Cómo aumentar el tamaño del registro para el evento ID 4: Kernel-EventTracing en Windows 11

Esta guía explica dos formas de aumentar el tamaño del archivo de registro para el Kernel Event Tracing ID 4. A modo de recordatorio, el evento ID 4 del origen Kernel-EventTracing indica que una sesión de Event Tracing for Windows (ETW) se ha detenido porque ha alcanzado su límite máximo de tamaño de archivo. Por defecto, las sesiones ETW tienen un tamaño máximo de archivo de 64 MB, algo que puede resultar insuficiente en diagnósticos prolongados o en escenarios de registro detallado.

Otros motivos por los que puede que quieras aumentar el tamaño del registro para el evento ID 4 son:

• Evitar que las sesiones ETW se interrumpan antes de tiempo
• Mejorar la visibilidad de eventos del kernel poco frecuentes o esporádicos
• Permitir una monitorización continua en entornos de producción o de pruebas
• Solucionar problemas en los que los búferes de traza se desbordan demasiado rápido

¿Prefieres el vídeo? Descubre más en nuestra guía visual: Cómo aumentar el tamaño del registro para el evento ID 4: Kernel-EventTracing en Windows 11.

📌 Estrategias de implementación recomendadas:

Haz clic para elegir un método	💻 Mejor para usuarios individuales	💻💻💻 Mejor para empresas
Método 1: usar el Monitor de rendimiento	✓
Método 2: usar PowerShell	✓	✓

Aumentar el tamaño del registro ETW: dos métodos a tener en cuenta

Método 1: usar el Monitor de rendimiento

📌 Casos de uso: es la opción más adecuada para usuarios individuales o profesionales de TI que gestionan sistemas independientes. También es ideal cuando tienes acceso inmediato a una interfaz gráfica o cuando no necesitas scripts (o están restringidos).

📌 Requisitos previos:

• Este método se aplica a todas las ediciones de Windows 11.
• Necesitas privilegios de administrador.
• Las sesiones objetivo deben aparecer en Visor de eventos > Registros de aplicaciones y servicios > Microsoft > Windows > Kernel-EventTracing.
• Debes saber qué sesión ETW provocó el error del evento ID 4 (por ejemplo, Circular Kernel Context Logger).

Pasos:

1. Pulsa Win + R, escribe perfmon y pulsa Intro.

💡 Consejo: no uses perfmon /report, ya que solo muestra diagnósticos del sistema. Necesitas la vista completa.

2. En el panel izquierdo, busca la estructura de árbol que aparece bajo el nombre de tu equipo. Expande Conjuntos de recopiladores de datos y después Sesiones de seguimiento de eventos. Verás una lista de sesiones ETW activas y predefinidas.

⚠️ Importante: si usas un dispositivo gestionado por la empresa, puede que tengas acceso limitado a este menú. En ese caso, solo verás «Herramientas de supervisión» y no «Conjuntos de recopiladores de datos». Utiliza entonces el Método 2 tal y como se describe.

3. Localiza la sesión indicada en tu registro del evento ID 4 y haz clic derecho sobre ella. Normalmente se llama Circular Kernel Context Logger, aunque puede variar según el sistema o las herramientas de diagnóstico.
4. Haz clic derecho en la sesión que quieras y selecciona Propiedades para acceder a los parámetros configurables.
5. Ve a la pestaña Condición de detención. Allí, aumenta el valor de Tamaño máximo (MB) desde el valor predeterminado (normalmente 64 MB) a uno mayor (como 256 MB o más). Así evitarás que las trazas largas se corten antes de tiempo.
6. Haz clic en Aplicar y luego en Aceptar.
7. Para terminar, vuelve a hacer clic derecho en la sesión y elige Reiniciar. Si esa opción no está disponible, reinicia el sistema para activar la nueva configuración.

Método 2: usar PowerShell

📌 Casos de uso: es una excelente alternativa si no puedes usar el Método 1 porque trabajas en un sistema gestionado por la empresa. Este método también es ideal para MSP que gestionan varios sistemas en remoto o para quienes prefieren flujos de trabajo de automatización.

📌 Requisitos previos:

• Necesitas acceso a PowerShell con nivel de administrador.
• Las sesiones objetivo deben aparecer en Visor de eventos > Registros de aplicaciones y servicios > Microsoft > Windows > Kernel-EventTracing.
• Debes saber qué sesión ETW provocó el error del evento ID 4 (por ejemplo, Circular Kernel Context Logger).
• El comando logman debe estar disponible (viene incluido con Windows de forma predeterminada).

💡 Consejo: ¿necesitas repasar? Apúntate a un curso intensivo gratuito, PowerShell for IT Ninjas.

Pasos:

1. Abre PowerShell como administrador. Para ello, haz clic derecho en el menú Inicio y elige Windows Terminal (Admin) o PowerShell (Admin).
2. (Opcional, pero recomendable) Comprueba tu acceso a logman ejecutando este comando:

logman query

Si el comando devuelve una lista de sesiones, tienes acceso suficiente. Si falla y muestra un error, puede que tu sistema esté más restringido por directivas.

