Was ist das ETL-Dateiformat?
Das .etl-Dateiformat wird zur Speicherung von Ereignisprotokollen verwendet, die vom Windows-ETW-Subsystem (Event Tracing for Windows) erstellt wurden. Es speichert Daten im Binärformat. Protokolle werden von ETW-Anbietern generiert - Kernel-, System- und Anwendungskomponenten, die ihre Aktivität instrumentieren - und nicht von einem einzelnen Tool. Das ETW-Framework protokolliert solche Ereignisse wie:
- Festplattenzugriff
- Seitenfehler und Speicheroperationen
- Speicher-Stack-Operationen
- Anwendungsereignisse und benutzerdefinierte Anbietermeldungen
Eine Ablaufverfolgungssitzung kann auch Systemstart- und Shutdown-Ereignisse umfassen. Da .etl-Dateien Daten in einem proprietären Binärformat speichern, sind dedizierte Diagnose- und Berichts-Tools erforderlich, um sie zu lesen. .etl-Dateien sollten nicht manuell bearbeitet werden.
.etl-Dateien speichern Protokolle hochfrequenter Ereignisse zusammen mit ihren Beschreibungen und Zeitstempeln. Solche Dateien können bei der Systemfehlerbehebung und Leistungsanalyse hilfreich sein. Bevor die Systemereignisse in eine .etl-Datei geschrieben werden, werden sie im Arbeitsspeicher gepuffert und dann in kompaktem Binärformat auf die Festplatte geleert, um den Aufwand gering zu halten. Berichtsdateien können viel Platz in Anspruch nehmen, daher empfiehlt es sich, die Menge des verfügbaren Festplattenspeichers zu überwachen, wenn lange Ablaufverfolgungssitzungen ausgeführt werden. Der tracerpt-Befehl kann verwendet werden, um Ereignisablaufverfolgungsprotokolle zu parsen und in lesbare Formate zu konvertieren, während Windows Performance Analyzer (WPA) und das Open-Source-Tool PerfView grafische Ansichten und erweiterte Filterung bieten. Verwandte Protokollformate sind .evtx (modernes Windows-Ereignisprotokoll) und .blg (Performance Monitor-Binärprotokoll).
Sicherheit
RISIKO: LOWEine .etl ist passive Ablaufverfolgungsdaten, nicht ausführbar, kann also allein nichts ausführen. Zwei wesentliche Überlegungen: (1) Datenschutz - eine Ablaufverfolgung kann sensible Details erfassen (Dateipfade, URLs, Prozessnamen, manchmal netzwerk- oder anmeldedaten-nahe Daten), seien Sie daher vorsichtig bei der öffentlichen Weitergabe einer .etl; senden Sie Ablaufverfolgungen nur an vertrauenswürdige Support-Kanäle. (2) Festplattenplatz - von Windows generierte ETLs (z. B. in LogFiles\WMI, WPR-Aufnahmen) können groß werden; die meisten können sicher gelöscht werden, wenn Sie sie nicht benötigen, und Windows erstellt aktive neu. Löschen Sie keine ETLs, in die eine laufende Ablaufverfolgungssitzung derzeit schreibt.
Formatdetails
kurz gefasstProgramme zum Öffnen von ETL-Dateien
Windows5 apps
Event Viewer
Integriert Öffnen Sie Ereignisanzeige > Aktion > Gespeichertes Protokoll öffnen, wählen Sie die .etl; sie zeigt die Ereignisse an und kann sie in .evtx konvertieren/speichern. Schnellster kostenloser Blick, keine Installation.
Windows Performance Analyzer (WPA)
Kostenlos Installieren Sie das Windows Performance Toolkit (Teil des Windows ADK oder aus dem Microsoft Store), dann Datei > Die .etl öffnen für grafische CPU-/Festplatten-/Boot-Zeitlinienanalyse.
PerfView
Open Source Kostenloser Microsoft-Profiler: PerfView.exe starten, auf die .etl doppelklicken, dann Ereignisse zum Durchsuchen von Ablaufverfolgungen (hervorragend für CPU-/.NET-Analysen).
tracerpt (command line)
Integriert In einer Admin-Eingabeaufforderung ausführen: tracerpt yourfile.etl - gibt dumpfile.xml und summary.txt aus (fügen Sie -of CSV für CSV hinzu). In Windows integriert; am besten für lesbaren Text.
Microsoft Message Analyzer (legacy network traces)
Kostenlos Älteres Tool für Netzwerk-/Protokoll-ETL-Ablaufverfolgungen. Von Microsoft EINGESTELLT (Download im November 2019 entfernt) - verwenden Sie stattdessen WPA/PerfView oder PktMon; Erwähnung nur für ältere Aufnahmen. Technische Details
technische Spezifikation| Entwickler | Microsoft |
| Formattyp | Binäres ETW (Event Tracing for Windows)-Ablaufverfolgungsprotokoll |
| Plattform | Nur Windows (ETW ist ein Windows-exklusives Subsystem) |
| Eingeführt | Windows 2000 (ETW wurde erstmals mit Windows 2000 geliefert) |
| Header-Struktur | Interner WMI-Protokolldatei-Header-Ereignisdatensatz am Anfang der Datei; keine ASCII-Magic-Bytes fester Länge |
| MIME-Typ | application/octet-stream |
| Kodierung | Binär (nicht für Menschen lesbar; erfordert ETW-fähige Tools) |
| Puffermechanismus | Ereignisse werden in CPU-spezifischen In-Memory-Puffern gesammelt, bevor sie auf die Festplatte geleert werden |
| Ereignisabdeckung | Kernel-, Treiber-, Systemdienst- und Benutzermodus-Anwendungsereignisse über registrierte ETW-Anbieter |
| Primäres Befehlszeilen-Tool | tracerpt - in Windows integriert; konvertiert .etl in CSV- oder XML-Berichte |
| GUI-Analyse-Tools | Windows Performance Analyzer (WPA) und Open-Source PerfView |
| Ausgabeformate über tracerpt | CSV-Zusammenfassung und XML-Ereignisbericht (REPORT.XML + SUMMARY.TXT) |
| Protokolldatei-Modus | Unterstützt sequenzielle (lineare) und zirkuläre (Überschreiben bei Vollfüllung) Dateimodi |
| Echtzeit-Streaming | ETW-Sitzungen können Ereignisse zusätzlich zu einer Datei oder anstelle davon an einen Echtzeit-Verbraucher liefern |
| Verwandte Protokollformate | .evtx (Windows-Ereignisprotokoll), .evt (älteres Ereignisprotokoll), .etlx (erweitertes ETL), .blg (Performance Monitor) |
| Veröffentlicht | Windows 2000 (Event Tracing for Windows / ETW) |
| Spezifikation | learn.microsoft.com |
ETL-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu ETL-Dateien.
