监视服务器性能

系统监视器
“系统监视器”提供有关操作系统的特定组件，以及专门收集性能数据程序所使用的资源的详细数据，或者将数据导出到电子表格程序或用于分析和生成报表的数据库中。通过对服务器主要性能参数（处理器利用情况、硬盘I/O传输率、内存利用率和页面文件的活动）的监测，及时采取相应的措施，有效地避免由于负荷过重而导致系统瘫痪或响应时间过长等问题。
3.1.1  系统监视器概述
使用“系统监视器”，可以通过下列方法衡量自己的计算机或网络中其他计算机的性能：
收集并查看本地计算机或几个远程计算机的实时性能数据。在Windows Server 2003家族中已经修改了其可用性。例如，可以同时删除多个计数器并直接从列表窗口中显示计数器的数据属性页。可将从性能日志文件或SQL数据库中选择的数据保存为新文件，以便稍后进行分析。
查看计数器日志中当前或以前收集的数据。现在使用Windows Server 2003家族，可以同时查看多个日志文件中的数据。
在可打印的图表、直方图或报告视图中显示数据。
将“系统监视器”功能合并到支持ActiveX控件的应用程序中，例如网页、Microsoft Word以及Microsoft Office中的其他应用程序。
在性能视图下创建HTML页。可以通过浏览器查看以HTML格式存储的视图。
创建可重复使用的监视配置，这些配置可以安装在其他使用Microsoft管理控制台（MMC）的计算机上。

3.1.2  数据收集方式
使用系统监视器，可以收集和查看大量有关硬件资源使用数据以及所管理的计算机上系统服务活动的数据。可以通过下列方式定义希望系统监视器收集的数据：
数据类型。选择将收集的数据，可以指定性能对象、性能计数器和性能对象实例。有些对象提供关于系统资源（例如内存）的数据，而其他对象则提供应用程序操作（例如系统服务）的数据。
数据源。“系统监视器”可以从本地计算机或者从拥有管理凭据的网络上的其他计算机收集数据。默认情况下，要求拥有管理凭据。此外，可以包含实时数据和以前使用计数器日志收集的数据。使用Windows Server 2003家族，可以查看以前通过“性能日志和警报”服务收集并存储在SQL数据库中的性能数据。
采样参数。系统监视器根据指定的时间间隔支持手动按需采样或自动采样，这种功能仅适用于实时数据。查看记录的数据时，还可以选择开始和停止时间，以便查看跨越特定时间范围的数据。
除了定义数据内容的选项外，在设计“系统监视器”视图的外观时还有相当大的灵活性：
显示类型。“系统监视器”支持图表、直方图和报告视图。图表视图为默认视图，它提供的可选设置最多。
显示特征。对3种视图中的任何一种，都可以定义显示的颜色和字体。
在图表或直方图中查看性能数据时，可以从多种不同的选项选择：
为图表或直方图指定标题并标记垂直轴线；
设置图表或直方图描述的值的范围；
调整绘制的线条和分栏的特征来指定计数器的值，包括颜色、宽度和样式等其他图形特征。

3.1.3  系统监视器的设置
系统监视器默认情况下，对内存、硬盘及CPU的运行状况进行监视，网络管理员可以对显示方式、数据、来源和外观进行调整，满足监控的需要。下面将介绍系统监视器的设置。
依次单击“开始”→“管理工具”→“性能”，显示图3-1所示“性能”窗口，查看系统监视器。

图3-1  “性能”窗口

1. 设置显示方式
默认状态下，性能以图表视图方式显示。单击工具栏中的相应按钮，可以以直方图或报告视图方式显示。图表视图使用线性图表格式显示一段时间内的计数器数据。直方图视图（如图3-2所示）可按条形图格式显示计数器数据，每个计数器实例仅显示一个数值。报告视图可按表格形式显示计数器数据，每个计数器实例仅显示一个数值。在报告视图中，计数器名称和数据数值显示在与之相关联的性能对象下面的行中，每个实例及其数据显示在单独的列中。
2. 设置数据来源
单击工具栏中的“查看日志数据”按钮，或者在图表中右击，并在快捷菜单中选择“属性”命令，显示图3-3所示“系统监视器 属性”对话框。在“来源”选项卡中，选择“当前活动”选项，显示当前活动的性能情况，还可以选择“日志文件”或“数据库”选项，用于显示历史上的性能情况。