3. Asigna el nombre de la sesión a una variable:

$sessionName = "Circular Kernel Context Logger"

4. Usa el siguiente comando para aumentar el búfer a 256 MB. Ajusta el valor según tus necesidades.

logman update $sessionName -f bincirc -max 256

5. Aplica el cambio deteniendo y reiniciando la sesión:

logman stop $sessionName && logman start $sessionName

💡 Nota: asegúrate de sustituir sessionName por el nombre correcto de la sesión que encontraste antes (Visor de eventos > Registros de aplicaciones y servicios > Microsoft > Windows > Kernel-EventTracing).

Cómo confirmar que el nuevo tamaño del archivo de registro ETW está activo

Método 1: comprobarlo con el Monitor de rendimiento (si está disponible)

1. Pulsa Win + R, escribe perfmon y pulsa Intro.
2. En el panel izquierdo, expande Conjuntos de recopiladores de datos > Sesiones de seguimiento de eventos
3. Haz clic derecho en la sesión que has modificado (por ejemplo, Circular Kernel Context Logger) y selecciona Propiedades.
4. En la pestaña Condición de detención, comprueba que el valor de Tamaño máximo (MB) coincide con el que acabas de establecer, por ejemplo 256.

💡 Nota: si esta opción gráfica no está disponible por restricciones de acceso (algo habitual en dispositivos gestionados por la empresa), valida el cambio con PowerShell.

Método 2: comprobarlo con PowerShell (usando logman)

1. Abre PowerShell como administrador
2. Ejecuta el siguiente comando:

logman query "Circular Kernel Context Logger"

💡 Nota: sustituye «Circular Kernel Context Logger» por la sesión que modificaste antes.

3. Busca una línea parecida a esta:

Maximum Size: 256 MB

💡 Nota: esto solo se aplica si cambiaste el límite máximo a 256 MB. Busca el valor que coincida con el que usaste en los métodos anteriores.

Si no ves el valor esperado, vuelve a ejecutar el comando logman update tal como se indica en el Método 2, paso 2 y reinicia la sesión para aplicar los cambios.

⚠️ Aspectos a tener en cuenta

Riesgos	Posibles consecuencias	Cómo revertirlo
Tamaño de registro excesivo (por ejemplo, >1 GB)	Puede consumir espacio en disco rápidamente, sobre todo en sistemas con poco almacenamiento.	Reduce el tamaño con logman update <SessionName> -max <SmallerSize> o desde la pestaña Condición de detención del Monitor de rendimiento. Revisa el uso del disco con regularidad.
No reiniciar la sesión tras el cambio	La nueva configuración no se aplicará hasta que reinicies la sesión. El registro seguirá con el tamaño de búfer anterior.	Ejecuta logman stop y logman start, o reinicia el sistema. Comprueba siempre el resultado con logman query.
Modificar la sesión equivocada	Cambiar una sesión ETW que no corresponde puede interferir con herramientas de proveedores, diagnósticos o registros de rendimiento de referencia.	Revisa dos veces los nombres de las sesiones. Usa logman query para listar las sesiones disponibles. Si tienes dudas, revierte la configuración con el mismo método y el valor de tamaño original.
Permisos insuficientes	Los cambios de tamaño del registro fallan sin aviso, sobre todo en entornos gestionados con restricciones de GPO o RMM.	Asegúrate de ejecutar PowerShell como administrador. Si tienes restricciones, coordínate con el equipo de TI de la empresa o usa plantillas de implementación de RMM aprobadas.
Conflictos con otras herramientas de registro	Herramientas como Windows Performance Recorder o diagnósticos de proveedores pueden crear sesiones solapadas o sobrescribir los límites de tamaño.	Pausa o desactiva temporalmente otras sesiones de traza mientras haces los cambios. Después, restaura la configuración original si hace falta.
Seguimiento de eventos deshabilitado por directiva	Ningún cambio surtirá efecto si ETW está deshabilitado o si el servicio Registros y alertas de rendimiento está detenido.	Comprueba si el servicio pla está en ejecución: Get-Service pla. Si no lo está, solicita permiso o escala el caso al administrador de seguridad o de endpoints.

Otras consideraciones al aumentar el tamaño del registro para el evento ID 4

• Este método funciona con sesiones predeterminadas del sistema o con sesiones de traza de proveedores concretos.
• Los búferes más grandes consumen más espacio en disco. Asegúrate de tener espacio suficiente antes de cambiar el tamaño máximo del registro.
• Aumentar el tamaño del registro puede evitar que se repitan los errores del evento ID 4 en el registro del sistema.

Resumen: aumentar el tamaño del registro del Kernel Event Tracing ID 4

Aumentar el tamaño del archivo de registro ETW en las sesiones de Kernel-EventTracing es fundamental para evitar que los registros se corten antes de tiempo y para capturar datos de diagnóstico completos en Windows 11. Tienes dos métodos entre los que elegir.

Temas relacionados:

• ¿Qué es un kernel? Visión general y definición
• Cómo leer los registros de eventos de Windows: apagado y reinicio
• Monitorización y Alertas de servidores