{"id":900657,"date":"2026-10-14T17:06:21","date_gmt":"2026-10-14T17:06:21","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/kernel-event-tracing-id-4\/"},"modified":"2026-10-14T17:06:22","modified_gmt":"2026-10-14T17:06:22","slug":"kernel-event-tracing-id-4","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/kernel-event-tracing-id-4\/","title":{"rendered":"C\u00f3mo aumentar el tama\u00f1o del registro para el evento ID 4: Kernel-EventTracing en Windows 11"},"content":{"rendered":"<p>Esta gu\u00eda explica dos formas de aumentar el tama\u00f1o del archivo de registro para el <strong>Kernel Event Tracing ID 4<\/strong>. A modo de recordatorio, el evento ID 4 del origen Kernel-EventTracing indica que una sesi\u00f3n de Event Tracing for Windows (ETW) se ha detenido porque ha alcanzado su l\u00edmite m\u00e1ximo de tama\u00f1o de archivo. Por defecto, las sesiones ETW tienen un tama\u00f1o m\u00e1ximo de archivo de 64 MB, algo que puede resultar insuficiente en diagn\u00f3sticos prolongados o en escenarios de registro detallado.<\/p>\n<p>Otros motivos por los que puede que quieras aumentar el tama\u00f1o del registro para el evento ID 4 son:<\/p>\n<ul>\n<li>Evitar que las sesiones ETW se interrumpan antes de tiempo<\/li>\n<li>Mejorar la visibilidad de eventos del <a href=\"https:\/\/www.ninjaone.com\/it-hub\/it-service-management\/what-is-a-kernel-overview-definition\/\">kernel<\/a> poco frecuentes o espor\u00e1dicos<\/li>\n<li>Permitir una monitorizaci\u00f3n continua en entornos de producci\u00f3n o de pruebas<\/li>\n<li>Solucionar problemas en los que los b\u00faferes de traza se desbordan demasiado r\u00e1pido<\/li>\n<\/ul>\n<p>\u00bfPrefieres el v\u00eddeo? Descubre m\u00e1s en nuestra gu\u00eda visual: <span data-sheets-root=\"1\"><a href=\"https:\/\/www.ninjaone.com\/videos\/windows\/increasing-log-size-for-kernel-event-tracing-id-4\/\">C\u00f3mo aumentar el tama\u00f1o del registro para el evento ID 4: Kernel-EventTracing en Windows 11<\/a>.<\/span><\/p>\n<p>\ud83d\udccc Estrategias de implementaci\u00f3n recomendadas:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>Haz clic para elegir un m\u00e9todo<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Mejor para usuarios individuales<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Mejor para empresas<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-1\"><strong>M\u00e9todo 1: usar el Monitor de rendimiento<\/strong><\/a><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<td style=\"text-align: center;\"><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-2\"><strong>M\u00e9todo 2: usar PowerShell<\/strong><\/a><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Aumentar el tama\u00f1o del registro ETW: dos m\u00e9todos a tener en cuenta<\/h2>\n<h3 id=\"method-1\">M\u00e9todo 1: usar el Monitor de rendimiento<\/h3>\n<p><strong>\ud83d\udccc Casos de uso: <\/strong>es la opci\u00f3n m\u00e1s adecuada para usuarios individuales o profesionales de TI que gestionan sistemas independientes. Tambi\u00e9n es ideal cuando tienes acceso inmediato a una interfaz gr\u00e1fica o cuando no necesitas scripts (o est\u00e1n restringidos).<\/p>\n<p><strong>\ud83d\udccc Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Este m\u00e9todo se aplica a todas las ediciones de Windows 11.<\/li>\n<li>Necesitas privilegios de administrador.<\/li>\n<li>Las sesiones objetivo deben aparecer en <strong>Visor de eventos &gt; Registros de aplicaciones y servicios &gt; Microsoft &gt; Windows &gt; Kernel-EventTracing<\/strong>.<\/li>\n<li>Debes saber qu\u00e9 sesi\u00f3n ETW provoc\u00f3 el error del evento ID 4 (por ejemplo, <em>Circular Kernel Context Logger<\/em>).<\/li>\n<\/ul>\n<p><strong>Pasos: <\/strong><\/p>\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>perfmon<\/strong> y pulsa <strong>Intro<\/strong>.<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">\ud83d\udca1 <strong>Consejo<\/strong>: no uses perfmon \/report, ya que solo muestra diagn\u00f3sticos del sistema. Necesitas la vista completa.