Regel beschadigd NTFS-bestandssysteem voor Windows Server 2016 en hoger

Microsoft.Windows.Server.10.0.LogicalDisk.NTFSFileSystemCorrupt.Alert (Rule)

Deze regel genereert waarschuwingen op basis van systeemgebeurtenissen die aangeven dat het NTFS-bestandssysteem beschadigd is.

Knowledge Base article:

Samenvatting

NTFS rapporteert dat de logische schijf beschadigd of geheel onbeschikbaar is. Mogelijk zijn bepaalde op het volume opgeslagen gegevens niet toegankelijk.

Oorzaken

Een logische schijf kan beschadigd raken of ontoegankelijk worden om een aantal redenen, waaronder:

een aan de logische schijf gekoppelde fysieke schijf is verwijderd of werkt niet goed,
een aan de logische schijf gekoppelde fysieke schijf is beschadigd geraakt,
er is een probleem gedetecteerd door de schijf.

Oplossingen

Controleer de status van uw hardware op fouten. In de meeste gevallen bevat het systeemlogboek aanvullende gebeurtenissen over de dieper gelegen opslagstuurprogramma's waarin de oorzaak van de fout staat aangegeven.

Nadat u het hardwareprobleem hebt geïsoleerd en opgelost:

1. Open de module Schijfbeheer.
2. Controleer de schijven opnieuw en activeer alle schijven met fouten opnieuw. Als het volume een gespiegeld volume of een RAID-5-volume is, synchroniseert of genereert u het volume opnieuw.
3. Voer fsutil-reparatiestatus uit op het volume om de huidige status van het volume te weten te komen.
4. Indien nodig voor status (1) scan vooraf vereist – Chkdsk /scan uitvoeren op gereactiveerde volumes.
5. Indien vereist, voor status (2) spotfix vereist – Chkdsk /spotfix uitvoeren op alle opnieuw geactiveerde volumes.
6. Indien vereist, voor status (3) volledige schijfcontrole vereist– chkdsk/f op elk gereactiveerd volume uitvoeren op elk gereactiveerd volume.

Element properties:

Target

Microsoft.Windows.Server.10.0.LogicalDisk

Category

EventCollection

Enabled

True

Alert Generate

True

Alert Severity

Warning

Alert Priority

Normal

Remotable

True

Alert Message

Beschadigd NTFS-bestandssysteem voor Windows Server 2016 en hoger

Het station {1} van de computer met de naam {2} rapporteert een actiestatus van {3}. Beschrijving van gebeurtenis: {0}.

Event Log

System

Member Modules:

ID	Module Type	TypeId	RunAs
EventDS	DataSource	Microsoft.Windows.EventProvider	Default
GenerateAlert	WriteAction	System.Health.GenerateAlert	Default

Source Code:

<Rule ID="Microsoft.Windows.Server.10.0.LogicalDisk.NTFSFileSystemCorrupt.Alert" Enabled="true" Target="ServervNext!Microsoft.Windows.Server.10.0.LogicalDisk" ConfirmDelivery="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>System</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery>EventSourceName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value>Microsoft-Windows-Ntfs</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">98</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <Value Type="String">$Target/Property[Type="Windows!Microsoft.Windows.LogicalDevice"]/Name$</Value>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <XPathQuery Type="String">Params/Param[1]</XPathQuery>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <Or>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">1</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">2</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">3</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

            </Or>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">

      <Priority>1</Priority>

      <Severity>1</Severity>

      <AlertMessageId>$MPElement[Name="Microsoft.Windows.Server.10.0.LogicalDisk.NTFSFileSystemCorrupt.Alert.AlertMessage"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

        <AlertParameter2>$Data/Params/Param[1]$</AlertParameter2>

        <AlertParameter3>$Data/Params/Param[2]$</AlertParameter3>

        <AlertParameter4>$Data/Params/Param[3]$</AlertParameter4>

      </AlertParameters>

    </WriteAction>

  </WriteActions>

</Rule>