Що таке журнал подій Windows і які в нього ліміти розміру

Кожен збій, кожна впала служба й кожна спроба входу в систему потрапляють до журналу подій Windows — бази, яку більшість відкриває лише тоді, коли щось зламалося. У неї є й інший, менш відомий бік: у кожного каналу жорсткий ліміт розміру, і саме він пояснює, чому журнали роками не з'їдають диск — і в якому єдиному сценарії все ж ростуть.

Що таке журнал подій насправді

Служба «Журнал подій Windows» (eventlog) збирає події від десятків джерел — драйверів, служб, програм, підсистеми безпеки — і записує їх у двійкові .evtx-файли в C:\Windows\System32\winevt\Logs\. Читабельний інтерфейс до них — «Переглядач подій» (eventvwr.msc): ті самі записи, але з рівнем важливості, джерелом і кодом події. Порада «подивіться в журнали» завжди означає цю папку: це чорний ящик системи, що працює однаково на будь-якій Windows із часів Vista.

Основну роботу роблять п'ять каналів. «Додаток» фіксує збої та зависання програм, «Система» — скарги драйверів і служб, «Безпека» зберігає аудит входів (4624 — успіх, 4625 — невдача) і читається лише адміністраторами, «Встановлення» веде історію оновлень та апгрейдів Windows. Окрім них існують сотні прихованих аналітичних і налагоджувальних каналів, які інженери Microsoft вмикають за потреби: вони є, але за замовчуванням вимкнені й майже нічого не пишуть.

Application.evtx — збої, зависання та події інсталяторів
System.evtx — драйвери, служби, попередження заліза
Security.evtx — спроби входу 4624/4625, читати можуть лише адміністратори
Setup.evtx — власна історія оновлень машини
C:\Windows\System32\winevt\Logs\ — тут живуть усі канали, по .evtx-файлу на кожен

Ліміти розміру: чому журнали не з'їдають диск

У кожного каналу власний максимум, заданий у властивостях журналу («Максимальний розмір журналу (КБ)») і збережений у реєстрі під HKLM\SYSTEM\CurrentControlSet\Services\EventLog. На настільній Windows класичні типові значення — близько 20 МБ на канал, із кроком 64 КБ до 4 ГБ. Саме ця стеля тримає журнали в десятках мегабайт після років роботи: коли журнал сягає межі, політика за замовчуванням — «Перезаписувати події в міру потреби (спочатку найстаріші)», і файл не росте далі, просто старі події зникають.

Втекти з-під стелі можна лише одним шляхом — архівацією. Якщо журнал перемкнено на «Архівувати журнал при заповненні», Windows перейменовує заповнений файл на Archive-Application-РРРР-ММ-ДД-ГГХВСС.evtx і заводить новий, а архіви накопичуються в тій самій папці без жодного автоматичного прибирання. Це єдиний сценарій, у якому winevt\Logs справді росте: не живі журнали, а роки архівних копій, про які ніхто не просив.

Як обрізати журнал, нічого не зламавши

Не видаляйте .evtx-файли безпосередньо: служба «Журнал подій Windows» тримає їх відкритими, і видалення файла живого каналу просто з-під неї псує журнал і приносить помилки до — куди б ви думали — журналу подій. Підтримуваний спосіб — «Очистити журнал» у «Переглядачі подій», із можливістю спершу зберегти вміст. Не менш безпечно зниження максимуму у властивостях: воно застосується при наступному обертанні журналу.

В очищення є й діагностична ціна, про яку варто сказати прямо: ці журнали — єдиний запис про те, чому машина впала минулого вівторка. Чистіть їх, коли витягли потрібне, а не до того. Для звільнення місця папка — дрібниця на сучасному диску: кеш браузера на тій самій машині в сто разів більший, тож робота з журналом — хірургічний інструмент, а не категорія «прибирання».

Питання та відповіді

Де зберігаються журнали подій Windows?

У C:\Windows\System32\winevt\Logs — по одному .evtx-файлу на канал. «Переглядач подій» (eventvwr.msc) читає саме ці файли, тож усе, що ви там очистили, зникає й із диска.

Який максимальний розмір журналу подій Windows?

У кожного каналу свій ліміт: близько 20 МБ за замовчуванням на настільній Windows, регулюється від 64 КБ до 4 ГБ. При досягненні межі старі події перезаписуються, якщо не ввімкнено архівацію.