<\/p>\n<ol start=\"2\">\n<li>En el panel izquierdo, busca la estructura de \u00e1rbol que aparece bajo el nombre de tu equipo. Expande <strong>Conjuntos de recopiladores de datos<\/strong> y despu\u00e9s <strong>Sesiones de seguimiento de eventos.<\/strong> Ver\u00e1s una lista de sesiones ETW activas y predefinidas.<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">\u26a0\ufe0f <strong>Importante<\/strong>: si usas un dispositivo gestionado por la empresa, puede que tengas acceso limitado a este men\u00fa. En ese caso, solo ver\u00e1s \u00abHerramientas de supervisi\u00f3n\u00bb y no \u00abConjuntos de recopiladores de datos\u00bb. Utiliza entonces el <a href=\"#method-2\">M\u00e9todo 2<\/a> tal y como se describe.<\/p>\n<ol start=\"3\">\n<li>Localiza la sesi\u00f3n indicada en tu registro del evento ID 4 y haz clic derecho sobre ella. Normalmente se llama <em>Circular Kernel Context Logger<\/em>, aunque puede variar seg\u00fan el sistema o las herramientas de diagn\u00f3stico.<\/li>\n<li>Haz clic derecho en la sesi\u00f3n que quieras y selecciona <strong>Propiedades<\/strong> para acceder a los par\u00e1metros configurables.<\/li>\n<li>Ve a la pesta\u00f1a <strong>Condici\u00f3n de detenci\u00f3n<\/strong>. All\u00ed, aumenta el valor de <strong>Tama\u00f1o m\u00e1ximo (MB)<\/strong> desde el valor predeterminado (normalmente 64 MB) a uno mayor (como 256 MB o m\u00e1s). As\u00ed evitar\u00e1s que las trazas largas se corten antes de tiempo.<\/li>\n<li>Haz clic en <strong>Aplicar<\/strong> y luego en <strong>Aceptar<\/strong>.<\/li>\n<li>Para terminar, vuelve a hacer clic derecho en la sesi\u00f3n y elige <strong>Reiniciar<\/strong>. Si esa opci\u00f3n no est\u00e1 disponible, reinicia el sistema para activar la nueva configuraci\u00f3n.<\/li>\n<\/ol>\n<h3 id=\"method-2\">M\u00e9todo 2: usar PowerShell<\/h3>\n<p><strong>\ud83d\udccc Casos de uso: <\/strong>es una excelente alternativa si no puedes usar el <a href=\"#method-1\">M\u00e9todo 1<\/a> porque trabajas en un sistema gestionado por la empresa. Este m\u00e9todo tambi\u00e9n es ideal para MSP que gestionan varios sistemas en remoto o para quienes prefieren flujos de trabajo de automatizaci\u00f3n.<\/p>\n<p><strong>\ud83d\udccc Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Necesitas acceso a PowerShell con nivel de administrador.<\/li>\n<li>Las sesiones objetivo deben aparecer en <strong>Visor de eventos &gt; Registros de aplicaciones y servicios &gt; Microsoft &gt; Windows &gt; Kernel-EventTracing<\/strong>.<\/li>\n<li>Debes saber qu\u00e9 sesi\u00f3n ETW provoc\u00f3 el error del evento ID 4 (por ejemplo, <em>Circular Kernel Context Logger<\/em>).<\/li>\n<li>El comando <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/administration\/windows-commands\/logman\" target=\"_blank\" rel=\"noopener\">logman<\/a> debe estar disponible (viene incluido con Windows de forma predeterminada).<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Consejo<\/strong>: \u00bfnecesitas repasar? Ap\u00fantate a un curso intensivo gratuito, <a href=\"https:\/\/go.ninjaone.com\/powershell-for-it-ninjas\" target=\"_blank\" rel=\"noopener\">PowerShell for IT Ninjas<\/a>.<\/p>\n<p><strong>Pasos:<\/strong><\/p>\n<ol>\n<li>Abre <a href=\"https:\/\/www.ninjaone.com\/es\/it-hub\/endpoint-management\/powershell\/\">PowerShell<\/a> como administrador. Para ello, haz clic derecho en el men\u00fa Inicio y elige Windows Terminal (Admin) o PowerShell (Admin).<\/li>\n<li id=\"method-2-step-2\"><em>(Opcional, pero recomendable)<\/em> Comprueba tu acceso a logman ejecutando este comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>logman query<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\">Si el comando devuelve una lista de sesiones, tienes acceso suficiente. Si falla y muestra un error, puede que tu sistema est\u00e9 m\u00e1s restringido por directivas.<\/p>\n<ol start=\"3\">\n<li>Asigna el nombre de la sesi\u00f3n a una variable:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><code>$sessionName = \"Circular Kernel Context Logger\"<\/code><\/p>\n<ol start=\"4\">\n<li>Usa el siguiente comando para aumentar el b\u00fafer a 256 MB. Ajusta el valor seg\u00fan tus necesidades.