ETW অটোলগার Windows 11: আসলে ডিস্কে কী লেখা হয়

সংক্ষিপ্ত উত্তর

পরিষ্কার Windows 11 26H2-এ 39টি ETW অটোলগার সেশন নিবন্ধিত, 19টি চালু, কিন্তু বুট থেকে প্রকৃতপক্ষে ডিস্কে লেখে মাত্র 9টি। আরও 3টি মেমরি রিং বাফারে থাকে (শূন্য ডিস্ক খরচ), 5টি ফাইল ছাড়াই রিয়েল টাইমে কাজ করে, এবং Defender-এর 2টি সেশন фактически শুরু হয় না। প্রধান ইভেন্ট জেনারেটর — Diagtrack-Listener: টেলিমেট্রি পরিষেবা চালু থাকলে 2 ঘণ্টায় প্রায় 110 MB ইভেন্ট। অটোলগার ফাইলগুলোর দখল করা 32 MB-এর মধ্যে 28 MB — প্রি-অ্যালোকেটেড খালি ফাইল।

স্ট্যাটাস: ক্যাটালগটি রেজিস্ট্রি স্ট্যাটিকভাবে পড়ে সংকলিত; প্রকৃত অবস্থা বুটের 2 ঘণ্টা পর স্ন্যাপশট দিয়ে যাচাই করা হয়েছে। একটি বিল্ড, একটি ভার্চুয়াল মেশিন; অন্য কনফিগারেশনে (WiFi-সহ ল্যাপটপ, ReFS-সহ সিস্টেম) স্থানান্তর করলে সক্রিয় ফাইলের গঠন বদলে যায়।

যাচাইযোগ্য দাবি

আমরা তিনটি দাবি যাচাই করেছি:

1. «অটোলগার বন্ধ করা» — এটি একটি সুস্পষ্ট কাজ, আর সক্রিয় সেশনের গঠন ছোট।
2. অটোলগার ফাইলগুলো উল্লেখযোগ্য জায়গা দখল করে।
3. ডায়াগনস্টিক ট্রেসগুলো আইডল অবস্থায় লক্ষণীয় ইভেন্ট প্রবাহ দেয়।

исследования পরিধি

• Windows 11 Pro, build 26300.9457 (26H2), WiFi মডিউল ছাড়া ভার্চুয়াল মেশিন;
• Autologger রেজিস্ট্রি বিভাগ: সব 39টি সেশন, তাদের স্টার্ট ফ্ল্যাগ, ফাইল মোড এবং সংযুক্ত প্রোভাইডার;
• পরিষ্কার সিস্টেম বুটের 2 ঘণ্টা পর সেশন ও ফাইলের প্রকৃত অবস্থা;
• 1115টি নিবন্ধিত ETW প্রোভাইডার এবং 1049টি «সেশনে প্রোভাইডার» রেকর্ড।

যাচাই করা হয়নি: অন্য বিল্ড, রেডিও মডিউল-সহ মেশিন, ReFS ভলিউম এবং RDP লোড; দীর্ঘ সময়সীমায় টেলিমেট্রি বন্ধ অবস্থায় সেশনের আচরণ।

পদ্ধতি

সেশন ক্যাটালগ Autologger রেজিস্ট্রি কনফিগারেশন থেকে সংকলিত: স্টার্ট ফ্ল্যাগ, ফাইল মোড, লিমিট এবং প্রোভাইডার। প্রকৃত অবস্থা বুটের 2 ঘণ্টা পর মিলিয়ে দেখা হয়েছে: চালু সেশন, দখল করা বাফার এবং ফাইলের আকার। Diagtrack-Listener-এর ইভেন্ট আয়তনের অনুমান লেখা বাফারের সংখ্যা থেকে পাওয়া।

