Windows のイベントログとは：保存場所とサイズ上限のしくみ

マシン上のあらゆるクラッシュ、停止したサービス、ログオンの試みは、すべて Windows のイベントログに記録されます。ほとんどの人は、何かが壊れるまでこのデータベースを開きません。もう一つ、あまり知られていない事実があります。各チャネルにはサイズの上限が厳格に決まっており、それこそが、ログが何年経ってもディスクを逼迫させない理由——そして静かに膨らむ唯一のシナリオを説明してくれます。

イベントログの正体

Windows イベントログサービス（eventlog）は、ドライバー、サービス、アプリケーション、セキュリティサブシステムなど数十のプロバイダーからイベントを集め、C:\Windows\System32\winevt\Logs\ 内のバイナリ .evtx ファイルに書き込みます。人間が読めるフロントエンドがイベントビューアー（eventvwr.msc）で、同じ記録に重要度、ソース、イベント ID が付いて表示されます。「ログを確認して」という定番の助言が指すのは常にこのフォルダーです。Vista 以降、どの Windows でも同じ仕組みで動く、システムのフライトレコーダーです。

主な仕事を担うのは 5 つのチャネルです。アプリケーションはプログラムのクラッシュとフリーズを、システムはドライバーとサービスの不満を記録します。セキュリティはログオン監査（4624 成功、4625 失敗）を保存し、管理者しか読めません。セットアップはこのマシン自身の Windows 更新とアップグレードの履歴を保管します。さらに、Microsoft のエンジニアが必要に応じて有効にする隠れた分析・デバッグチャネルが数百あります。存在してはいますが、既定では無効で、ほとんど何も書き込みません。

Application.evtx — プログラムのクラッシュ、フリーズ、インストーラーのイベント
System.evtx — ドライバー、サービス、ハードウェアの警告
Security.evtx — ログオン試行 4624/4625、閲覧は管理者のみ
Setup.evtx — マシン自身の Windows アップグレード履歴
C:\Windows\System32\winevt\Logs\ — すべてのチャネルが .evtx ファイルとして存在する場所

サイズ上限：ログがディスクを食べない理由

各チャネルに固有の最大値があり、ログのプロパティダイアログ（「最大ログサイズ (KB)」）で設定され、レジストリの HKLM\SYSTEM\CurrentControlSet\Services\EventLog の下に保存されます。デスクトップ向け Windows の古典的な既定値はチャネルあたり約 20 MB で、64 KB 刻みに最大 4 GB まで調整できます。この天井こそが、長年ヘビーに使われたマシンのログを数十メガバイトにとどめる仕組みです。ログが上限に達すると、既定のポリシーは「必要に応じてイベントを上書きする (古いイベントから)」となり、ファイルが天井を越えて育つことはなく、古いイベントはただ消えていくだけです。

天井から逃れる道はアーカイブだけです。ログを「ログがいっぱいになったときにアーカイブし、イベントを上書きしない」に切り替えると、Windows は満杯になったファイルを Archive-Application-YYYY-MM-DD-HHMMSS.evtx に改名し、新しいファイルを始めます。そしてアーカイブは、内蔵のクリーンアップがないまま同じフォルダーに積み上がっていきます。winevt\Logs が本当に成長するのはこのシナリオだけです。成長するのは生きたログではなく、誰も頼んでいない何年分ものアーカイブコピーです。

何も壊さずにログを削る

.evtx ファイルを直接削除してはいけません。Windows イベントログサービスがそれらを開いたままにしており、稼働中のチャネルのファイルをサービスの下から削除するとログが破損し、エラーが——これが皮肉なのですが——イベントログそのものに記録されます。サポートされている方法は、イベントビューアーの「ログのクリア」です。消去の前に現在の内容を保存することもできます。プロパティで最大値を下げるのも同じくらい安全で、ログの次の一周から適用されます。

クリアには診断面の代償もあります。正直に言っておくべきことです。このログこそ、「先週の火曜日、マシンはなぜ落ちたのか」を記録した唯一のデータです。必要なものを取り出してから消してください。その逆ではいけません。空き容量の回収先として、このフォルダーは現代のディスクでは丸め誤差の領域です。同じマシンのブラウザーキャッシュはその百倍の大きさです。イベントログの手入れは外科的な道具であって、クリーンアップのカテゴリーではありません。