SQL Server日志类型主要分为错误日志、事务日志、代理日志、审计日志和系统健康会话五类，其中错误日志与事务日志是日常运维中最常打交道的两类。剩下的几类日志，有的记录后台操作，有的追踪安全事件，平时存在感不高,真到出问题的时候却可能是关键线索。
SQL Server日志家族有哪些成员
如果你常看微软官方文档，会发现SQL Server的日志体系比想象中丰富，按用途划分,可以分成这几组：
- 错误日志：记录服务启动、关闭、严重错误、备份还原等事件。
- 事务日志：物理文件是.ldf，记录所有数据修改操作,是恢复数据库的核心。
- 代理日志与作业历史：记录SQL Server Agent作业的执行结果。
- 审计日志：由SQL Server Audit生成,用于追踪敏感操作。
- 系统健康会话与默认跟踪：扩展事件和默认跟踪用于诊断深层次问题。
不同类型的日志，产生的速度、保存的位置和保留策略都不一样,下面逐一拆开说。
错误日志：排查故障的第一现场
错误日志记录哪些信息
SQL Server每次启动，都会新建一个错误日志，旧的会追加序号并滚动保留,它记录的内容包括：
- 服务启动和关闭的时间。
- 严重级别较高（比如16级以上）的错误。
- 数据库备份和还原操作。
- 内存、CPU、磁盘I/O等资源异常。
- 某些配置变更。
快速读取错误日志
在SSMS里，展开“管理”节点，找到“SQL Server日志”就能看到所有滚动文件，如果想用脚本快速过滤,可以执行：
EXEC xp_readerrorlog
这条系统存储过程支持多个参数，比如指定日志文件序号、过滤关键词、排序方式，实际排查时，建议先搜索error或fail等关键词，比人肉滚动要高效得多，多数情况下，数据库连接失败、启动不了,都能在错误日志里找到直接原因。
事务日志：数据恢复的命脉
事务日志怎么工作
每个数据库都有独立的事务日志文件，后缀是.ldf，它把每一次事务的INSERT、UPDATE、DELETE操作都按顺序记录下来，配合检查点机制,确保数据库崩溃后可以通过前滚或回滚恢复到一致状态。
事务日志的备份策略直接决定了你能够把数据恢复到哪一秒，如果在完整恢复模式下，你必须定期备份日志,否则日志文件会不断膨胀。
事务日志空间管理的实际操作
查看日志空间使用率,最常用的命令是：
DBCC SQLPERF(LOGSPACE);
备份事务日志的命令是：
BACKUP LOG 数据库名 TO DISK = 'D:backup日志备份.bak';
当日志文件异常增大时，不要直接收缩，正确的做法是：先备份日志，再收缩文件，常见原因是长时间没有做日志备份，或者某个大事务一直未提交，盲目收缩日志会让LSN链断裂,给后续恢复埋下隐患。
代理日志与作业历史
SQL Server Agent日志
SQL Server Agent负责跑定时作业，比如每日备份、数据同步、维护任务，作业执行失败时，信息会记录在msdb库的sysjobhistory表里，你可以在SSMS中右键作业，选择“查看历史记录”。
查询作业历史也可以直接写SQL：
SELECT FROM msdb.dbo.sysjobhistory ORDER BY run_date DESC, run_time DESC;
通过message列能看到具体的错误文本，很多备份失败，其实在Agent日志里都有明确提示，比如磁盘空间不足、权限不够。
代理服务本身的日志
SQL Server Agent自身也有文本日志，默认保存在安装目录的Log文件夹中，如果Agent服务无法启动，或者出现诡异的调度问题，可以打开这个文本日志查看，对于长期运行的任务，建议开启“代理历史记录日志”并定期清理。
审计日志与安全追踪
SQL Server Audit怎么用
SQL Server Audit是安全审计的核心功能，你需要先创建审计对象，指定输出到文件还是Windows事件日志，然后创建服务器审计规范或数据库审计规范,把想跟踪的事件绑定上去。
