte.
3. D’abord EVT, puis un complément lisible
- Sélectionnez le journal. Dans son menu contextuel, choisissez l’enregistrement du fichier journal (Save Log File As), pas l’effacement de tous les événements.
- Enregistrez au format Event Log (*.evt) dans un nouveau dossier, par exemple
PC01-System-2000-06-15.evt. Utilisez la date réelle de collecte sans écraser une sauvegarde antérieure. - Exportez de nouveau le même journal au format Text ou CSV. Ce complément lisible ne remplace pas l’EVT. Un système actif peut ajouter des événements entre les deux exports.
- Répétez pour chaque journal utile. Notez l’heure d’exportation et le type de journal dans un fichier d’accompagnement.
4. Ouvrir réellement la sauvegarde
Sur le nœud Observateur d’événements, choisissez Open Log File, l’EVT sauvegardé et le type de journal adapté. L’archive apparaît dans une vue distincte. Vérifiez des entrées anciennes, récentes et proches de la panne : source, numéro et description doivent correspondre à l’original. Ouvrez aussi le texte et vérifiez les accents et les descriptions sur plusieurs lignes.
Testez ensuite une copie sur le poste de diagnostic prévu. Les outils récents n’affichent pas forcément les anciens EVT et leurs descriptions de façon identique ; l’absence de ressources de messages peut empêcher l’affichage d’une description. Conservez donc le texte dont la lecture a été vérifiée sur le système d’origine et, si nécessaire, les détails d’événements importants. Une copie réussie ne prouve pas la lisibilité.
5. Limites et transmission
L’archive contient uniquement les événements encore présents. L’export ne reconstitue ni les événements écrasés ni les actions jamais journalisées. La proximité temporelle ne prouve pas une cause. Transmettez les fichiers de manière protégée à la personne chargée du diagnostic : ils peuvent contenir des noms d’utilisateurs, de machines et des chemins. Laissez inchangés les journaux originaux, limites de taille et règles d’écrasement. Résolvez toute difficulté de lecture avant réparation, réinstallation ou migration.