Ситуация, когда важный документ исчезает из списка, встречается в практике администратора 1С Предприятие достаточно часто. Обычно это означает, что объект был помечен на удаление, но пользователь, совершивший это действие, забыл сообщить об этом или сделал это случайно. Найти виновника вручную, перебирая журналы, практически невозможно, особенно в многопользовательской среде с сотнями сотрудников.
К счастью, платформа 1С:Предприятие обладает мощными инструментами аудита, позволяющими отследить каждое действие с данными. В этой статье мы подробно разберем, как с помощью Журнала регистрации, специализированных отчетов и даже прямых запросов к базе данных выявить личность "удалителя" и восстановить справедливость.
Эффективность поиска напрямую зависит от настроек вашей информационной базы. Если механизм протоколирования был отключен или настроен выборочно, задача может усложниться. Тем не менее, в 95% случаев стандартных настроек корпоративных конфигураций достаточно для успешного расследования.
Проверка настроек журнала регистрации
Прежде чем приступать к поиску, необходимо убедиться, что система вообще записывала интересующие нас события. Без включенного протоколирования восстановить историю действий не получится. Администратору следует зайти в режим Конфигуратор и открыть свойства базы данных.
В окне свойств найдите раздел, отвечающий за журнал регистрации. Убедитесь, что галочка включения активна. Однако простого включения мало — важно проверить, какие именно события попадают в лог. Если запись событий удаления отключена, то даже при включенном журнале нужной информации там не будет.
⚠️ Внимание: Включение журнала регистрации на уже работающей базе с большим количеством пользователей может временно снизить быстродействие системы из-за возросшей нагрузки на диск.
В списке событий обязательно должны быть отмечены пункты, связанные с изменением данных. Обычно это группы событий "Изменение данных" или конкретные подпункты вроде "Удаление данных". Если эти пункты не отмечены, то администрирование 1С в части аудита настроено некорректно для решения вашей задачи.
После проверки настроек можно переходить к анализу накопленной информации. Если настройки были изменены только что, они будут действовать только для будущих операций, и найти старого "нарушителя" этим способом не удастся.
Если журнал регистрации был выключен длительное время, включите его сейчас, чтобы избежать подобных проблем в будущем. Прошлые действия восстановить не получится.
Поиск через стандартный журнал регистрации
Самый доступный способ найти пользователя, пометившего объект на удаление — использовать встроенный интерфейс журнала. Запустите 1С Предприятие в режиме пользователя с правами администратора и перейдите в меню Администрирование → Журнал регистрации.
Перед вами откроется таблица со всеми зафиксированными событиями. По умолчанию там может быть тысячи записей, поэтому критически важно установить правильные отборы. Без фильтрации найти нужный эпизод будет как искать иголку в стоге сена.
Настройте отбор по полю "Событие". Вам нужно выбрать событие, соответствующее удалению. В разных версиях платформ и конфигураций названия могут отличаться, но чаще всего это Удаление данных или DataDeletion. Также стоит проверить событие "Изменение данных", так как пометка на удаление технически является изменением реквизита.
- 🔍 Установите период поиска: ограничьте дату примерным временем исчезновения документа, чтобы сократить выборку.
- 👤 Добавьте отбор по пользователю, если есть подозрения на конкретного сотрудника, или оставьте поле пустым для полного сканирования.
- 📄 В поле "Объект" введите имя удаляемого документа или его уникальный идентификатор (GUID), если он известен.
После применения отборов система сформирует список действий. В колонке "Пользователь" вы увидите имя учетной записи, под которой было совершено действие. Это может быть как реальный сотрудник (например, "Иванов И.И."), так и технический пользователь (например, "BackgroundJob" или "Exchange").
Анализ событий удаления в отчетах
Если стандартный журнал кажется слишком громоздким, многие конфигурации, такие как 1С:Бухгалтерия или 1С:УТ, предлагают специализированные отчеты по истории изменений. Они часто более наглядны и содержат уже готовые фильтры для анализа действий пользователей.
Найдите в разделе отчетов пункт "История изменений" или "Аудит действий пользователей". В таких отчетах удобно отслеживать не только факт удаления, но и предыдущие состояния объекта. Это помогает понять, не была ли пометка на удаление ошибкой при попытке исправить другие данные.
В отчете обратите внимание на колонку "Реквизиты". При пометке на удаление там обычно отображается изменение флага DeletionMark с значения Ложь на Истина. Именно это изменение и фиксирует факт подготовки объекта к удалению.
⚠️ Внимание: Пользователь может иметь право на просмотр журнала, но не иметь права на удаление объектов. Если в журнале нет записей об удалении, возможно, у пользователя были права только на чтение, а удаление выполнил кто-то другой.
Используйте группировку в отчете по пользователю. Это позволит сразу увидеть, кто из сотрудников проявляет наибольшую активность в части удаления документов. Часто бывает, что один неопытный пользователь генерирует львиную долю таких событий.
☑️ Что проверить в отчете
Использование внешних обработок для аудита
Штатных средств иногда недостаточно, особенно если нужно проанализировать огромный массив данных за длительный период. В таких случаях на помощь приходят внешние обработки, созданные сообществом разработчиков или написанные специально под нужды предприятия.
Существуют популярные утилиты, такие как "Анализ журнала регистрации" или "Монитор активности пользователей". Они позволяют выгружать данные из журнала в удобные табличные документы (Excel), где можно применять сложные фильтры и сводные таблицы.
