ETW-autologgere i Windows 11: hvad der faktisk skrives til disken
På denne side
Kort svar
Sektion kaldt “Kort svar”I en ren Windows 11 26H2 er der registreret 39 ETW-autologger-sessioner, 19 er aktiveret, men kun 9 skriver faktisk til disken fra opstart. Yderligere 3 lever i en ringbuffer i hukommelsen (nul diskomkostninger), 5 kører i realtid uden fil, og 2 Defender-sessioner starter reelt ikke. Den største begivenhedsgenerator er Diagtrack-Listener: omkring 110 MB begivenheder på 2 timer med telemetritjenesten kørende. Af de 32 MB, som autologger-filer optager, er 28 MB præallokerede tomme filer.
Status: kataloget er samlet ved statisk læsning af registreringsdatabasen; den faktiske tilstand er verificeret med et snapshot 2 timer efter opstart. Én build, én virtuel maskine; overførsel til andre konfigurationer (bærbare computere med WiFi, systemer med ReFS) ændrer sammensætningen af aktive filer.
Verificerbar påstand
Sektion kaldt “Verificerbar påstand”Vi undersøgte tre påstande:
- “Deaktivering af autologgere” er én overskuelig handling, og sammensætningen af aktive sessioner er lille.
- Autologger-filer optager betydelig plads.
- Diagnostiske sporinger giver en mærkbar strøm af begivenheder i tomgang.
Undersøgelsens omfang
Sektion kaldt “Undersøgelsens omfang”- Windows 11 Pro, build 26300.9457 (26H2), virtuel maskine uden WiFi-modul;
- registreringsdatabasens nøgle Autologger: alle 39 sessioner, deres startflag, filtilstande og tilknyttede udbydere;
- den faktiske tilstand af sessioner og filer 2 timer efter opstart af et rent system;
- 1115 registrerede ETW-udbydere og 1049 poster “udbyder i session”.
Ikke undersøgt: andre builds, maskiner med radiomoduler, ReFS-volumener og RDP-belastning; sessionernes adfærd ved deaktiveret telemetri over et længere vindue.
Metode
Sektion kaldt “Metode”Sessionernes katalog er samlet fra registreringsdatabasens Autologger-konfiguration: startflag, filtilstand, grænser og udbydere. Den faktiske tilstand blev sammenlignet 2 timer efter opstart: kørende sessioner, optagne buffere og filstørrelser. Vurderingen af begivenhedsvolumenet for Diagtrack-Listener er baseret på antallet af skrevne buffere.
Resultater
Sektion kaldt “Resultater”Autologgernes sammensætning
Sektion kaldt “Autologgernes sammensætning”| Kategori | Sessioner |
|---|---|
| Registreret i alt | 39 |
| Aktiveret ifølge registreringsdatabasen (Start=1) | 19 |
| Heraf reelt startet | 17 |
| Skriver til disken fra opstart | 9 |
| Lever i hukommelsen (bufring) | 3 |
| Realtid uden fil | 5 |
| Konfiguration uden Start-værdi (starter ikke) | 3 |
To Defender-sessioner, der er aktiveret ifølge registreringsdatabasen, starter faktisk ikke: beskyttelsen erstatter dem med sin egen session med lavere privilegier.
Ni filsessions: hvem og hvor meget
Sektion kaldt “Ni filsessions: hvem og hvor meget”| Session | Formål | Optaget | Særkende |
|---|---|---|---|
| Diagtrack-Listener | telemetrimodtager | ingen fil ved levende tjeneste | omkring 110 MB begivenheder på 2 timer går til telemetritjenesten |
| NetCore | diagnostik af netværksstakken | 22 MB | præallokeret fil; der er skrevet omkring 2.5 MB begivenheder |
| RadioMgr | radiomodulernes tilstand | 6 MB | præallokeret; på en maskine uden WiFi — en tom fil |
| WdiContextLog | diagnostik af opstart og PnP | 2.2 MB | rotation pr. opstart |
| NtfsLog | sporing af NTFS | 1.7 MB | rotation af 8 filer; den eneste mærkbare strøm efter DiagTrack |
| WiFiSession | diagnostik af WLAN | 80 KB | næsten tom uden WiFi |
| LwtNetLog | netværksdiagnostik | 64 KB | |
| RdpIdd-Trace | RDP-grafik | 64 KB | |
| ReFSLog | sporing af ReFS | 4 KB | skrives ikke uden ReFS-volumener |
I alt optager filerne for aktive autologgere 32 MB, hvoraf 28 MB er præallokering af NetCore og RadioMgr: filer af denne størrelse eksisterer altid, uafhængigt af det reelle begivenhedsvolumen.
