Что такое формат файла ETL?
Формат файла .etl используется для хранения журналов событий, созданных подсистемой Windows Event Tracing for Windows (ETW). Он хранит данные в бинарном формате. Журналы генерируются поставщиками ETW - компонентами ядра, системы и приложений, которые инструментируют свою деятельность, - а не одним инструментом. Инфраструктура ETW регистрирует такие события, как:
- Доступ к диску
- Ошибки страниц и операции с памятью
- Операции со стеком памяти
- События приложений и сообщения пользовательских поставщиков
Сеанс трассировки также может включать события запуска и завершения работы системы. Поскольку файлы .etl хранят данные в проприетарном бинарном формате, для их чтения требуются специальные инструменты диагностики и отчетности. Файлы .etl не следует редактировать вручную.
В файлах .etl хранятся журналы высокочастотных событий вместе с их описаниями и метками времени. Такие файлы могут быть полезны при поиске и устранении неисправностей системы и анализе производительности. Перед записью системных событий в файл .etl они буферизуются в памяти, а затем сбрасываются на диск в компактном бинарном формате для минимизации накладных расходов. Файлы отчетов могут занимать много места, поэтому при проведении длительных сеансов трассировки рекомендуется следить за объемом свободного дискового пространства. Команда tracerpt может использоваться для анализа журналов трассировки событий и их преобразования в читаемые форматы, в то время как Windows Performance Analyzer (WPA) и инструмент с открытым исходным кодом PerfView предлагают графические представления и расширенную фильтрацию. Связанные форматы журналов включают .evtx (современный журнал событий Windows) и .blg (бинарный журнал системного монитора).
Безопасность и защита
РИСК: LOWФайл .etl - это пассивные данные трассировки, а не исполняемый файл, поэтому он не может ничего «запустить» сам по себе. Два важных момента: (1) Конфиденциальность - трассировка может содержать конфиденциальные данные (пути к файлам, URL-адреса, имена процессов, иногда сетевые данные), поэтому будьте осторожны при публичной передаче .etl; отправляйте трассировки только доверенным каналам поддержки. (2) Дисковое пространство - созданные Windows ETL (например, в LogFiles\WMI, захваты WPR) могут сильно разрастаться; большинство из них можно безопасно удалить, если они не нужны, и Windows воссоздаст активные. Не удаляйте ETL, в которые в данный момент записывается текущий сеанс трассировки.
Детали формата
в двух словахПрограммы, открывающие файлы ETL
Windows5 apps
Event Viewer
Встроенная Откройте «Просмотр событий» > «Действие» > «Открыть сохраненный журнал», выберите .etl; он отобразит события и сможет конвертировать/сохранить их в .evtx. Самый быстрый бесплатный способ без установки.
Windows Performance Analyzer (WPA)
Бесплатно Установите Windows Performance Toolkit (часть Windows ADK или из Microsoft Store), затем «Файл» > «Открыть» .etl для графического анализа временной шкалы процессора, диска и загрузки.
PerfView
Открытый код Бесплатный профилировщик Microsoft: запустите PerfView.exe, дважды щелкните по .etl, затем выберите «Events» для просмотра трассировок (отлично подходит для анализа CPU/.NET).
tracerpt (command line)
Встроенная Запустите в командной строке администратора: tracerpt yourfile.etl - на выходе будут dumpfile.xml и summary.txt (добавьте -of CSV для CSV). Встроено в Windows; лучший способ получить читаемый текст.
Microsoft Message Analyzer (legacy network traces)
Бесплатно Старый инструмент для сетевых/протокольных трассировок ETL. СНЯТ С ПОДДЕРЖКИ Microsoft (загрузка удалена в ноябре 2019 г.) - используйте WPA/PerfView или PktMon; упоминается только для устаревших дампов. Технические подробности
глубокая спецификация| Разработчик | Microsoft |
| Тип формата | Бинарный журнал трассировки ETW (Event Tracing for Windows) |
| Платформа | Только Windows (ETW является эксклюзивной подсистемой Windows) |
| Представлен | Windows 2000 (ETW впервые появился в Windows 2000) |
| Структура заголовка | Внутренняя запись заголовка лог-файла WMI в начале файла; нет магических байтов ASCII фиксированной длины |
| MIME-тип | application/octet-stream |
| Кодировка | Бинарная (не читается человеком; требуются инструменты с поддержкой ETW) |
| Механизм буферизации | События собираются в буферах памяти для каждого процессора перед сбросом на диск |
| Охват событий | События ядра, драйверов, системных служб и приложений пользовательского режима через зарегистрированных поставщиков ETW |
| Основной инструмент командной строки | tracerpt - встроен в Windows; преобразует .etl в отчет CSV или XML |
| Инструменты GUI-анализа | Windows Performance Analyzer (WPA) и PerfView с открытым исходным кодом |
| Выходные форматы через tracerpt | Сводка CSV и отчет о событиях XML (REPORT.XML + SUMMARY.TXT) |
| Режим лог-файла | Поддерживает последовательный (линейный) и циклический (перезапись при заполнении) режимы |
| Потоковая передача в реальном времени | Сеансы ETW могут доставлять события потребителю в реальном времени в дополнение к файлу или вместо него |
| Связанные форматы журналов | .evtx (журнал событий Windows), .evt (устаревший журнал событий), .etlx (расширенный ETL), .blg (системный монитор) |
| Выпущен | Windows 2000 (Event Tracing for Windows / ETW) |
| Спецификация | learn.microsoft.com |
Конвертации ETL
Вопросы и ответы сообщества
спрошено пользователямиВопросов пока нет - станьте первым, кто спросит о файлах ETL.
Часто задаваемые вопросы
Как открыть файл ETL?
tracerpt yourfile.etl для экспорта в XML/CSV.Почему мой файл ETL выглядит как абракадабра в Блокноте?
tracerpt, которые декодируют события в читаемый вид. Текстовый редактор не может его отобразить.Как конвертировать файл ETL в читаемый текст?
tracerpt: откройте командную строку от имени администратора и выполните tracerpt yourfile.etl, что создаст файлы dumpfile.xml и summary.txt (добавьте -of CSV для формата CSV). Вы также можете открыть его в «Просмотре событий» и сохранить как .evtx.Можно ли удалять файлы ETL в папке Windows?
.etl, которые записывает Windows (в LogFiles\WMI, SleepStudy или захваты WPR), являются диагностическими и их можно безопасно удалить, если они вам не нужны; Windows воссоздаст активные файлы по мере необходимости. Не удаляйте файл, в который в данный момент активно записывается текущая трассировка.Какая программа создает файлы ETL?
xperf, logman и netsh trace, создают файлы .etl, как и многие средства диагностики и устранения неполадок Windows Update.ETL против EVTX - в чем разница?
.etl и преобразовать его в .evtx для более удобного просмотра.
