Ce guide présente deux méthodes pour augmenter la taille du fichier journal associé à l’ID d’événement 4 de Kernel Event Tracing. Pour rappel, l’événement ID 4 provenant de la source Kernel-EventTracing indique qu’une session Event Tracing for Windows (ETW) s’est arrêtée parce qu’elle a atteint sa taille de fichier maximale. Par défaut, les sessions ETW sont limitées à 64 Mo, ce qui peut s’avérer insuffisant pour des diagnostics prolongés ou une journalisation détaillée.
D’autres raisons peuvent justifier d’augmenter la taille du journal pour l’événement ID 4 :
- éviter l’arrêt prématuré des sessions ETW
- améliorer la visibilité sur les événements kernel rares ou peu fréquents
- permettre une surveillance continue en environnement de production ou de test
- résoudre les problèmes de saturation trop rapide des tampons de trace
Vous préférez la vidéo ? Consultez notre guide visuel : Comment augmenter la taille du journal pour l’événement ID 4 : Kernel-EventTracing sous Windows 11.
📌 Stratégies de déploiement recommandées :
| Cliquez pour choisir une méthode | 💻 Idéal pour les utilisateurs individuels | 💻💻💻 Idéal pour les grandes entreprises |
| Méthode 1 : utiliser l’Analyseur de performances | ✓ | |
| Méthode 2 : utiliser PowerShell | ✓ | ✓ |
Augmenter la taille des journaux ETW : deux méthodes possibles
Méthode 1 : utiliser l’Analyseur de performances
📌 Cas d’usage : cette méthode convient particulièrement aux utilisateurs individuels ou aux professionnels de l’informatique qui gèrent des systèmes autonomes. Elle est également idéale lorsqu’une interface graphique est accessible immédiatement ou lorsque le recours aux scripts est inutile (ou interdit).
📌 Prérequis :
- Cette méthode s’applique à toutes les éditions de Windows 11.
- Vous devez disposer des privilèges d’administrateur.
- Les sessions concernées doivent apparaître sous observateur d’événements > Journaux (Applications and Services Logs) > Microsoft > Windows > Kernel-EventTracing.
- Vous devez savoir quelle session ETW a déclenché l’erreur d’événement ID 4 (par exemple, Circular Kernel Context Logger).
Étapes :
- Appuyez sur Win + R, tapez perfmon, puis appuyez sur Entrée.
💡 Astuce : n’utilisez pas perfmon /report, qui n’affiche que les diagnostics système. Vous avez besoin de la console complète.
- Dans le volet de gauche, repérez l’arborescence située sous le nom de votre ordinateur. Développez Ensembles de collecteurs de données, puis Sessions de suivi d’événements. Une liste des sessions ETW actives et prédéfinies s’affiche.
⚠️ Important : si vous utilisez un appareil géré par votre entreprise, votre accès à ce menu peut être limité. Dans ce cas, vous ne verrez que « Outils d’analyse » et non « Ensembles de collecteurs de données ». Utilisez plutôt la méthode 2 décrite ci-dessous.
- Repérez la session indiquée dans votre journal d’événement ID 4 et faites un clic droit dessus. Elle porte généralement le nom Circular Kernel Context Logger, mais cela peut varier selon votre système ou vos outils de diagnostic.
- Faites un clic droit sur la session souhaitée et sélectionnez Propriétés pour accéder aux paramètres configurables.
- Ouvrez l’onglet Condition d’arrêt. Augmentez ensuite la Taille maximale (Mo) depuis la valeur par défaut (généralement 64 Mo) vers une valeur plus élevée (256 Mo ou plus, par exemple). Les traces longues ne seront ainsi plus tronquées prématurément.
- Cliquez sur Appliquer, puis sur OK.
- Pour terminer, faites un clic droit sur la session et choisissez Redémarrer. Si cette option n’est pas disponible, redémarrez le système pour activer le nouveau paramètre.
Méthode 2 : utiliser PowerShell
📌 Cas d’usage : c’est une excellente solution de repli si la méthode 1 ne vous est pas accessible parce que vous travaillez sur un système géré par votre entreprise. Cette méthode est également idéale pour les MSP qui gèrent plusieurs systèmes à distance ou pour ceux qui privilégient les flux de travail d’automatisation.
📌 Prérequis :
- Vous devez disposer d’un accès PowerShell de niveau administrateur.
- Les sessions concernées doivent apparaître sous observateur d’événements > Journaux (Applications and Services Logs) > Microsoft > Windows > Kernel-EventTracing.
- Vous devez savoir quelle session ETW a déclenché l’erreur d’événement ID 4 (par exemple, Circular Kernel Context Logger).
- La commande logman doit être disponible (elle est fournie par défaut avec Windows).
💡 Astuce : besoin d’une remise à niveau ? Inscrivez-vous à notre formation accélérée gratuite, PowerShell for IT Ninjas.
Étapes :
- Lancez PowerShell en tant qu’administrateur. Pour cela, faites un clic droit sur le menu Démarrer et choisissez Terminal Windows (admin) ou PowerShell (admin).
- (Facultatif, mais recommandé) Vérifiez votre accès à logman en exécutant cette commande :
logman query
Si la commande renvoie une liste de sessions, vos droits sont suffisants. Si elle échoue avec une erreur, votre système est peut-être davantage verrouillé par une politique.