Diagtrack-Listener: tung strøm uden fil
Sektion kaldt “Diagtrack-Listener: tung strøm uden fil”Så længe telemetritjenesten kører, opsnapper den sessionen i realtid: der er ingen fil, men begivenhedsstrømmen forsvinder ikke — omkring 110 MB på 2 timer. 254 udbydere er tilknyttet sessionen, og for de fleste er det maksimale optagelsesniveau aktiveret. Hvis telemetritjenesten deaktiveres, fortsætter autologgeren med at skrive til filen uden en forbruger — derfor skal den slukkes sammen med tjenesten.
Niveauer og udbydere
Sektion kaldt “Niveauer og udbydere”Optagelsesniveauet angives ikke på sessionen, men på udbyderne. Af 1115 registrerede udbydere optræder 607 ikke i nogen autologger — de tilknyttes kun i runtime-sessioner. Af 1049 poster “udbyder i session” er 425 GUID’er uden registrerede navne, hovedsageligt scenarieidentifikatorer for telemetri.
Hvad der er bekræftet
Sektion kaldt “Hvad der er bekræftet”- Observeret: 39 sessioner i registreringsdatabasen, 19 aktiveret, 17 reelt startet, 9 skriver til disken.
- Målt: filerne for aktive autologgere optager 32 MB; 28 MB af dem er præallokering af NetCore og RadioMgr.
- Målt: Diagtrack-Listener skriver omkring 110 MB begivenheder på 2 timer med telemetritjenesten kørende.
- Observeret: to Defender-sessioner starter ikke på grund af beskyttelsens erstatning.
Hvad der ikke er bekræftet
Sektion kaldt “Hvad der ikke er bekræftet”- Sammensætning og volumener på andre builds og konfigurationer (WiFi, ReFS, RDP-belastning).
- Langsigtet vækst af rotationsfiler over mange opstarter.
- Effekten af at deaktivere enkelte sessioner på diagnosticerbarheden af problemer: vi deaktiverede ikke sessioner i denne undersøgelse.
Begrænsninger
Sektion kaldt “Begrænsninger”Ét snapshot 2 timer efter én opstart; natlige og vedligeholdelsesmæssige vinduer er ikke repræsenteret. Vurderingen af Diagtrack-Listeners volumen er baseret på buffere, ikke på filen. Præallokerede filer eksisterer altid, men deres størrelse er ikke en måling af det “skrevne” volumen.
Praktisk konklusion
Sektion kaldt “Praktisk konklusion”En massehandling med at “deaktivere alle autologgere” giver ingen mening: de fleste sessioner skriver alligevel ikke til disken, og de tre reelt tunge kilder er punktvise. Hvis målet er at reducere telemetri, skal du deaktivere Diagtrack-Listener sammen med telemetritjenesten: i BoosterX gør indstillingen «Baggrunds-ETW-autologgere» dette. Hvis målet er plads på disken, skal du tage højde for, at 28 MB af 32 er præallokering af to filer, ikke voksende logfiler. Den diagnostiske værdi af de øvrige filsessions (NTFS, WDI, netværk) ville vi vurdere højere end deres diskpris.
Gendannelse af tilstanden
Sektion kaldt “Gendannelse af tilstanden”Undersøgelsen er rent observerende: ingen session blev deaktiveret eller ændret. Systemet forblev i sin oprindelige tilstand.
Kilder og grænser
Sektion kaldt “Kilder og grænser”Kataloget er samlet af BoosterX Research på den beskrevne virtuelle maskine. Undersøgelsen tilhører udvikleren af BoosterX, og udvikleren har en direkte interesse i resultatet; metoden og begrænsningerne er beskrevet ovenfor.
- Microsoft: Configuring and Starting an Autologger Session, verificeret 2026-09-22.
- Microsoft: Event Tracing, verificeret 2026-09-22.
Seneste verifikation: 2026-09-22.