ETW-autologgers i Windows 11: vad som faktiskt skrivs till disk
På den här sidan
Kort svar
Section titled “Kort svar”I en ren Windows 11 26H2 är 39 ETW-autologger-sessioner registrerade, 19 är aktiverade, men endast 9 skriver faktiskt till disk från start. Ytterligare 3 lever i en ringbuffert i minnet (noll diskkostnad), 5 körs i realtid utan fil, och 2 Defender-sessioner startar i praktiken inte. Den främsta händelsegeneratorn är Diagtrack-Listener: cirka 110 MB händelser under 2 timmar när telemetritjänsten körs. Av de 32 MB som autologger-filerna upptar är 28 MB förallokerade tomma skal.
Status: katalogen sammanställdes genom statisk läsning av registret; det faktiska tillståndet verifierades med en avbildning 2 timmar efter start. En build, en virtuell maskin; överföring till andra konfigurationer (bärbara datorer med WiFi, system med ReFS) ändrar sammansättningen av aktiva filer.
Verifierbart påstående
Section titled “Verifierbart påstående”Vi verifierade tre påståenden:
- “Inaktivering av autologgers” är en enda tydlig åtgärd, och sammansättningen av aktiva sessioner är liten.
- Autologger-filer upptar betydande plats.
- Diagnostiska spårningar ger en märkbar händelseström i idle.
Undersökningens omfattning
Section titled “Undersökningens omfattning”- Windows 11 Pro, build 26300.9457 (26H2), virtuell maskin utan WiFi-modul;
- registeravsnittet Autologger: alla 39 sessioner, deras startflaggor, fillägen och anslutna providers;
- faktiskt tillstånd för sessioner och filer 2 timmar efter start av ett rent system;
- 1115 registrerade ETW-providers och 1049 poster “provider i session”.
Inte undersökt: andra builds, maskiner med radiomoduler, ReFS-volymer och RDP-belastning; sessionernas beteende med telemetri inaktiverad under ett längre fönster.
Metodik
Section titled “Metodik”Sessionskatalogen sammanställdes från registerkonfigurationen Autologger: startflagga, filläge, gränser och providers. Det faktiska tillståndet jämfördes 2 timmar efter start: startade sessioner, upptagna buffertar och filstorlekar. Uppskattningen av händelsevolymen för Diagtrack-Listener erhölls från antalet skrivna buffertar.
Resultat
Section titled “Resultat”Autologgers sammansättning
Section titled “Autologgers sammansättning”| Kategori | Sessioner |
|---|---|
| Registrerade totalt | 39 |
| Aktiverade enligt registret (Start=1) | 19 |
| Varav faktiskt startade | 17 |
| Skriver till disk från start | 9 |
| Lever i minnet (buffring) | 3 |
| Realtid utan fil | 5 |
| Konfiguration utan Start-värde (startar inte) | 3 |
Två Defender-sessioner, aktiverade enligt registret, startar i praktiken inte: skyddet ersätter dem med en egen session med lägre privilegier.
Nio filsessions: vilka och hur mycket
Section titled “Nio filsessions: vilka och hur mycket”| Session | Syfte | Upptaget | Egenskap |
|---|---|---|---|
| Diagtrack-Listener | telemetrimottagare | ingen fil när tjänsten körs | cirka 110 MB händelser under 2 timmar går till telemetritjänsten |
| NetCore | diagnostik av nätverksstack | 22 MB | förallokerad fil; cirka 2.5 MB händelser skrivna |
| RadioMgr | radiomodulernas tillstånd | 6 MB | förallokerad; på en maskin utan WiFi — en tom skal-fil |
| WdiContextLog | diagnostik av start och PnP | 2.2 MB | rotation per starter |
| NtfsLog | spårning av NTFS | 1.7 MB | rotation av 8 filer; enda märkbara flödet efter DiagTrack |
| WiFiSession | diagnostik av WLAN | 80 KB | nästan tom utan WiFi |
| LwtNetLog | nätverksdiagnostik | 64 KB | |
| RdpIdd-Trace | RDP-grafik | 64 KB | |
| ReFSLog | spårning av ReFS | 4 KB | skrivs inte utan ReFS-volymer |
Sammanlagt upptar filerna för aktiva autologgers 32 MB, varav 28 MB är förallokering för NetCore och RadioMgr: filer av den storleken finns alltid, oavsett den faktiska händelsevolymen.