<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><code>logman update $sessionName -f bincirc -max 256<\/code><\/p>\n<ol start=\"5\">\n<li>Aplica el cambio deteniendo y reiniciando la sesi\u00f3n:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><code>logman stop $sessionName &amp;&amp; logman start $sessionName<\/code><\/p>\n<p>\ud83d\udca1 <strong>Nota<\/strong>: aseg\u00farate de sustituir sessionName por el nombre correcto de la sesi\u00f3n que encontraste antes <strong>(Visor de eventos &gt; Registros de aplicaciones y servicios &gt; Microsoft &gt; Windows &gt; Kernel-EventTracing)<\/strong>.<\/p>\n<h2>C\u00f3mo confirmar que el nuevo tama\u00f1o del archivo de registro ETW est\u00e1 activo<\/h2>\n<h3>M\u00e9todo 1: comprobarlo con el Monitor de rendimiento (si est\u00e1 disponible)<\/h3>\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>perfmon<\/strong> y pulsa <strong>Intro<\/strong>.<\/li>\n<li>En el panel izquierdo, expande <strong>Conjuntos de recopiladores de datos &gt; Sesiones de seguimiento de eventos<\/strong><\/li>\n<li>Haz clic derecho en la sesi\u00f3n que has modificado (por ejemplo, Circular Kernel Context Logger) y selecciona <strong>Propiedades<\/strong>.<\/li>\n<li>En la pesta\u00f1a <strong>Condici\u00f3n de detenci\u00f3n<\/strong>, comprueba que el valor de <strong>Tama\u00f1o m\u00e1ximo (MB)<\/strong> coincide con el que acabas de establecer, por ejemplo <strong>256<\/strong>.<\/li>\n<\/ol>\n<p>\ud83d\udca1<strong> Nota:<\/strong> si esta opci\u00f3n gr\u00e1fica no est\u00e1 disponible por restricciones de acceso (algo habitual en dispositivos gestionados por la empresa), valida el cambio con PowerShell.<\/p>\n<h3>M\u00e9todo 2: comprobarlo con PowerShell (usando logman)<\/h3>\n<ol>\n<li>Abre PowerShell como administrador<\/li>\n<li>Ejecuta el siguiente comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><code>logman query \"Circular Kernel Context Logger\"<\/code><\/p>\n<p style=\"padding-left: 40px;\">\ud83d\udca1 <strong>Nota<\/strong>: sustituye \u00abCircular Kernel Context Logger\u00bb por la sesi\u00f3n que modificaste antes.<\/p>\n<ol start=\"3\">\n<li>Busca una l\u00ednea parecida a esta:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">Maximum Size: 256 MB<\/p>\n<p style=\"padding-left: 40px;\">\ud83d\udca1 <strong>Nota<\/strong>: esto solo se aplica si cambiaste el l\u00edmite m\u00e1ximo a 256 MB. Busca el valor que coincida con el que usaste en los m\u00e9todos anteriores.<\/p>\n<p>Si no ves el valor esperado, vuelve a ejecutar el comando <strong>logman update <\/strong>tal como se indica en el <a href=\"#method-2-step-2\">M\u00e9todo 2, paso 2<\/a> y reinicia la sesi\u00f3n para aplicar los cambios.<\/p>\n<h2>\u26a0\ufe0f Aspectos a tener en cuenta<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Riesgos<\/strong><\/td>\n<td><strong>Posibles consecuencias<\/strong><\/td>\n<td><strong>C\u00f3mo revertirlo<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Tama\u00f1o de registro excesivo (por ejemplo, &gt;1 GB)<\/td>\n<td>Puede consumir espacio en disco r\u00e1pidamente, sobre todo en sistemas con poco almacenamiento.<\/td>\n<td>Reduce el tama\u00f1o con logman update <strong>&lt;SessionName&gt; -max &lt;SmallerSize&gt;<\/strong> o desde la pesta\u00f1a <strong>Condici\u00f3n de detenci\u00f3n <\/strong>del Monitor de rendimiento. Revisa el uso del disco con regularidad.<\/td>\n<\/tr>\n<tr>\n<td>No reiniciar la sesi\u00f3n tras el cambio<\/td>\n<td>La nueva configuraci\u00f3n no se aplicar\u00e1 hasta que reinicies la sesi\u00f3n. El registro seguir\u00e1 con el tama\u00f1o de b\u00fafer anterior.<\/td>\n<td>Ejecuta <strong>logman stop<\/strong> y <strong>logman start<\/strong>, o reinicia el sistema. Comprueba siempre el resultado con<strong> logman query<\/strong>.<\/td>\n<\/tr>\n<tr>\n<td>Modificar la sesi\u00f3n equivocada<\/td>\n<td>Cambiar una sesi\u00f3n ETW que no corresponde puede interferir con herramientas de proveedores, diagn\u00f3sticos o registros de rendimiento de referencia.