能否从正被活跃ETW会话写入的ETL文件中消费ETW事件？

问题结论 #

正在被活跃ETW会话写入的ETL文件，通过OpenTrace/ProcessTrace消费事件是安全且受系统支持的操作，你不会拿到结构损坏、不完整的事件，但读取结果存在几个明确的边界限制。

底层机制说明 #

1. ETW的ETL文件写入本身是按缓冲区原子提交的：ETW内核会把事件先写入内存缓冲区，等缓冲区填满/触发手动flush操作后，才会把完整的缓冲区整块写入ETL文件末尾，不存在写入一半的缓冲区落到磁盘的情况。
2. OpenTrace/ProcessTrace原生适配了读取活跃写入的ETL文件的场景：API处理时会先校验每个缓冲区的头部签名、长度和校验值，只会处理完全合法的完整缓冲区，自动忽略文件末尾可能存在的异常不完整块，确保返回的所有事件都是结构一致的。
3. 你观测到的READ|DELETE共享打开模式是系统特意设计的，就是为了支持活跃会话运行的同时允许第三方读取ETL文件，不会出现独占锁冲突导致打开失败。

注意事项 #

虽然操作安全，但读取结果存在几个限制：

• 你只能读取到当前已经flush到磁盘的事件，还存放在ETW内核缓冲区、用户态缓冲区中未落盘的事件无法被读到，需要等缓冲区满自动落盘或者手动调用flush接口才能拿到这部分内容。
• 如果ETL会话配置的是循环覆写模式（circular logging），当文件写满后新的缓冲区会覆写最早的旧缓冲区，此时你读取过程中可能出现旧事件被覆盖的情况，最终拿到的事件序列可能存在不连续的问题。
• 读取过程中不要主动修改、删除目标ETL文件，虽然共享模式允许删除操作，但删除后ETW会话写入会直接报错终止，你的读取操作也会提前中断。

内容的提问来源于stack exchange，提问作者Nick Hutchinson