图3-2  直方图视图

图3-3  “系统监视器 属性”对话框

3. 设置默认视图与采样方式
选择“常规”选项卡（如图3-4所示），在“查看”栏中可以指定显示类型，在“显示元素”栏选择视图的具体样式。对于“报告和直方图数据”栏，如果选择平均值、最小值或最大值统计信息，就会在每个采样间隔中计算统计信息。但这会为实时数据带来额外的性能开销。另外，还可指定所需的采样选项。若以定期间隔自动采样，可选中“自动采样间隔”复选框，并在“秒”文本框中输入间隔时间（秒）。默认间隔为1秒。若欲手动采样，应当清除“自动采样间隔”复选框。选择手动采样时，应使用“更新数据”按钮来收集采样。

图3-4  “常规”选项卡

4. 设置视图外观样式
选择“外观”选项卡（如图3-5所示），可更改背景、图表、文本和字体属性。若欲更改颜色元素，先在“颜色”下拉列表框中，选择想要更改其颜色的图形元素，单击“更改”按钮，并在“颜色”对话框中选择中意的颜色。“颜色”中的可用元素是：
图表背景。计数器数据图表的窗口区域的背景颜色。
控制背景。环绕数据图表的窗口区域的背景颜色。
文本。文本颜色。
网格。垂直或水平网格线条所用的颜色。
时间栏。计时器栏所用的颜色。
若欲更改图形上的文本或数字所用的字体，在“字体”栏中单击“更改”按钮，然后设置想要的任何字体选项。选项包括“字体”、“字形”、“大小”和“字符集”。

图3-5  “外观”选项卡

5. 设置计数器
选择“数据”选项卡（如图3-6所示），可更改计数器和计数器属性。默认情况下，“系统监视器”会显示本机的Pages/sec、Avg.Disk Queue Length、% Processor Time计数器的数据。
添加。选择“添加”按钮，打开“添加计数器”对话框，可以在此选择要添加的其他计数器。
删除。删除在计数器列表中选定的计数器。
颜色。更改所选计数器的颜色。
比例。在图表或直方图视图中更改所选计数器的显示比例。计数器数值可以在0.0000001到1000000.0之间线性调整。可以调整计数器比例设置以提高图表中计数器数据的可视性。更改比例不影响数值条中显示的统计数据。
宽度。更改所选计数器的线宽。注意在定义线宽同时确定了可用的线条样式。
样式。更改所选计数器的线条样式。只有使用默认线宽才能选择样式。