- Affectez le nom de votre session à une variable :
$sessionName = "Circular Kernel Context Logger"
- Utilisez la commande suivante pour porter le tampon à 256 Mo. Ajustez la valeur selon vos besoins.
logman update $sessionName -f bincirc -max 256
- Appliquez la modification en arrêtant puis en redémarrant la session :
logman stop $sessionName && logman start $sessionName
💡 Remarque : pensez à remplacer sessionName par le nom exact de la session identifiée précédemment (observateur d’événements > Journaux (Applications and Services Logs) > Microsoft > Windows > Kernel-EventTracing).
Vérifier que la nouvelle taille du fichier journal ETW est bien appliquée
Méthode 1 : vérification via l’Analyseur de performances (si disponible)
- Appuyez sur Win + R, tapez perfmon, puis appuyez sur Entrée.
- Dans le volet de gauche, développez Ensembles de collecteurs de données > Sessions de suivi d’événements
- Faites un clic droit sur la session que vous avez modifiée (Circular Kernel Context Logger, par exemple), puis sélectionnez Propriétés.
- Dans l’onglet Condition d’arrêt, vérifiez que la valeur Taille maximale (Mo) correspond bien à celle que vous venez de définir, par exemple 256.
💡 Remarque : si cette option graphique n’est pas accessible en raison de restrictions d’accès (fréquent sur les appareils gérés par l’entreprise), effectuez la vérification via PowerShell.
Méthode 2 : vérification via PowerShell (avec logman)
- Ouvrez PowerShell en tant qu’administrateur
- Exécutez la commande suivante :
logman query "Circular Kernel Context Logger"
💡 Remarque : remplacez « Circular Kernel Context Logger » par la session que vous avez modifiée.
- Recherchez une ligne de ce type :
Maximum Size: 256 MB
💡 Remarque : cela ne vaut que si vous avez porté la limite maximale à 256 Mo. Recherchez la valeur correspondant exactement à celle que vous avez utilisée dans les méthodes décrites ci-dessus.
Si la valeur attendue n’apparaît pas, réexécutez la commande logman update indiquée à l’étape 2 de la méthode 2, puis redémarrez la session pour appliquer les modifications.
⚠️ Points de vigilance
| Risques | Conséquences possibles | Retours en arrière |
| Taille de journal excessive (par exemple > 1 Go) | Peut consommer rapidement l’espace disque, en particulier sur les systèmes au stockage limité. | Réduisez la taille avec logman update <SessionName> -max <SmallerSize> ou via l’onglet Condition d’arrêt de l’Analyseur de performances. Surveillez régulièrement l’utilisation du disque. |
| Session non redémarrée après modification | Les nouveaux paramètres ne s’appliquent qu’après le redémarrage de la session. La journalisation se poursuit avec l’ancienne taille de tampon. | Exécutez logman stop et logman start, ou redémarrez le système. Vérifiez toujours avec logman query. |
| Modification de la mauvaise session | Modifier une session ETW sans rapport peut perturber les outils de fournisseurs, les diagnostics ou les journaux de performance de référence. | Vérifiez soigneusement les noms de session. Utilisez logman query pour lister les sessions disponibles. En cas de doute, rétablissez les paramètres avec la même méthode et la valeur de taille d’origine. |
| Autorisations insuffisantes | Les modifications de taille de journal échouent silencieusement, en particulier dans les environnements gérés soumis à des restrictions GPO ou RMM. | Assurez-vous d’exécuter PowerShell en tant qu’administrateur. En cas de restriction, coordonnez-vous avec votre équipe informatique d’entreprise ou utilisez les modèles de déploiement RMM approuvés. |
| Conflits avec d’autres outils de journalisation | Des outils comme Windows Performance Recorder ou les diagnostics propres à un fournisseur peuvent créer des sessions qui se chevauchent ou remplacer les limites de taille. | Suspendez ou désactivez temporairement les autres sessions de trace pendant vos modifications. Rétablissez ensuite les paramètres d’origine si nécessaire. |
| Suivi d’événements désactivé par une politique | Aucune modification ne prendra effet si ETW est désactivé ou si le service Journaux et alertes de performance est arrêté. | Vérifiez que le service pla est en cours d’exécution : Get-Service pla. Si ce n’est pas le cas, demandez l’autorisation ou faites remonter la demande à votre administrateur sécurité ou terminaux. |
Autres points à prendre en compte pour augmenter la taille du journal de l’événement ID 4
- Cette méthode fonctionne pour les sessions système par défaut comme pour les sessions de trace propres à un fournisseur.
- Des tampons plus volumineux consomment davantage d’espace disque. Assurez-vous d’avoir assez d’espace avant de modifier la taille maximale du journal.
- Augmenter la taille du journal permet d’éviter que les erreurs d’événement ID 4 ne se répètent dans le journal système.
En résumé : augmenter la taille du journal pour Kernel Event Tracing ID 4
Augmenter la taille du fichier journal ETW des sessions Kernel-EventTracing est indispensable pour éviter la troncature prématurée des journaux et capturer l’intégralité des données de diagnostic sous Windows 11. Deux méthodes s’offrent à vous.
Sujets connexes :