ফলাফল

অটোলগারদের গঠন

বিভাগ	সেশন
মোট নিবন্ধিত	39
রেজিস্ট্রি অনুযায়ী চালু (Start=1)	19
তাদের মধ্যে প্রকৃতপক্ষে চালু	17
বুট থেকে ডিস্কে লেখে	9
মেমরিতে থাকে (বাফারিং)	3
ফাইল ছাড়া রিয়েল টাইম	5
Start মান ছাড়া কনফিগারেশন (শুরু হয় না)	3

রেজিস্ট্রি অনুযায়ী চালু Defender-এর দুটি সেশন фактически শুরু হয় না: সুরক্ষা তাদের নিজের কম-সুবিধার সেশন দিয়ে প্রতিস্থাপন করে।

নয়টি ফাইল সেশন: কে এবং কতটুকু

সেশন	উদ্দেশ্য	দখলকৃত	বৈশিষ্ট্য
Diagtrack-Listener	টেলিমেট্রি রিসিভার	পরিষেবা চালু থাকলে ফাইল নেই	টেলিমেট্রি পরিষেবায় 2 ঘণ্টায় প্রায় 110 MB ইভেন্ট যায়
NetCore	নেটওয়ার্ক স্ট্যাক ডায়াগনস্টিক	22 MB	প্রি-অ্যালোকেটেড ফাইল; প্রায় 2.5 MB ইভেন্ট লেখা হয়েছে
RadioMgr	রেডিও মডিউলের অবস্থা	6 MB	প্রি-অ্যালোকেটেড; WiFi ছাড়া মেশিনে — খালি ফাইল
WdiContextLog	বুট ও PnP ডায়াগনস্টিক	2.2 MB	বুট অনুযায়ী রোটেশন
NtfsLog	NTFS ট্রেসিং	1.7 MB	8 ফাইলের রোটেশন; DiagTrack-এর পর একমাত্র লক্ষণীয় প্রবাহ
WiFiSession	WLAN ডায়াগনস্টিক	80 KB	WiFi ছাড়া প্রায় খালি
LwtNetLog	নেটওয়ার্ক ডায়াগনস্টিক	64 KB
RdpIdd-Trace	RDP গ্রাফিক্স	64 KB
ReFSLog	ReFS ট্রেসিং	4 KB	ReFS ভলিউম ছাড়া লেখে না

মোট, সক্রিয় অটোলগার ফাইলগুলো 32 MB দখল করে, যার মধ্যে 28 MB — NetCore ও RadioMgr-এর প্রি-অ্যালোকেশন: এই আকারের ফাইল সবসময় থাকে, ইভেন্টের প্রকৃত আয়তন নির্বিশেষে।

Diagtrack-Listener: ফাইল ছাড়া ভারী প্রবাহ

টেলিমেট্রি পরিষেবা যতক্ষণ চালু থাকে, এটি সেশনটি রিয়েল টাইমে আটকে নেয়: ফাইল নেই, কিন্তু ইভেন্ট প্রবাহ মিলিয়ে যায় না — 2 ঘণ্টায় প্রায় 110 MB। সেশনে 254টি প্রোভাইডার সংযুক্ত, বেশিরভাগের সর্বোচ্চ লেখার স্তর চালু। টেলিমেট্রি পরিষেবা বন্ধ করলে, অটোলগার ভোক্তা ছাড়াই ফাইলে লিখতে থাকবে — তাই এটি পরিষেবার সঙ্গে একসঙ্গে বন্ধ করা দরকার।

স্তর ও প্রোভাইডার

লেখার স্তর সেশনে নয়, প্রোভাইডারে নির্ধারিত হয়। 1115টি নিবন্ধিত প্রোভাইডারের মধ্যে 607টি কোনো অটোলগারে পাওয়া যায় না — তারা শুধু runtime সেশনে সংযুক্ত হয়। 1049টি «সেশনে প্রোভাইডার» রেকর্ডের মধ্যে 425টি — নিবন্ধিত নাম ছাড়া GUID, মূলত টেলিমেট্রির সিনারিও আইডেন্টিফায়ার।