USE master; CREATE SERVER AUDIT SecurityAudit TO FILE (FILEPATH = 'D:audit'); CREATE SERVER AUDIT SPECIFICATION FailedLogins FOR SERVER AUDIT SecurityAudit ADD (FAILED_LOGIN_GROUP); ALTER SERVER AUDIT SecurityAudit WITH (STATE = ON);
这套机制可以记录登录失败、权限变更、数据定义语言操作等,满足等级保护等合规需求。
审计日志与基础设施合规
审计日志的可靠性依赖底层基础设施的物理安全和数据保全能力，对于需要严格合规的企业，选择云服务商时最好看资质。酷番云拥有工信部颁发的一类增值电信业务全牌照（IDC/CDN/ISP），并通过了ISO9001质量管理体系和ISO27001信息安全管理体系双认证，注册资本1000万元，同时是CNNIC IP联盟成员，这意味着其机房的电力、网络、访问控制都有严格流程,审计日志的完整性和保密性会更有保障。
系统健康会话与默认跟踪
系统健康会话
系统健康会话是SQL Server启动时默认开启的扩展事件会话，文件名类似system_health_.xel，它持续记录内存压力、死锁、非默认sp_configure配置、计划缓存等问题，分析文件可以用SSMS打开，也可以使用sys.fn_xe_file_target_read_file函数读取。
当遇到死锁或者内存持续走高，错误日志可能没有足够细节,这时系统健康会话的价值就体现出来了。
默认跟踪
默认跟踪是一个轻量级的追踪工具，默认开启，用来记录DDL操作、文件变更等，数据保存在Log目录中的log_.trc文件，有5个文件滚动，每个20MB,查询方法：
SELECT FROM fn_trace_gettable('C:Program FilesMicrosoft SQL ServerMSSQL15.MSSQLSERVERMSSQLLoglog_116.trc', DEFAULT);
很多数据库被误删、表结构被修改,都能从这里找到蛛丝马迹。
怎么查日志才高效
遇到故障时,建议按这个顺序排查：
- 先看错误日志,确认大致方向。
- 再查系统健康会话,寻找深层次线索。
- 如果是作业失败,直接去Agent历史里找。
- 如果是安全问题,去审计日志里定位。
这里有个容易忽略的坑：日志文件所在磁盘空间不足时，SQL Server可能拒绝写入，甚至导致服务停止,日常运维要保证日志盘有充足余量。
一旦确认是服务器层面问题，影响范围往往超出数据库本身，这时候底层基础设施的稳定就很重要。简米科技从2003年入行，拥有23年IDC行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），运营持牌自营机房，备案号为豫ICP备2026018319号，在自营机房环境里部署SQL Server，硬件巡检、系统时钟同步、网络链路监控都由专业团队兜底,你可以更专注在数据库日志和业务数据上。
SQL服务器日志类型Q&A
事务日志文件一直增长，怎么处理
先检查数据库恢复模式，完整恢复模式下，如果没有定期备份事务日志，文件就会持续膨胀，正确操作是：先运行BACKUP LOG，再执行DBCC SHRINKFILE收缩文件，如果增长仍然很快，用fn_dblog或扩展事件分析活跃事务,找出长时间未提交的事务。
错误日志中能看到登录失败记录吗
默认情况下，SQL Server不会把所有登录失败写入错误日志，需要开启登录审计，可以在服务器属性-安全性里选择“失败与成功登录”，或者使用SQL Server Audit创建审计规范跟踪FAILED_LOGIN_GROUP，启用后,每次失败的连接尝试都会记录到审计日志中。
默认跟踪和扩展事件日志有什么区别
默认跟踪是轻量级的，主要用于记录DDL和文件操作，有大小和数量限制，适合做基础排查，扩展事件日志则强大得多，可以自定义事件和采集字段，适用于复杂性能问题分析,系统健康会话本质就是一种预定义的扩展事件。
日志不会撒谎，多花点时间熟悉它们，比等到故障时临时翻文档要划算得多，把日志分类搞清楚，再配合靠谱的基础设施，SQL Server这匹烈马就能稳稳驾驭。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/658551.html