6. 设置标题和网格
选择“图表”选项卡（如图3-7所示），可将标题、网格和其他属性添加到图表。

图3-6  “数据”选项卡

图3-7  “图表”选项卡

3.2  性能日志和警报
日志提供了对这些数据进行记录的能力。当计数器值到达、高于或低于所定义的阈值时，警报将向用户发送通告，从而在系统性能达到极限时，及时通知系统管理员采取必要的措施，有效避免可能的系统瘫痪。
3.2.1  性能日志和警报概述
“性能日志和警报”具有如下功能：
Windows Server 2003家族提供的新功能包括以不同的账户运行日志集合。例如，如果需要管理凭据从远程计算机记录数据，可以指定一个具有必需凭据的账户。
Windows Server 2003家族支持超过1GB大小的日志文件，并且在使用新的日志文件格式后，性能数据可以附加到现有日志文件中。
“性能日志和警报”收集逗号分隔或制表符分隔格式的数据，以便更容易导入到电子表格程序中。还提供二进制日志文件格式，用于循环记录或记录示例，例如可能在日志开始搜集数据后开始的线程或进程。循环日志记录是某单个文件记录日志数据的持续过程，用新数据覆盖先前数据。
可以收集SQL数据库格式的数据。该选项定义现有SQL数据库和该数据库内的日志集的名称，可在该数据库内读取或写入性能数据。当基于企业级（而不是基于每个计算机）收集和分析性能数据时，该文件格式很适用。直接向SQL数据库记录数据是通过开放数据库连接（ODBC）提供支持。
可以在收集数据期间，或在停止收集后查看由“性能日志和警报”收集的计数器数据。
因为日志作为服务运行，不管是否有用户登录到被监视的计算机，数据收集都会发生。
可以定义用于自动日志生成的起始和终止时间、文件名、文件大小以及其他参数。
可以从单个控制台窗口管理多个日志会话。
可以设定计数器上的性能警报，因此指定将发送的消息、运行的程序、用于应用程序事件日志的项目或者当选定计数器值超过或低于某一指定设置的时候启动日志。
“性能日志和警报”支持定义性能对象、性能计数器和性能对象实例，同时支持为有关监视硬件资源和系统服务的数据设定采样间隔。“性能日志和警报”还提供其他与记录性能数据相关的选项，包括：
启动和停止日志，或者根据需要手动进行，或者按照用户定义的计划自动实现。
配置其他设置，用于自动日志记录，例如自动文件重命名和为终止和启动一个基于已用时间或者文件大小的日志文件设置参数。
创建跟踪日志。使用默认的Windows Server 2003家族数据提供程序或其他应用程序提供程序，当某些活动（例如磁盘输入/输出（I/O）操作或页面错误）发生时，跟踪日志将记录详细的系统应用程序事件。当该事件发生时，操作系统将系统数据记录到由“性能日志和警报”服务指定的文件中。这与计数器日志的操作不同，当使用计数器日志时，经过一个更新间隔，该服务从系统中取得数据，而不是等待某一个特定的事件。需要分析工具解释跟踪日志输出。

监视服务器性能
要监视简单服务器配置的性能，需要收集某个时间段内的3种不同类型的性能数据：
常规性能数据。该信息可帮助识别短期趋势（如内存泄漏）。经过一两个月的数据收集后，可以求出结果的平均值并用更紧凑的格式保存这些结果。这种存档数据可帮助我们在业务增长时作出容量规划，并有助于在日后评估上述规划的效果。
比较基准的性能数据。该信息可帮助我们发现缓慢、历经长时间才发生的变化。通过将系统的当前状态与历史记录数据相比较，可以排除系统问题并调整系统。由于该信息只是定期收集的，所以不必对其进行压缩存储。
服务水平报告数据。该信息可帮助我们确保系统能满足一定的服务或性能水平，也可能会将该信息提供给并不是性能分析人员的决策者。收集和维护该数据的频率取决于特定的业务需要。
打开“性能”窗口，展开左侧控制台树，选择“性能日志和警报”→“计数器日志”，任何现有的计数器日志都将在右侧详细信息窗格中列出（如图3-8所示）。绿色图标表明日志正在运行；红色图标表明日志已停止运行。
右击详细信息窗格中的空白区域，在快捷菜单中选择“新建日志设置”命令，显示图3-9所示“新建日志设置”对话框。
在“名称”文本框中输入计数器日志的名称，然后单击“确定”按钮，显示图3-10所示日志对话框。
在“常规”选项卡上，单击“添加对象”按钮并选择要添加的性能对象，或者单击“添加计数器”按钮选择要记录的单个计数器。
单击“添加对象”按钮，显示图3-11所示“添加对象”对话框。选择“使用本地计算机计数器对象”选项，并在“性能对象”列表框中选择欲记录的对象。若不太清楚所选择的性能对象，可单击“说明”按钮，系统将弹出对话框显示详细说明。单击“添加”按钮，将该对象添加至日志记录。

图3-8  计数器日志详细信息

图3-9  “新建日志设置”对话框

图3-10  日志对话框

图3-11  “添加对象”对话框

单击“添加计数器”按钮，显示图3-12所示“添加计数器”对话框。选择“使用本地计算机计数器”选项，在“性能对象”下拉列表框中选择欲记录的对象，并选择“从列表中选择计数器”，然后，在列表框中选择欲添加的计数器。若不太清楚所选择的性能对象，可单击“说明”按钮，系统将弹出对话框显示详细说明。单击“添加”按钮，将该计数器添加至日志记录。
单击“关闭”按钮，返回日志对话框，添加的对象和计数器将显示在“计数器”列表框，如图3-13所示。

