Den här regeln genererar aviseringar vid systemhändelser som tyder på ett skadat NTFS-filsystem.
NTFS har rapporterat att den logiska disken antingen är skadad eller fullständigt otillgänglig. Vissa data som är lagrade på volymen kan vara otillgängliga.
En logisk disk kan bli skadad eller otillgänglig av flera skäl, bland annat följande:
En fysisk disk som hör till den logiska disken har skadats eller innehåller fel.
En fysisk disk som hör till den logiska disken har skadats.
Ett fel kan ha uppstått på disken.
Kontrollera maskinvarustatus och sök efter fel. I de flesta fall innehåller systemloggen flera händelser från lagringsdrivrutiner på lägre nivå som visar orsaken till felet.
När du har isolerat och löst maskinvaruproblemet:
1. Öppna snapin-modulen Diskhantering.
2. Sök igenom diskarna och återaktivera sedan eventuella diskar med fel. Omsynkronisera eller återskapa volymen vid behov om disken tillhörde en speglad volym eller RAID5-volym.
3. Kör fsutil repair state på volymen för att få reda på volymens hälsotillstånd.
4. Om förskanning behövs för tillstånd (1) – Kör Chkdsk /scan på en återaktiverad volym.
5. Om punktkorrigering behövs för tillstånd (2) – Kör Chkdsk /spotfix på en återaktiverad volym.
6. Om en fullständig diskontroll behövs för tillstånd (3) – Run chkdsk/f på en återaktiverad volym. på en återaktiverad volym.
Target | Microsoft.Windows.Server.6.2.LogicalDisk | ||
Category | EventCollection | ||
Enabled | True | ||
Alert Generate | True | ||
Alert Severity | Warning | ||
Alert Priority | Normal | ||
Remotable | True | ||
Alert Message |
| ||
Event Log | System |
ID | Module Type | TypeId | RunAs |
---|---|---|---|
EventDS | DataSource | Microsoft.Windows.EventProvider | Default |
GenerateAlert | WriteAction | System.Health.GenerateAlert | Default |
<Rule ID="Microsoft.Windows.Server.2012.OperatingSystem.NTFSFileSystemCorrupt.Alert" Enabled="true" Target="WindowsServer!Microsoft.Windows.Server.6.2.LogicalDisk" ConfirmDelivery="true">
<Category>EventCollection</Category>
<DataSources>
<DataSource ID="EventDS" TypeID="Windows!Microsoft.Windows.EventProvider">
<ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>
<LogName>System</LogName>
<Expression>
<And>
<Expression>
<SimpleExpression>
<ValueExpression>
<XPathQuery>EventSourceName</XPathQuery>
</ValueExpression>
<Operator>Equal</Operator>
<ValueExpression>
<Value>Microsoft-Windows-Ntfs</Value>
</ValueExpression>
</SimpleExpression>
</Expression>
<Expression>
<SimpleExpression>
<ValueExpression>
<XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>
</ValueExpression>
<Operator>Equal</Operator>
<ValueExpression>
<Value Type="UnsignedInteger">98</Value>
</ValueExpression>
</SimpleExpression>
</Expression>
<Expression>
<SimpleExpression>
<ValueExpression>
<Value Type="String">$Target/Property[Type="Windows!Microsoft.Windows.LogicalDevice"]/Name$</Value>
</ValueExpression>
<Operator>Equal</Operator>
<ValueExpression>
<XPathQuery Type="String">Params/Param[1]</XPathQuery>
</ValueExpression>
</SimpleExpression>
</Expression>
<Expression>
<Or>
<Expression>
<SimpleExpression>
<ValueExpression>
<XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>
</ValueExpression>
<Operator>Equal</Operator>
<ValueExpression>
<Value Type="UnsignedInteger">1</Value>
</ValueExpression>
</SimpleExpression>
</Expression>
<Expression>
<SimpleExpression>
<ValueExpression>
<XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>
</ValueExpression>
<Operator>Equal</Operator>
<ValueExpression>
<Value Type="UnsignedInteger">2</Value>
</ValueExpression>
</SimpleExpression>
</Expression>
<Expression>
<SimpleExpression>
<ValueExpression>
<XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>
</ValueExpression>
<Operator>Equal</Operator>
<ValueExpression>
<Value Type="UnsignedInteger">3</Value>
</ValueExpression>
</SimpleExpression>
</Expression>
</Or>
</Expression>
</And>
</Expression>
</DataSource>
</DataSources>
<WriteActions>
<WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">
<Priority>1</Priority>
<Severity>1</Severity>
<AlertMessageId>$MPElement[Name="Microsoft.Windows.Server.2012.OperatingSystem.NTFSFileSystemCorrupt.Alert.AlertMessage"]$</AlertMessageId>
<AlertParameters>
<AlertParameter1>$Data/EventDescription$</AlertParameter1>
<AlertParameter2>$Data/Params/Param[1]$</AlertParameter2>
<AlertParameter3>$Data/Params/Param[2]$</AlertParameter3>
<AlertParameter4>$Data/Params/Param[3]$</AlertParameter4>
</AlertParameters>
</WriteAction>
</WriteActions>
</Rule>