Formato del file del registro eventi
Ogni registro eventi contiene un'intestazione (rappresentata dalla struttura ELF_LOGFILE_HEADER) con una dimensione fissa, seguita da un numero variabile di record eventi (rappresentato da strutture EVENTLOGRECORD) e da un record di fine file (rappresentato dalla struttura ELF_EOF_RECORD).
La struttura ELF_LOGFILE_HEADER e la struttura ELF_EOF_RECORD vengono scritte nel registro eventi quando viene creato il registro eventi e vengono aggiornate ogni volta che un evento viene scritto nel log.
Quando un'applicazione chiama la funzione ReportEvent per scrivere una voce nel registro eventi, il sistema passa i parametri al servizio di registrazione eventi. Il servizio di registrazione eventi usa le informazioni per scrivere una struttura EVENTLOGRECORD nel registro eventi. Il diagramma seguente illustra questo processo.
I record dell'evento sono organizzati in uno dei modi seguenti:
Senza ritorno a capo. Il record meno recente viene immediatamente dopo l'intestazione del registro eventi e i nuovi record vengono aggiunti dopo l'ultimo record aggiunto (prima del ELF_EOF_RECORD). Nell'esempio seguente viene illustrato il metodo non di wrapping:
HEADER (ELF_LOGFILE_HEADER) EVENT RECORD 1 (EVENTLOGRECORD) EVENT RECORD 2 (EVENTLOGRECORD) EOF RECORD (ELF_EOF_RECORD)
Il wrapping non può verificarsi quando viene creato il registro eventi o quando il registro eventi viene cancellato. Il registro eventi continua a non eseguire il wrapping finché non viene raggiunto il limite di dimensioni del registro eventi. Le dimensioni del registro eventi sono limitate dal valore di configurazione MaxSize o dalla quantità di risorse di sistema.
Quando viene raggiunto il limite di dimensioni del registro eventi, potrebbe iniziare a eseguire il wrapping. Il wrapping viene controllato dal valore di configurazione conservazione. Per altre informazioni sui valori di configurazione del registro eventi, vedere Eventlog Key.
Involucro. I record sono organizzati come buffer circolare. Man mano che vengono aggiunti nuovi record, i record meno recenti vengono sostituiti. La posizione dei record meno recenti e meno recenti varia. Nell'esempio seguente viene illustrato il metodo di wrapping.
HEADER (ELF_LOGFILE_HEADER) Part of EVENT RECORD 300 (EVENTLOGRECORD) EVENT RECORD 301 (EVENTLOGRECORD) . . . EVENT RECORD 400 (EVENTLOGRECORD) EOF RECORD (ELF_EOF_RECORD) Wasted space EVENT RECORD 102 (EVENTLOGRECORD) EVENT RECORD 103 (EVENTLOGRECORD) . . . EVENT RECORD 299 (EVENTLOGRECORD) Part of EVENT RECORD 300 (EVENTLOGRECORD)
Nell'esempio il record meno recente non è più 1, ma è 102 perché lo spazio per i record da 1 a 101 è stato sovrascritto.
C'è spazio tra il ELF_EOF_RECORD e il record meno recente perché il sistema cancellerà un numero integrale di record per liberare spazio per il record più recente. Ad esempio, se il record più recente è lungo 100 byte e i due record meno recenti sono lunghi 75 byte, il sistema rimuoverà i due record meno recenti. I 50 byte aggiuntivi verranno usati in un secondo momento quando vengono scritti nuovi record.
Un file di log eventi ha una dimensione fissa e, quando i record nel file vengono a capo, il record alla fine del file viene in genere suddiviso in due record. Ad esempio, se la posizione per la scrittura successiva è di 100 byte dalla fine del file e la dimensione del record è di 300 byte, i primi 100 byte verranno scritti alla fine del file e i successivi 200 byte verranno scritti all'inizio del file immediatamente dopo il ELF_LOGFILE_HEADER. Se lo spazio disponibile alla fine del file è minore della parte fissa del EVENTLOGRECORD (0x38 byte), tutto il nuovo record verrà scritto all'inizio del file immediatamente dopo il ELF_LOGFILE_HEADER. I byte inutilizzati alla fine del file verranno riempiti con il criterio 0x00000027.
Per altre informazioni e un esempio di codice, vedere Reporting an Event.