適用於可追蹤性的 Windows Time

• 適用於:

  ✅ Windows Server 2025, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016, ✅ Windows 11, ✅ Windows 10, ✅ Azure Local, versions 23H2 and 22H2

在許多磁區中，都必須仰賴 UTC 對系統的追蹤來符合法規。 這表示系統的位移可在 UTC 方面得到證實。 為了支援法規遵循案例，Windows 10 (1703 版或更新版本) 和 Windows Server 2016 (1709 版或更新版本) 提供了新的事件記錄檔，以從作業系統的角度解說對於系統時鐘所應採取的動作。 這些事件記錄檔會針對 Windows Time 服務持續產生，且您可加以查看或封存，以供日後分析之用。

這些新的事件可解答下列問題：

• 系統時鐘是否有所改變
• 時脈頻率是否已修改
• Windows Time 服務組態是否已修改

可用性

這些改良功能包含在 Windows 10 1703 版或更新版本，以及 Windows Server 2016 1709 版或更新版本中。

組態

不需進行任何設定即可實作這項功能。 這些事件記錄檔預設為啟用，且可在事件檢視器中從 Applications and Services Log\Microsoft\Windows\Time-Service\Operational 通道加以存取。

事件記錄檔清單

下一節將概述會記錄哪些事件以供可追蹤性案例使用。

257

系統會在 Windows Time 服務 (W32Time) 啟動時記錄此事件，其中記錄目前時間、目前刻度計數、執行階段設定、時間提供者和目前時脈速率的相關資訊。

事件描述	服務啟動
詳細資料	在 W32time 啟動時發生
記錄的資料	以 UTC 表示的目前時間 目前刻度計數 W32Time 組態 時間提供者組態 時脈速率
節流機制	無。 每當服務啟動時就會引發此事件。

範例：

W32time service has started at 2018-02-27T04:25:17.156Z (UTC), System Tick Count 3132937.

命令：

您也可以使用下列命令來查詢這項資訊

W32Time 和時間提供者組態

w32tm.exe /query /configuration

時脈速率

w32tm.exe /query /status /verbose

258

系統會在 Windows Time 服務 (W32Time) 停止時記錄此事件，其中記錄目前時間和刻度計數的相關資訊。

事件描述	服務停止
詳細資料	在 W32time 關閉時發生
記錄的資料	以 UTC 表示的目前時間 目前刻度計數
節流機制	無。 每當服務停止時就會引發此事件。

範例文字：W32time service is stopping at 2018-03-01T05:42:13.944Z (UTC), System Tick Count 6370250.

259

此事件會定期記錄其目前的時間來源清單及其選擇的時間來源。 也會記錄目前刻度計數。 此事件並不會在每次時間來源變更時引發。 此功能會由本文件中稍後列出的其他事件提供。

事件描述	NTP 用戶端提供者定期狀態
詳細資料	列出 NTP 用戶端所使用的時間來源
記錄的資料	可用的時間來源 記錄時選擇的參考時間伺服器 目前刻度計數
節流機制	每 8 小時記錄一次。

範例文字： NTP 用戶端提供者定期狀態：

NTP 用戶端正在接收來自下列 NTP 伺服器的時間資料：

server1.fabrikam.com,0x8 (ntp.m|0x8|[::]:123->[IPAddress]:123)server2.fabrikam.com,0x8 (ntp.m|0x8|[::]:123->[IPAddress]:123)；選擇的參考時間伺服器為 Server1.fabrikam.com,0x8 (ntp.m|0x8|[::]:123->[IPAddress]:123) (RefID:0x08d6648e63)。 系統刻度計數 13187937

命令 您也可以使用下列命令來查詢這項資訊

識別對等項w32tm.exe /query /peers

260

事件描述	時間服務組態和狀態
詳細資料	W32time 會定期記錄其組態和狀態。 其效用相當於呼叫： w32tm /query /configuration /verbose OR w32tm /query /status /verbose
節流機制	每 8 小時記錄一次。

261

此事件會在使用 SetSystemTime API 修改系統時間時記錄每個實例。

事件描述	已設定系統時間
節流機制	無。 在正常進行時間同步處理的系統上應該鮮少發生這種情況，而一旦發生，我們即應加以記錄。 我們在記錄此事件時會忽略 TimeJumpAuditOffset 設定，因為該設定的目的是要節流 Windows 系統事件記錄檔中的事件。

262

事件描述	系統時脈頻率已調整
詳細資料	當時鐘緊密同步處理時，W32time 會持續修改系統時脈頻率。 我們應在事件記錄檔不滿溢的情況下，擷取對時脈頻率的「相當程度」調整。
節流機制	所有低於 TimeAdjustmentAuditThreshold (最小值 = 百萬分之 128，預設值 = 百萬分之 800) 的時脈調整，都不會列入記錄。 具有目前細微性的時脈頻率若有 2 PPM 的變更，時鐘準確度將會產生 120 微秒/秒的變更。 在同步化系統上，多數調整都會低於此層級。 如果您想要更細微的追蹤，您可以調整這項設定，或是使用效能計數器，或兩者同時進行。

263

事件描述	時間服務設定或載入的時間提供者清單有所變更。
詳細資料	重新讀取 W32time 設定，可能會導致在記憶體中修改某些重要設定，而這可能會影響時間同步處理的整體準確度。 W32time 在每次重新讀取其設定而對時間同步處理造成潛在的影響時，都會加以記錄。
節流機制	無。 只有在系統管理員或 GP 更新變更了時間提供者，然後觸發 W32time 時，才會發生此事件。 我們應記錄設定變更的每個實例。

264

事件描述	NTP 用戶端所使用的時間來源有所變更
詳細資料	當時間伺服器/對等項變更狀態 (擱置 -> 同步、同步 -> 無法連線，或其他轉換) 時，NTP 用戶端會記錄時間伺服器/對等項現行狀態的事件
節流機制	最大頻率 - 每 5 分鐘僅一次，以防止記錄發生暫時性問題以及進行不當的提供者實作。

265

事件描述	時間服務來源或階層號碼有所變更
詳細資料	W32time 的時間來源和階層號碼是時間可追蹤性的重要因素，若有變更皆必須記錄。 如果 W32time 沒有時間來源，且您未將其設定為可靠的時間來源，則其會停止宣告為時間伺服器，並依設計會回應具有某些無效參數的要求。 此事件對於追蹤 NTP 拓撲中的狀態變更而言非常重要。
節流機制	無。

266

事件描述	要求時間重新同步處理
詳細資料	此作業會在下列情況下觸發： 發生網路變更時 系統從連線待命/休眠狀態回復 長時間未同步處理時 系統管理員發出重新同步命令 此作業會導致 NTP 用戶端清除其篩選器，因而立即失去精細的時間同步準確度。
節流機制	最大頻率 - 每 5 分鐘一次。 故障的網路卡 (或不當的指令碼) 有可能重複觸發此作業，並導致記錄湧入大量資料。 因此，必須對此事件進行節流。 精確的時間同步遠非 5 分鐘所能達成，而進行節流時，導致時間準確度喪失的原始事件並不會因此失去其相關資訊。