图3-12  “添加计数器”对话框

图3-13  添加对象和计数器

需要注意以下几点：
若欲保存计数器日志、跟踪日志或警报的设置，应右击详细信息窗格中的日志或警报，然后单击“将设置另存为”命令。随后可以指定要用来保存该设置的.htm文件。若欲将保存的设置重新用于新日志或警报，可右击详细信息窗格，然后单击“新的日志设置来自”或“新的警报设置来自”。这是从日志或警报配置中生成新设置的简便方法。也可在Internet Explorer中打开HTML文件以显示“系统监视器”图形。
若要从指定计算机记录对象而不考虑运行服务的位置，可单击“从计算机选择计数器对象”并指定要监视的计算机的通用命名约定（UNC）名称，如//MyLogServer。
某些对象类型有多个实例。例如，如果系统有多个处理器，则Processor对象类型将有多个实例。如果系统有两个磁盘，则Physical Disk对象类型有两个实例。一些对象类型，例如Memory和Server只有一个实例。如果对象类型有多个实例，则可以针对每个实例将计数器添加到跟踪统计中，或者在许多情况下，可一次针对所有实例将计数器添加到跟踪统计中。默认情况下，计数器以实例名和实例索引显示。

3.2.3  设置警报
利用警报设置，可帮助网络管理员定义对服务器特定设备如CPU、内存的状态进行监控，当出现故障或者异常的时候，发出报警信息。在默认状态下，警报没有做任何设置，需要网络管理员自定义警报设置，完成对服务器的监控。下面介绍如何设置警报。
打开“性能”窗口，展开左侧控制台树，选择“性能日志和警报”→“警报”，任何现有的警报将在右侧详细信息窗格中列出（如图3-14所示）。绿色图标表明警报正在运行；红色图标表明警报已停止运行。
右击详细信息窗格的空白区域，然后在快捷菜单中单击“新建警报设置”命令，显示图3-15所示“新建警报设置”对话框。

3.2.4  决定计数器的可接受值
系统处理一个典型的负载并运行所有必要的服务时，考虑可以接受的系统性能级别是其基准。这种基准性能是管理员根据工作环境确定的一种主观标准。基准性能可以与计数器值的范围对应，包括一些暂时无法接受的值，但是通常表示在管理员特定的条件下可能的最佳性能。基准可以是用来设置用户性能标准的度量标准，并可以包含在使用的任何服务协议中。
决定性能是否可以接受是一种主观判断，随用户环境的变化而明显地变化。然而，表3-1包含特定计数器的阈值，可以帮助我们确定系统报告的值是否指明了问题。如果“系统监视器”连续报告这些值，可能是系统存在瓶颈，应当采取措施来调整或更新受影响的资源。与即时计数器值的平均值相比，显示一段时间内使用比例的计数器是一个更加详细的衡量标准。例如，在性能数据衡量标准中，在比较短的一段时间内超出正常工作条件的两个数据点可能会使平均值偏离真实值。因而它没有正确反映这段数据收集期间内的总体工作性能。
表3-1  部分重要计数器的建议阈值

3.2.5  性能监视操作技巧
设置性能监视时，应当注意以下几个方面的问题：
1. 合理设置监视配置
配置“性能日志和警报”以定期（例如每10到15分钟）报告所推荐计数器的数据。保留过期的日志，将数据存储在数据库中，并查询要报告的数据以及根据需要分析数据以进行总体性能评价、趋势分析和功能计划。
2. 使监视开销保持为低
通常，性能工具设计为保持最低开销。但是，在下列情况下开销可能会增加：
在图表视图中运行“系统监视器”；
已经选择了一个非“系统监视器”图表或报告视图的默认值（当前值）的选项；
采样间隔太短（间隔小于3秒）；
已经选择了许多不同的对象和计数器。
影响性能的性能工具操作的其他方面包含文件大小、日志文件占用的磁盘空间。要减小文件大小和相关的磁盘空间使用，请延长更新间隔。同时，不要记录到正在监视的磁盘。频繁地记录还会增加对磁盘输入/输出（I/O）的需求。
如果需要考虑监视开销，则只运行“性能日志和警报”服务，而不使用“系统监视器”图表监视。
远程计数器进行本地记录期间，频繁地更新会由于网络传输而降低性能。在这种情况下，建议在远程计算机上连续记录，但是上载日志不要太频繁，例如一天一次。
3. 分析性能结果并建立性能基准
使用“系统监视器”显示或将记录的数据导出以便打印，以便将所记录的数据制成图表对其进行审阅。将数值与分析性能数据中所示的计数器阈值比较，验证资源使用情况或其他活动是否在可接受的限度内。根据认为满足一般工作负载的性能级别设置基线。
4. 设置警报
按照自己认为不可接受的计数器值（通过基准评估进行定义）设置警报。
5. 调整性能
调整系统设置和工作负载以提高性能，并反复监视，以检查调整的结果。
6. 提前制订计划
监视容量计划的趋势，并根据需要添加或更新组件。维护数据库中的记录数据并观察变化以标识资源需要的变化。观察到活动或资源需求发生变化后，可以确定哪些地方可能需要更多资源。

3.2.6  性能问题解决策略
分析监视数据会揭示一些问题，例如对某些资源的过度需求所造成的性能瓶颈。作为此分析的结果，我们可能发现系统执行情况有时令人满意，有时并不令人满意。根据这些偏差的原因和差异程度，可以选择采取一些相关措施。下面简单介绍一下瓶颈的常见原因以及所推荐的调整和测试方法。
1. 瓶颈的原因
由于下列原因，对资源的过度需求可能导致资源瓶颈：
资源不足，并且需要附加或升级组件。
资源共享工作负载不平均，需要平衡。
资源出现故障，需要替换。
程序独占特定的资源，这可能需要替换成其他程序、让开发人员重新编写该程序，添加或升级资源，或者在需求较低时运行该程序。
资源配置不正确，需要更改配置设置。
2. 调节和测试的策略
内存不足是计算机系统中引起严重的性能问题的最常见原因。如果怀疑存在其他问题，请检查内存计数器以排除内存短缺问题。工作站响应速度过慢最有可能是内存和处理器问题造成的；服务器更有可能受磁盘和网络问题的影响。
在开始调节之前，请先考虑下列建议：
每次只更改一处。某些情况下，看起来与单个组件有关的问题可能是与多个组件有关的性能下降造成的。因此，分开解决问题非常重要。
同时进行多处更改可能会无法评估每个更改的影响。
每次更改后重复监视。这对于了解更改的影响以及确定是否需要其他更改非常重要。系统地进行操作，对标识出来的资源每次更改一处，然后测试该更改对性能的影响。因为调节更改可能会影响其他资源，所以，保存更改的记录并在更改后重新监视非常重要。
除了监视之外，还要审阅事件日志，因为有些性能问题会产生在"事件查看器"中显示的输出。
要查看网络组件在性能问题中是否起作用，请将在网络上运行该程序的性能与在本地运行该程序的性能作比较。
3. 组件调节和升级
本节列出了要监视资源的调节提示：
（1）内存
增加物理内存，使之超过所需的最小内存。
使用多个磁盘时创建多个页面文件。
确定页面文件的正确大小。建议初始页面文件大小为可用RAM的1~1.5倍，这取决于所使用的系统。实际需要的大小取决于工作负载。
确保合理配置内存设置。
在最高性能的计算机上或当系统工作负载较轻时运行需要大量内存的程序。
（2）磁盘
升级到更高速度的磁盘或增加磁盘。如果可能，升级磁盘控制器和总线。
在服务器上，使用"磁盘管理"在多个物理磁盘上创建带区卷。这种解决方案增加了吞吐量，因为I/O命令可以同时发布。
在服务器之间分配程序。分布式文件系统（DFS）可以用来平衡工作负载。
将大量使用磁盘I/O的任务隔离在单独的物理磁盘或磁盘控制器上。
使用磁盘碎片整理程序来合并文件，以优化数据访问和磁盘空间。
如果要提高磁盘访问的效率，可以考虑安装最新的主机适配器或主板驱动程序软件。与适配器或主板制造商联系以获取有关信息。
（3）处理器
添加一个处理器（尤其适用于多线程程序）。升级到一个更快的处理器，或使用具有更大高速缓存的处理器。
在多处理器计算机中，管理与处理线程和中断有关的处理器相似。
（4）网络
配置所使用的网络，使由同一组人员共享的系统位于同一子网上。
解除很少使用的网卡绑定。
如果正在使用多个协议，可以设置工作站和NetBIOS软件绑定到每个协议的顺序。更改列表顺序的一些原因在于，第一，如果最常用的协议位于绑定列表的首位，平均连接时间将缩短。第二，对于某些网络拓扑，有些协议比其他协议速度更快。如果要优化客户端计算机，将运行比较快的协议放在绑定列表的首位可以提高性能。因为服务器使用客户端计算机选择的协议接受传入连接，所以没有理由重新排列服务器计算机绑定。
使用多个网卡。Windows Server 2003家族操作系统支持特定协议使用多个适配器并且支持特定适配器使用多个协议。尽管此配置创建的网络彼此之间无法通信，但这是增加文件共享吞吐量的一种方法。

