事件追踪

事件追踪

目的

Windows事件跟踪（ETW）为应用程序程序员提供了启动和停止事件跟踪会话，对应用程序进行检测以提供跟踪事件以及使用跟踪事件的能力。跟踪事件包含事件标头和提供者定义的数据，这些数据描述了应用程序或操作的当前状态。您可以使用事件来调试应用程序并执行容量和性能分析。

本文档适用于要使用ETW的用户模式应用程序。有关检测以内核模式运行的设备驱动程序的信息，请参阅Windows驱动程序工具包（WDK）中的WPP软件跟踪和将事件跟踪添加到内核模式驱动程序。

适用时

当您要检测应用程序，将用户或内核事件记录到日志文件以及使用日志文件中的事件或实时使用事件时，请使用ETW。

开发人员观众

ETW是为编写用户模式应用程序的C和C ++开发人员设计的。

运行时间要求

ETW包含在Microsoft Windows 2000和更高版本中。有关使用特定功能需要哪些操作系统的信息，请参见该功能文档的“要求”部分。

在.NET代码中处理ETW跟踪

您可以使用.NET TraceProcessing API分析应用程序和其他软件组件的ETW跟踪。Microsoft内部使用此API来分析Windows工程系统产生的ETW数据，并且还可以使用它来驱动Windows Performance Analyzer中的多个表。此API可以作为NuGet包使用。

有关更多信息，请参见本文。

在这个部分

话题	描述
事件跟踪的新增功能	每个版本中添加到事件跟踪的新功能。
关于事件跟踪	有关事件跟踪的一般信息。
使用事件跟踪	与任务相关的主题，描述如何使用ETW API。
事件跟踪参考	ETW功能和其他编程元素的详细说明。