SQL Server中TimeoutExpired与system_health扩展事件查询结果差异原因

问题场景 #

我需要按日期筛选扩展事件数据，首先针对2024年7月创建的TimeoutExpired会话执行查询：

-- TimeoutExpired 会话查询
SELECT DISTINCT CAST([timestamp] as date) AS [Date]
FROM    (
         SELECT [timestamp] = event_data.value(N'(event/@timestamp)[1]', N'datetime')
         FROM   (SELECT event_data = CONVERT(XML, event_data) 
                 FROM sys.fn_xe_file_target_read_file(N'F:\SQL Server\TimeoutExpired*.xel', NULL, NULL, NULL)
                ) a
        ) b
ORDER BY [Date] DESC

查询仅返回1行结果：2025-02-26，但预期应返回从当前日期回溯至2024年7月中旬的日期列表。

而使用相同语句查询system_health会话时，返回了最近69天的日期数据：

-- system_health 会话查询
SELECT DISTINCT CAST([timestamp] as date) AS [Date]
FROM    (
         SELECT [timestamp] = event_data.value(N'(event/@timestamp)[1]', N'datetime')
         FROM   (SELECT event_data = CONVERT(XML, event_data) 
                 FROM sys.fn_xe_file_target_read_file(N'system_health*.xel', NULL, NULL, NULL)
                ) a
        ) b
ORDER BY [Date] DESC

结果包含69行，涵盖2025-02-26至更早的日期。

请问这两个扩展事件会话的设置差异是否是导致查询结果截然不同的原因？

原因分析 #

是的，两个会话的配置差异大概率是核心原因，常见的关键差异点如下：

1. 文件目标的保留策略配置 #

system_health是SQL Server默认的扩展事件会话，它的文件目标默认配置了合理的滚动保留规则：

• 默认设置MAX_ROLLOVER_FILES = 10，最多保留10个滚动文件
• MAX_FILE_SIZE = 5（单位：MB），单个文件达到5MB时自动创建新文件
  这种配置会自动保留一定数量的历史文件，不会轻易覆盖旧数据。

而你创建的TimeoutExpired会话可能存在以下配置问题：

• MAX_ROLLOVER_FILES设置过小（比如设为1），导致旧文件被新文件覆盖
• MAX_FILE_SIZE设置过大，单个文件未触发滚动，但会话可能配置了自动删除旧文件的规则
• 未启用滚动保留，而是使用单一文件，旧数据被覆盖或清理

2. 会话的运行状态 #

检查TimeoutExpired会话是否在2024年7月至当前日期之间持续运行：

• 如果会话中途被停止过，之后才重新启动，那么只有重启后的事件会被捕获，之前的历史数据不会存在
• system_health默认是持续运行的，不会轻易停止，因此能积累长期数据

3. 事件触发频率 #

如果TimeoutExpired对应的事件（超时过期）在2024年7月至2025年2月25日之间没有被触发，自然不会生成对应日期的记录。但结合你预期有历史数据的前提，这种可能性较低，优先考虑配置问题。

4. 文件存储路径与权限 #

确认F:\SQL Server\路径下是否存在TimeoutExpired会话的历史.xel文件：

• 可能旧文件被手动删除、移动，或者SQL Server服务账户没有权限写入旧文件路径，导致历史数据未被保存
• system_health的文件默认存储在SQL Server的日志目录，一般不会被随意改动

内容的提问来源于stack exchange，提问作者rpowell6