3.3  任务管理与进程管理
Windows操作系统中运行着众多的任务和进程，在系统当前运行的进程里包括：系统管理计算机个体和完成各种操作所必需的进程；用户开启、执行的额外程序进程，当然也包括用户不知道，而自动运行的非法进程（它们就有可能是病毒程序）。 
要通过进程列表查看系统是否染毒，必须打开当前的执行程序进程列表，要查看进程列表，可以使用Windows操作系统提供的任务管理器。
进程是程序在计算机上的一次执行活动。当运行一个程序，就启动了一个进程。显然，程序是死的（静态的），进程是活的（动态的）。进程可以分为系统进程和用户进程。凡是用于完成操作系统的各种功能的进程就是系统进程，它们就是处于运行状态下的操作系统本身；用户进程就是所有由计算机使用者启动的进程。
操作系统对任务和进程提供了不同的管理工具，下面将分别介绍对任务和进程的管理。

3.3.1  任务管理器
“任务管理器”提供有关运行在计算机上的程序和进程的信息，以及它的处理器和内存使用情况的摘要，还显示最常用的度量进程性能的单位。
使用任务管理器可以监视计算机性能的关键指示器。可以查看正在运行的程序的状态，并终止已停止响应的程序。还可以使用多达15个参数评估正在运行的进程的活动，查看反映CPU和内存使用情况的图形和数据。还可以查看网络状态，了解网络的运行情况。如果有多个用户连接到计算机，甚至可以看到谁在连接、在做什么，还可以给他们发送消息。
同时按下Alt+Ctrl+Del键，显示图3-21所示“Windows安全”对话框。

