Question

我在使用以下查询的某些计算机上遇到性能问题：

System.Diagnostics.EventLog log = new System.Diagnostics.EventLog("Application");

var entries = log.Entries
    .Cast<System.Diagnostics.EventLogEntry>()
    .Where(x => x.EntryType == System.Diagnostics.EventLogEntryType.Error)
    .OrderByDescending(x => x.TimeGenerated)
    .Take(cutoff)
    .Select(x => new
    {
        x.Index,
        x.TimeGenerated,
        x.EntryType,
        x.Source,
        x.InstanceId,
        x.Message
    }).ToList();

显然ToList()在某些查询中可能会非常慢，但我应该将其替换为什么？

Answer 1

log.Entries集合的工作方式如下：它知道事件的总数（log.Entries.Count）以及当您访问单个元素时，它会进行查询以获取该元素。

这意味着当您枚举整个Entries集合时，它将查询每个单独的元素，因此会有Count个查询。 LINQ查询的结构（例如，OrderBy）强制完整枚举该集合。正如您所知 - 这是非常低效的。

更有效的方法可能是仅查询您需要的日志条目。为此，您可以使用EventLogQuery课程。假设您有一个简单的类来保存事件信息详细信息：

private class EventLogInfo {
    public int Id { get; set; }
    public string Source { get; set; }
    public string Message { get; set; }
    public DateTime? Timestamp { get; set; }
}

然后你可以像这样转换你效率低下的LINQ查询：

// query Application log, only entries with Level = 2 (that's error)
var query = new EventLogQuery("Application", PathType.LogName, "*[System/Level=2]");
// reverse default sort, by default it sorts oldest first
// but we need newest first (OrderByDescending(x => x.TimeGenerated)
query.ReverseDirection = true;            
var events = new List<EventLogInfo>();
// analog of Take
int cutoff = 100;
using (var reader = new EventLogReader(query)) {
    while (true) {
        using (var next = reader.ReadEvent()) {
            if (next == null)
                // we are done, no more events
                break;
            events.Add(new EventLogInfo {
                Id = next.Id,
                Source = next.ProviderName,
                Timestamp = next.TimeCreated,
                Message = next.FormatDescription()
            });
            cutoff--;
            if (cutoff == 0)
                // we are done, took as much as we need
                break;
        }
    }
}

它将快10到100倍。但是，此API更低级并返回EventRecord（而非EventLogEntry）的实例，因此对于某些信息，可能有不同的获取方式（与EventLogEntry相比）。

如果您认为绝对必须使用log.Entries和EventLogEntry，那么至少要向后枚举Entries。那是因为最新的事件最终（按时间戳升序排序），你需要按时间戳下降的前X个错误。

EventLog log = new System.Diagnostics.EventLog("Application");
int cutoff = 100;
var events = new List<EventLogEntry>();
for (int i = log.Entries.Count - 1; i >= 0; i--) {
    // note that line below might throw ArgumentException
    // if, for example, entries were deleted in the middle
    // of our loop. That's rare condition, but robust code should handle it
    var next = log.Entries[i];
    if (next.EntryType == EventLogEntryType.Error) {
        // add what you need here
        events.Add(next);
        // got as much as we need, break
        if (events.Count == cutoff)
            break;
    }
}

效率较低，但仍应比现有方法快10倍。请注意，它更快，因为Entries集合未在内存中实现。当您访问它们时会查询单个元素，并且在您的特定情况下向后枚举时 - 很有可能查询更少的元素。

从System.Diagnostics.EventLog优化LINQ读取

1 个答案: