Инструмент для изучения и запроса журналов ETW из Service Fabric в помещении

Question

Я ищу инструмент, который позволит мне исследовать и запрашивать / искать в журналах из сервисной фабрики, написанной в формате etl. Я пытался использовать MessageAnalyzer, но он долго загружался и зависает, второй инструмент для просмотра журналов окон Windows, но после преобразования в журналы evtx выглядит как показано ниже и бесполезен для меня:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-ServiceFabric" Guid="{cbd93bc2-71e5-4566-b3a7-595d8eeca6e8}" /> 
  <EventID>65534</EventID> 
  <Version>1</Version> 
  <Level>0</Level> 
  <Task>65534</Task> 
  <Opcode>254</Opcode> 
  <Keywords>0xffffffffffffff</Keywords> 
  <TimeCreated SystemTime="2018-08-17T14:11:30.484723000Z" /> 
  <EventRecordID>11534</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="14332" ThreadID="5124" ProcessorID="3" KernelTime="9" UserTime="63" /> 
  <Channel /> 
  <Computer>Machine Name</Computer> 
  <Security /> 
  </System>
- <ProcessingErrorData>
  <ErrorCode>15003</ErrorCode> 
  <DataItemName /> 
  <EventPayload>0101005B69002C006F6E3D223022206C657..74656D706C6174653D22537461727441735072696D61727941726773222F3E0D0A20203C6576656E742076</EventPayload> 
  </ProcessingErrorData>
  </Event>

Я видел, что в Azure ( https://channel9.msdn.com/Events/dotnetConf/2018/S208 0 на 35 минуте) есть возможность использовать Application Insights для запроса результата. Есть ли инструмент, который позволяет мне делать это локально?

Answer 1

Я обычно использую PerfView для большинства анализов ETW Log. Он обеспечивает очень хорошие возможности фильтрации необработанных файлов без необходимости конвертировать журналы в любой другой формат, а также очень легок для обработки огромных файлов журналов.

Хорошей стороной использования таких инструментов, как Log Analytics в OMS или Application Insights, является то, что они предоставляют расширенные функции, такие как оповещение, агрегация и SQL-подобные запросы для этих же событий. Кроме того, после установки вам не нужно обрабатывать большие файлы журналов (как правило, размещенные в хранилище BLOB-объектов), чтобы найти журналы для приложения.

Для разработки PerfView делает свою работу, для анализа производства я бы порекомендовал вам перейти на OMS или AppInsights.

Единственный недостаток LogAnalitics - это то, что события не отображаются в режиме реального времени. Прежде чем вы сможете увидеть их на портале, требуется несколько минут, но это все же быстрее, чем поиск и копирование файлов для анализа в PerfView или других инструментах.