যা নিশ্চিত হয়েছে

• পর্যবেক্ষিত: রেজিস্ট্রিতে 39টি সেশন, 19টি চালু, 17টি প্রকৃতপক্ষে চালু, 9টি ডিস্কে লেখে।
• পরিমাপকৃত: সক্রিয় অটোলগার ফাইলগুলো 32 MB দখল করে; এর মধ্যে 28 MB — NetCore ও RadioMgr-এর প্রি-অ্যালোকেশন।
• পরিমাপকৃত: Diagtrack-Listener টেলিমেট্রি পরিষেবা চালু থাকলে 2 ঘণ্টায় প্রায় 110 MB ইভেন্ট লেখে।
• পর্যবেক্ষিত: Defender-এর দুটি সেশন সুরক্ষার প্রতিস্থাপনের কারণে শুরু হয় না।

যা নিশ্চিত হয়নি

• অন্য বিল্ড ও কনফিগারেশনে গঠন ও আয়তন (WiFi, ReFS, RDP লোড)।
• অনেক বুট জুড়ে রোটেশন ফাইলের দীর্ঘমেয়াদি বৃদ্ধি।
• আলাদা সেশন বন্ধ করার সমস্যা-ডায়াগনোসেবিলিটিতে প্রভাব: এই গবেষণায় আমরা সেশন বন্ধ করিনি।

সীমাবদ্ধতা

একটি বুটের 2 ঘণ্টা পর একটি স্ন্যাপশট; রাতের ও রক্ষণাবেক্ষণ উইন্ডো উপস্থাপিত নয়। Diagtrack-Listener-এর আয়তনের অনুমান — ফাইল নয়, বাফার থেকে। প্রি-অ্যালোকেটেড ফাইল সবসময় থাকে, কিন্তু তাদের আকার «লেখা» আয়তনের পরিমাপ নয়।

ব্যবহারিক উপসংহার

সামগ্রিকভাবে «সব অটোলগার বন্ধ করা» অর্থহীন: বেশিরভাগ সেশন তো ডিস্কেই লেখে না, আর তিনটি সত্যিকারের ভারী উৎস নির্দিষ্ট। যদি লক্ষ্য টেলিমেট্রি কমানো হয়, Diagtrack-Listener টেলিমেট্রি পরিষেবার সঙ্গে একসঙ্গে বন্ধ করুন: BoosterX-এ এটি «Фоновые ETW-автологгеры» সেটিং করে। যদি লক্ষ্য ডিস্কের জায়গা হয়, মনে রাখবেন 32-এর মধ্যে 28 MB দুটি ফাইলের প্রি-অ্যালোকেশন, বাড়তে থাকা লগ নয়। বাকি ফাইল সেশনগুলোর (NTFS, WDI, নেটওয়ার্ক) ডায়াগনস্টিক মূল্য আমরা তাদের ডিস্ক খরচের চেয়ে বেশি মূল্যায়ন করব।

অবস্থা পুনরুদ্ধার

গবেষণাটি সম্পূর্ণ পর্যবেক্ষণমূলক: কোনো সেশন বন্ধ বা পরিবর্তন করা হয়নি। সিস্টেমটি প্রাথমিক অবস্থায় রয়ে গেছে।

উৎস ও সীমা

ক্যাটালগটি BoosterX Research বর্ণিত ভার্চুয়াল মেশিনে সংকলন করেছে। গবেষণাটি BoosterX ডেভেলপারের মালিকানাধীন, ডেভেলপারের ফলাফলে সরাসরি স্বার্থ রয়েছে; পদ্ধতি ও সীমাবদ্ধতা উপরে বর্ণিত।

• Microsoft: Configuring and Starting an Autologger Session, যাচাই 2026-09-22।
• Microsoft: Event Tracing, যাচাই 2026-09-22।

শেষ যাচাই: 2026-09-22।