ETW autologgeri Windows 11: ko tie patiesībā raksta uz disku
Šajā lapā
Īsā atbilde
Section titled “Īsā atbilde”Tīrā Windows 11 26H2 ir reģistrētas 39 ETW autologger sesijas, 19 ir ieslēgtas, bet reāli kopš palaišanas diskā raksta tikai 9. Vēl 3 darbojas atmiņas gredzenbuferī (nulle diska izmaksu), 5 strādā reāllaikā bez faila, un 2 Defender sesijas faktiski nepalaižas. Galvenais notikumu ģenerators ir Diagtrack-Listener: aptuveni 110 MB notikumu 2 stundās, kad darbojas telemetrijas pakalpojums. No 32 MB, ko aizņem autologger faili, 28 MB ir iepriekš piešķirti tukšinieki.
Statuss: katalogs apkopots, statiski lasot reģistru; faktiskais stāvoklis pārbaudīts ar uzņemto momentuzņēmumu 2 stundas pēc palaišanas. Viena būvējuma versija, viena virtuālā mašīna; pārnese uz citām konfigurācijām (klēpjdatori ar WiFi, sistēmas ar ReFS) maina aktīvo failu sastāvu.
Pārbaudāmais apgalvojums
Section titled “Pārbaudāmais apgalvojums”Mēs pārbaudījām trīs apgalvojumus:
- “Autologgeru atslēgšana” ir viena saprotama darbība, un aktīvo sesiju sastāvs ir mazs.
- Autologgeru faili aizņem ievērojamu vietu.
- Diagnostikas trasējumi dīkstāvē rada ievērojamu notikumu plūsmu.
Pētījuma joma
Section titled “Pētījuma joma”- Windows 11 Pro, build 26300.9457 (26H2), virtuālā mašīna bez WiFi moduļa;
- reģistra sadaļa Autologger: visas 39 sesijas, to palaišanas karodziņi, failu režīmi un pievienotie nodrošinātāji;
- faktiskais sesiju un failu stāvoklis 2 stundas pēc tīras sistēmas palaišanas;
- 1115 reģistrēti ETW nodrošinātāji un 1049 ieraksti “nodrošinātājs sesijā”.
Netika pārbaudīti: citi būvējumi, mašīnas ar radio moduļiem, ReFS sējumiem un RDP slodzi; sesiju uzvedība ar izslēgtu telemetriju ilgākā laika posmā.
Metodika
Section titled “Metodika”Sesiju katalogs apkopots no reģistra konfigurācijas Autologger: palaišanas karodziņš, faila režīms, limiti un nodrošinātāji. Faktiskais stāvoklis salīdzināts 2 stundas pēc palaišanas: palaistās sesijas, aizņemtie buferi un failu izmēri. Diagtrack-Listener notikumu apjoma novērtējums iegūts pēc ierakstīto buferu skaita.
Rezultāti
Section titled “Rezultāti”Autologgeru sastāvs
Section titled “Autologgeru sastāvs”| Kategorija | Sesijas |
|---|---|
| Reģistrētas kopā | 39 |
| Ieslēgtas pēc reģistra (Start=1) | 19 |
| No tām reāli palaistas | 17 |
| Raksta diskā kopš palaišanas | 9 |
| Darbojas atmiņā (buferizācija) | 3 |
| Reāllaiks bez faila | 5 |
| Konfigurācija bez Start vērtības (nepalaižas) | 3 |
Divas Defender sesijas, kas ieslēgtas pēc reģistra, faktiski nepalaižas: aizsardzība aizstāj tās ar savu sesiju ar mazākām privilēģijām.
Deviņas failu sesijas: kas un cik
Section titled “Deviņas failu sesijas: kas un cik”| Sesija | Mērķis | Aizņemts | Īpatnība |
|---|---|---|---|
| Diagtrack-Listener | telemetrijas uztvērējs | nav faila, kamēr pakalpojums darbojas | aptuveni 110 MB notikumu 2 stundās aiziet telemetrijas pakalpojumam |
| NetCore | tīkla steka diagnostika | 22 MB | iepriekš piešķirts fails; ierakstīti aptuveni 2.5 MB notikumu |
| RadioMgr | radio moduļu stāvoklis | 6 MB | iepriekš piešķirts; mašīnā bez WiFi — fails-tukšinieks |
| WdiContextLog | palaišanas un PnP diagnostika | 2.2 MB | rotācija pa palaišanām |
| NtfsLog | NTFS trasējums | 1.7 MB | rotācija 8 failiem; vienīgā ievērojamā plūsma pēc DiagTrack |
| WiFiSession | WLAN diagnostika | 80 KB | bez WiFi gandrīz tukšs |
| LwtNetLog | tīkla diagnostika | 64 KB | |
| RdpIdd-Trace | RDP grafika | 64 KB | |
| ReFSLog | ReFS trasējums | 4 KB | bez ReFS sējumiem netiek rakstīts |
Kopā aktīvo autologgeru faili aizņem 32 MB, no kuriem 28 MB ir NetCore un RadioMgr iepriekšēja piešķiršana: šāda izmēra faili pastāv vienmēr, neatkarīgi no reālā notikumu apjoma.