Некоторые обработки умеют связывать события журнала с конкретными документами в базе, даже если документы уже удалены физически или скрыты. Это достигается за счет анализа GUID объектов, которые сохраняются в логах неизменными.
ЗагрузитьВнешнююОбработку("C:\Utils\AuditTools.epf");
ОткрытьФорму("ФормаАнализаУдалений");
При использовании стороннего ПО соблюдайте осторожность. Запускайте обработки только из доверенных источников и желательно в тестовой копии базы, чтобы убедиться в их корректной работе и отсутствии негативного влияния на производительность.
Где скачать обработки?
Большинство полезных утилит для аудита можно найти на портале ИТС (its.1c.ru) в разделе инструментов для администраторов или на специализированных форумах разработчиков 1С (forum.infostart.ru). Всегда проверяйте дату релиза и совместимость с вашей версией платформы.
Поиск через SQL-запросы к базе данных
Для продвинутых администраторов, работающих с файловыми или клиент-серверными базами на платформе 1С:Предприятие 8, самым быстрым способом часто является прямой запрос к таблицам журнала регистрации. Этот метод требует знаний структуры системных таблиц.
Таблица журнала регистрации обычно называется _AccRg353 (цифры могут отличаться в зависимости от версии платформы) или иметь префикс, указывающий на регистр сведений. В клиент-серверном варианте (MS SQL, PostgreSQL) можно выполнить SQL-запрос напрямую через инструменты СУБД.
В запросе необходимо соединить таблицу событий с таблицей пользователей и таблицей объектов. Ключевым условием будет фильтр по типу события (код события удаления) и имени объекта метаданных.
| Поле таблицы | Описание | Пример значения |
|---|---|---|
EventKind |
Код типа события | 12 (Удаление) |
DateTime |
Время совершения операции | 2023-10-25 14:30:00 |
UserRef |
Ссылка на пользователя | 45a1-22b3... |
ObjRef |
Ссылка на объект данных | 88c2-11d4... |
После выполнения запроса вы получите список записей, содержащих идентификаторы пользователей. Для расшифровки UserRef в читаемое имя потребуется дополнительный запрос к системной таблице пользователей _Users.
⚠️ Внимание: Прямое вмешательство в базу данных через SQL несет риски. Ошибочный запрос (особенно UPDATE или DELETE) может повредить данные. Используйте этот метод только в режиме "Только чтение" (SELECT).
Прямой SQL-запрос — самый быстрый способ найти информацию в больших базах, где интерфейс 1С может "зависать" при формировании отчета за большой период.
Восстановление удаленных объектов и профилактика
После того как вы выяснили, кто пометил на удаление документ, логичным следующим шагом будет его восстановление. В 1С это делается через меню Еще → Пометить на удаление (снять галочку) или через обработку группового перепроведения.
Однако, если объект был удален окончательно (удалением помеченных объектов), восстановить его штатными средствами невозможно. В этом случае поможет только восстановление из резервной копии (бэкапа). Именно поэтому регулярное резервное копирование является критически важной частью администрирования 1С.
Для профилактики подобных ситуаций в будущем стоит пересмотреть права доступа пользователей. Ограничьте право на удаление документов для рядовых сотрудников, оставив эту привилегию только руководителям или главном бухгалтерам. Используйте механизм RLS (ограничение на уровне записей) для тонкой настройки.
Также рекомендуется настроить автоматическую рассылку уведомлений при критических событиях. Современные средства мониторинга позволяют отправлять письмо администратору сразу же, как только в журнале регистрации появляется запись об удалении документа определенного вида.
Настройте регламентное задание "Удаление помеченных объектов" на ночное время, чтобы у вас всегда был запас времени на снятие пометки с документа, удаленного по ошибке в течение рабочего дня.
Можно ли узнать, кто удалил документ, если журнал регистрации был выключен?
К сожалению, нет. Если журнал регистрации был отключен в момент совершения операции, платформа не сохраняет историю действий. Единственный шанс — восстановить базу из бэкапа, сделанного до удаления, и включить журнал там, но это не покажет действия в основной базе.
Как найти удаленный документ, если я не знаю его номер?
В журнале регистрации можно фильтровать события не только по номеру, но и по типу объекта (например, "Документ.РеализацияТоваровУслуг") и по пользователю. Просмотрев список удалений конкретным сотрудником, вы сможете визуально опознать документ по контрагенту или сумме в дополнительных полях лога.
Влияет ли пометка на удаление на проведение документов?
Да, помеченные на удаление документы игнорируются при формировании отчетов и проведении последующих документов, если в настройках не стоит галочка "Показывать помеченные на удаление". Однако они продолжают занимать место в базе данных до момента физического удаления.
Где физически хранится журнал регистрации в файловой базе?
В файловой версии 1С журнал регистрации хранится в специальном файле с расширением .lgd (или в папке 1Cv8Log в старых версиях) внутри каталога базы данных. Прямое редактирование этого файла запрещено, читать его можно только через интерфейс 1С или специальные утилиты.
Может ли системный пользователь "System" удалять документы?
Да, фоновые задания, обновления конфигурации или работы внешних интеграционных модулей могут выполняться от имени системного пользователя. Если в журнале вы видите пользователя "System" или "BackgroundJob", ищите причину в регламентных операциях или скриптах обмена данными.