| Предыдущий | Следующий |
| ERROR_EVT_CHANNEL_CANNOT_ACTIVATE | ERROR_EVT_MESSAGE_NOT_FOUND |
ERROR_EVT_FILTER_TOO_COMPLEX
description[Селектор XPath превышает сложность, допустимую журналом событий Windows.]Выражение XPath для журнала событий слишком сложное
Журнал событий Windows намеренно ограничивает сложность фильтров. Структурированные запросы могут содержать несколько выражений Select и Suppress, а каждое выражение XPath имеет собственные ограничения на число операций и реализацию. Глубоко вложенная булева логика, множество повторяющихся условий или сгенерированные списки исключений могут превысить эти пределы, даже если каждый отдельный оператор поддерживается.
Разделите логику на несколько селекторов или запросов и объединяйте результаты на стороне потребителя. Используйте канал, поставщика, идентификатор события, уровень и временные предикаты для раннего сокращения набора результатов, а большие проверки принадлежности выполняйте вне службы журнала событий. Не ограничивайтесь добавлением скобок или переносом того же выражения в XML QueryList: это меняет упаковку, но не сложность базового вычислителя.
Что проверить
- Подсчитайте сгенерированные условия после полного раскрытия конфигурации.
- Разделите большие списки OR на несколько селекторов или запросов.
- Оставьте на стороне сервера избирательные системные предикаты, а остальную обработку выполняйте после получения результатов.
Ссылки
- Microsoft: схема структурированных запросов журнала событий
- Microsoft: подмножество XPath журнала событий и поведение результатов
- Microsoft: запрос событий Windows
Нужно найти другой код? Найти другой код состояния или ошибки.