<\/td>\n<td>Revisa dos veces los nombres de las sesiones. Usa <strong>logman query<\/strong> para listar las sesiones disponibles. Si tienes dudas, revierte la configuraci\u00f3n con el mismo m\u00e9todo y el valor de tama\u00f1o original.<\/td>\n<\/tr>\n<tr>\n<td>Permisos insuficientes<\/td>\n<td>Los cambios de tama\u00f1o del registro fallan sin aviso, sobre todo en entornos gestionados con restricciones de GPO o RMM.<\/td>\n<td>Aseg\u00farate de ejecutar PowerShell como administrador. Si tienes restricciones, coord\u00ednate con el equipo de TI de la empresa o usa plantillas de implementaci\u00f3n de RMM aprobadas.<\/td>\n<\/tr>\n<tr>\n<td>Conflictos con otras herramientas de registro<\/td>\n<td>Herramientas como Windows Performance Recorder o diagn\u00f3sticos de proveedores pueden crear sesiones solapadas o sobrescribir los l\u00edmites de tama\u00f1o.<\/td>\n<td>Pausa o desactiva temporalmente otras sesiones de traza mientras haces los cambios. Despu\u00e9s, restaura la configuraci\u00f3n original si hace falta.<\/td>\n<\/tr>\n<tr>\n<td>Seguimiento de eventos deshabilitado por directiva<\/td>\n<td>Ning\u00fan cambio surtir\u00e1 efecto si ETW est\u00e1 deshabilitado o si el servicio Registros y alertas de rendimiento est\u00e1 detenido.<\/td>\n<td>Comprueba si el servicio pla est\u00e1 en ejecuci\u00f3n: Get-Service pla. Si no lo est\u00e1, solicita permiso o escala el caso al administrador de seguridad o de endpoints.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Otras consideraciones al aumentar el tama\u00f1o del registro para el evento ID 4<\/h2>\n<ul>\n<li>Este m\u00e9todo funciona con sesiones predeterminadas del sistema o con sesiones de traza de proveedores concretos.<\/li>\n<li>Los b\u00faferes m\u00e1s grandes consumen m\u00e1s espacio en disco. Aseg\u00farate de tener espacio suficiente antes de cambiar el tama\u00f1o m\u00e1ximo del registro.<\/li>\n<li>Aumentar el tama\u00f1o del registro puede evitar que se repitan los errores del evento ID 4 en el registro del sistema.<\/li>\n<\/ul>\n<h2>Resumen: aumentar el tama\u00f1o del registro del Kernel Event Tracing ID 4<\/h2>\n<p>Aumentar el tama\u00f1o del archivo de registro ETW en las sesiones de Kernel-EventTracing es fundamental para evitar que los registros se corten antes de tiempo y para capturar datos de diagn\u00f3stico completos en Windows 11. Tienes dos m\u00e9todos entre los que elegir.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it-hub\/it-service-management\/what-is-a-kernel-overview-definition\/\">\u00bfQu\u00e9 es un kernel? Visi\u00f3n general y definici\u00f3n<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/como-leer-registros-eventos-windows\/\">C\u00f3mo leer los registros de eventos de Windows: apagado y reinicio<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/monitorizacion-y-alertas-de-servidores\/\">Monitorizaci\u00f3n y Alertas de servidores<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Esta gu\u00eda explica dos formas de aumentar el tama\u00f1o del archivo de registro para el Kernel Event Tracing ID 4. A modo de recordatorio, el evento ID 4 del origen Kernel-EventTracing indica que una sesi\u00f3n de Event Tracing for Windows (ETW) se ha detenido porque ha alcanzado su l\u00edmite m\u00e1ximo de tama\u00f1o de archivo. Por [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":514785,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-900657","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900657","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=900657"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900657\/revisions"}],"predecessor-version":[{"id":900658,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900657\/revisions\/900658"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/514785"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=900657"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=900657"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=900657"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}