Diagtrack-Listener: smaga plūsma bez faila
Section titled “Diagtrack-Listener: smaga plūsma bez faila”Kamēr telemetrijas pakalpojums darbojas, tas pārtver sesiju reāllaikā: faila nav, bet notikumu plūsma nepazūd — aptuveni 110 MB 2 stundās. Sesijā ir pievienoti 254 nodrošinātāji, lielākajai daļai ieslēgts maksimālais ierakstīšanas līmenis. Ja telemetrijas pakalpojumu izslēdz, autologger turpinās rakstīt failā bez patērētāja — tāpēc to ir jādzēš kopā ar pakalpojumu.
Līmeņi un nodrošinātāji
Section titled “Līmeņi un nodrošinātāji”Ierakstīšanas līmenis tiek noteikts nevis sesijai, bet nodrošinātājiem. No 1115 reģistrētajiem nodrošinātājiem 607 nav sastopami nevienā autologgerā — tie tiek pievienoti tikai runtime sesijās. No 1049 ierakstiem “nodrošinātājs sesijā” 425 ir GUID bez reģistrētiem nosaukumiem, galvenokārt telemetrijas scenāriju identifikatori.
Kas apstiprināts
Section titled “Kas apstiprināts”- Novērots: 39 sesijas reģistrā, 19 ieslēgtas, 17 reāli palaistas, 9 raksta diskā.
- Izmērīts: aktīvo autologgeru faili aizņem 32 MB; 28 MB no tiem ir NetCore un RadioMgr iepriekšēja piešķiršana.
- Izmērīts: Diagtrack-Listener ieraksta aptuveni 110 MB notikumu 2 stundās, kad darbojas telemetrijas pakalpojums.
- Novērots: divas Defender sesijas nepalaižas aizsardzības aizstāšanas dēļ.
Kas nav apstiprināts
Section titled “Kas nav apstiprināts”- Sastāvs un apjomi citos būvējumos un konfigurācijās (WiFi, ReFS, RDP slodze).
- Ilgtermiņa rotācijas failu pieaugums daudzu palaišanu laikā.
- Atsevišķu sesiju atslēgšanas ietekme uz problēmu diagnosticējamību: šajā pētījumā mēs sesijas neatslēdzām.
Ierobežojumi
Section titled “Ierobežojumi”Viens momentuzņēmums 2 stundas pēc vienas palaišanas; nakts un apkopes logi nav pārstāvēti. Diagtrack-Listener apjoma novērtējums ir pēc buferiem, nevis pēc faila. Iepriekš piešķirti faili pastāv vienmēr, bet to izmērs nav “ierakstītā” apjoma mērījums.
Praktiskais secinājums
Section titled “Praktiskais secinājums”Masveida “atslēgt visus autologgerus” nav jēgas: lielākā daļa sesiju tāpat neraksta diskā, un trīs reāli smagie avoti ir punktveida. Ja mērķis ir samazināt telemetriju, atslēdziet Diagtrack-Listener kopā ar telemetrijas pakalpojumu: BoosterX to dara iestatījums “Fona ETW autologgeri”. Ja mērķis ir vieta diskā, ņemiet vērā, ka 28 MB no 32 ir divu failu iepriekšēja piešķiršana, nevis augoši žurnāli. Pārējo failu sesiju (NTFS, WDI, tīkls) diagnostisko vērtību mēs vērtētu augstāk par to diska cenu.
Stāvokļa atjaunošana
Section titled “Stāvokļa atjaunošana”Pētījums ir tīri novērojošs: neviena sesija netika atslēgta vai mainīta. Sistēma palika sākotnējā stāvoklī.
Avoti un robežas
Section titled “Avoti un robežas”Katalogu apkopoja BoosterX Research aprakstītajā virtuālajā mašīnā. Pētījums pieder BoosterX izstrādātājam, izstrādātājam ir tieša interese par rezultātu; metodika un ierobežojumi aprakstīti iepriekš.
- Microsoft: Configuring and Starting an Autologger Session, pārbaudīts 2026-09-22.
- Microsoft: Event Tracing, pārbaudīts 2026-09-22.
Pēdējā pārbaude: 2026-09-22.