Diagtrack-Listener: tungt flöde utan fil
Section titled “Diagtrack-Listener: tungt flöde utan fil”Så länge telemetritjänsten körs fångar den upp sessionen i realtid: ingen fil finns, men händelseströmmen försvinner inte — cirka 110 MB under 2 timmar. I sessionen är 254 providers anslutna, de flesta med maximal inspelningsnivå aktiverad. Om telemetritjänsten inaktiveras fortsätter autologgern att skriva till fil utan konsument — därför måste den stängas av tillsammans med tjänsten.
Nivåer och providers
Section titled “Nivåer och providers”Inspelningsnivån anges inte per session, utan per providers. Av 1115 registrerade providers förekommer 607 inte i någon autologger — de ansluts endast i runtime-sessioner. Av 1049 poster “provider i session” är 425 GUID utan registrerade namn, huvudsakligen scenarioidientiteter för telemetri.
Vad som bekräftats
Section titled “Vad som bekräftats”- Observerat: 39 sessioner i registret, 19 aktiverade, 17 faktiskt startade, 9 skriver till disk.
- Uppmätt: filerna för aktiva autologgers upptar 32 MB; 28 MB av dem är förallokering för NetCore och RadioMgr.
- Uppmätt: Diagtrack-Listener skriver cirka 110 MB händelser under 2 timmar när telemetritjänsten körs.
- Observerat: två Defender-sessioner startar inte på grund av att skyddet ersätter dem.
Vad som inte bekräftats
Section titled “Vad som inte bekräftats”- Sammansättning och volymer på andra builds och konfigurationer (WiFi, ReFS, RDP-belastning).
- Långsiktig tillväxt av rotationsfiler över många starter.
- Effekten av att inaktivera enskilda sessioner på diagnostiserbarheten av problem: vi inaktiverade inga sessioner i denna undersökning.
Begränsningar
Section titled “Begränsningar”En avbildning 2 timmar efter en start; nattliga och underhållsfönster representeras inte. Uppskattningen av Diagtrack-Listeners volym är baserad på buffertar, inte på fil. Förallokerade filer finns alltid, men deras storlek är inte en mätning av “skriven” volym.
Praktisk slutsats
Section titled “Praktisk slutsats”Massinaktivering av “alla autologgers” är meningslös: de flesta sessioner skriver ändå inte till disk, och tre verkligt tunga källor är punktvisa. Om målet är att minska telemetrin, inaktivera Diagtrack-Listener tillsammans med telemetritjänsten: i BoosterX gör inställningen «Bakgrunds-ETW-autologgers» detta. Om målet är diskutrymme, beakta att 28 MB av 32 är förallokering av två filer, inte växande loggar. Det diagnostiska värdet av de övriga filsessionserna (NTFS, WDI, nätverk) skulle vi värdera högre än deras diskkostnad.
Återställning av tillstånd
Section titled “Återställning av tillstånd”Undersökningen är rent observerande: ingen session inaktiverades eller ändrades. Systemet förblev i sitt ursprungliga tillstånd.
Källor och gränser
Section titled “Källor och gränser”Katalogen sammanställdes av BoosterX Research på den beskrivna virtuella maskinen. Undersökningen tillhör utvecklaren av BoosterX, och utvecklaren har ett direkt intresse av resultatet; metodik och begränsningar beskrivs ovan.
- Microsoft: Configuring and Starting an Autologger Session, verifierad 2026-09-22.
- Microsoft: Event Tracing, verifierad 2026-09-22.
Senaste verifiering: 2026-09-22.