Windows 事件日志是什么：它究竟能长多大

机器上的每一次崩溃、每一个罢工的服务、每一次登录尝试，最终都进了 Windows 事件日志——一个大多数人不到出事绝不打开的数据库。它还有一面少有人知的特性：每个通道都有硬性的大小上限。正是这个上限解释了日志为什么常年吃不掉你的硬盘——也解释了它在哪一种情形下会悄悄膨胀。

事件日志到底是什么

Windows 事件日志服务（eventlog）从几十个提供程序——驱动、服务、应用程序、安全子系统——那里收集事件，写进 C:\Windows\System32\winevt\Logs\ 下的二进制 .evtx 文件。给人看的前端是事件查看器（eventvwr.msc）：同一批记录，配上严重级别、来源和事件 ID。那句经典的“去查日志”，指的永远都是这个文件夹：它是系统的黑匣子，从 Vista 起每一版 Windows 都是同一套玩法。

干重活的是五个通道。“应用程序”记录程序崩溃和卡死；“系统”装的是驱动和服务的牢骚；“安全”保存登录审计（4624 成功、4625 失败），只有管理员能读；“安装”记着这台机器自己的 Windows 更新和升级史。在此之外还有数百个隐藏的分析与调试通道，微软工程师按需启用——它们存在，但默认关闭，几乎什么都不写。

Application.evtx —— 程序崩溃、卡死、安装程序事件
System.evtx —— 驱动、服务、硬件警告
Security.evtx —— 登录尝试 4624/4625，仅管理员可读
Setup.evtx —— 这台机器自己的 Windows 升级历史
C:\Windows\System32\winevt\Logs\ —— 所有通道的家，每个通道一个 .evtx 文件

大小上限：日志为什么吃不掉硬盘

每个通道都有自己的最大值，在日志属性对话框（“日志最大值（KB）”）里设置，存放在注册表 HKLM\SYSTEM\CurrentControlSet\Services\EventLog 之下。桌面版 Windows 的经典默认值约为每通道 20 MB，按 64 KB 一档，最高可调到 4 GB。正是这个天花板，把一台高负荷机器的日志在多年运行后依然摁在几十兆字节：日志一到上限，默认策略就是“按需覆盖事件（最旧的优先）”——文件永远长不过天花板，旧事件只是悄悄消失。

唯一的逃生口是归档。若把日志切到“日志满时将其存档，不覆盖事件”，Windows 就把写满的文件改名为 Archive-Application-YYYY-MM-DD-HHMMSS.evtx，另起一个新文件——归档件在同目录里越堆越多，没有任何内置清理。这就是 winevt\Logs 真正会长大的唯一场景：长大的不是活日志，而是没人要的、攒了好几年的归档副本。