3.3.2  进程管理
进程是一个具有一定独立功能的程序关于某个数据集合的一次运行活动。进程是指在系统中正在运行的一个应用程序；线程是系统分配处理器时间资源的基本单元，或者说是进程之内独立执行的一个单元。对于操作系统而言，其调度单元是线程。一个进程至少包括一个线程，通常将该线程称为主线程。一个进程从主线程的执行开始进而创建一个或多个附加线程，就是所谓基于多线程的多任务。
1. 进程管理器启动
打开系统进程的方式很简单，同时按下快捷键Ctrl+Alt+Delete，可打开Windows 2000、Windows XP、Windows 2003操作系统进程窗口。三键后打开的是“Windows 任务管理器”窗口，选择里面的“进程”选项卡。Windows 2000系统只显示具体进程的全名和占用的内存量；Windows XP、Windows 2003系统相比Windows 2000会显示该进程归属于哪个用户下，如操作系统所必须的基础程序，会在后面的“用户名”内显示为“SYSTEM”，由用户另外开启的程序，则用户名为当前的系统登录用户名。
在Windows 2000、Windows XP中可以使用Ctrl+Shift+Esc快捷键。在Windows XP中，这两个组合热键的功能有所不同：
不管在什么情况下，使用“Ctrl+Shift+Esc”组合键都可直接打开任务管理器。
如果在“用户账户”设置中开启“使用欢迎屏幕”功能，按下Ctrl+Alt+Delete组合键同样是直接打开任务管理器，在菜单中多出“关机”菜单项，在这里提供了“待机”、“休眠”、“注销”、“锁定计算机”等命令。
如果在“用户账户”设置中开启了“使用快速用户切换”功能，在任务管理器的标签中还会多出“用户”一项，通过它可以断开或注销当前用户登录。
如果禁用“使用欢迎屏幕”，按下Ctrl+Alt+Delete组合键则会打开“Windows安全”对话框，要打开任务管理器还需要单击“任务管理器”按钮或按下“T”键，而且任务管理器中不会出现“关机”菜单和“用户”标签。
2. 显示任务进程
Windows操作系统提供了两种显示任务进程的方法，即图形模式和命令行模式。
（1）图形模式
对于Windows 2000/2003/XP/Vista用户而言，可以直接按下Ctrl＋Shift＋Esc组合键，打开本地计算机的Windows进程管理器。
单击“进程”标签，即可察看系统中运行的进程列表，如图3-27所示。
（2）命令行模式
若欲显示运行在本地或远程计算机上的所有任务的应用程序和服务列表，并带有进程ID（PID），可以使用tasklist命令。命令格式如下：
tasklist[.exe] [/s computer] [/u domain/user [/p password]] [/fo {TABLE|LIST|CSV}] [/nh] [/fi FilterName [/fi FilterName2 [ ... ]]] [/m [ModuleName] | /svc | /v]
其中
/s Computer  指定远程计算机名称或IP地址（不能使用反斜杠）。默认值是本地计算机。

2. 显示任务进程
Windows操作系统提供了两种显示任务进程的方法，即图形模式和命令行模式。
（1）图形模式
对于Windows 2000/2003/XP/Vista用户而言，可以直接按下Ctrl＋Shift＋Esc组合键，打开本地计算机的Windows进程管理器。
单击“进程”标签，即可察看系统中运行的进程列表，如图3-27所示。
（2）命令行模式
若欲显示运行在本地或远程计算机上的所有任务的应用程序和服务列表，并带有进程ID（PID），可以使用tasklist命令。命令格式如下：
tasklist[.exe] [/s computer] [/u domain/user [/p password]] [/fo {TABLE|LIST|CSV}] [/nh] [/fi FilterName [/fi FilterName2 [ ... ]]] [/m [ModuleName] | /svc | /v]
其中
/s Computer  指定远程计算机名称或IP地址（不能使用反斜杠）。默认值是本地计算机。

3. 结束任务进程
Windows操作系统提供了两种结束任务进程的方法，图形模式和命令行模式。
（1）图形模式
在打开的任务管理器中，选中“进程”选项卡。选中需要结束的进程，单击“结束进程”按钮，显示图3-33所示“任务管理警告”信息提示框。

3.4  事件查看器
使用“事件查看器”，可以查看和设置事件日志的日志选项，以便收集有关硬件、软件和系统问题的信息。当启动Windows时，“事件日志”服务自动启动。
3.4.1  日志记录事件
默认情况下，运行Windows Server 2003家族操作系统的计算机以3种类型的日志记录事件：
应用程序日志
应用程序日志包含由应用程序或系统程序记录的事件。例如，数据库程序可在应用程序日志中记录文件错误。应用程序开发人员决定记录哪些事件。
安全日志
安全日志记录诸如有效和无效的登录尝试等事件，以及记录与资源使用相关的事件，如创建、打开或删除文件或其他对象。例如，如果已启用登录审核，登录系统的尝试将记录在安全日志中。
系统日志
系统日志包含Windows系统组件记录的事件。例如，在启动过程中加载驱动程序或其他系统组件失败将记录在系统日志中。服务器预先确定由系统组件记录的事件类型。
运行Windows Server 2003家族操作系统且配置为域控制器的计算机以另外两种日志记录事件：
目录服务日志
目录服务日志包含Active Directory服务记录的事件。例如，在目录服务日志中记录服务器和全局编录间的连接问题。
文件复制服务日志
文件复制服务日志包含Windows文件复制服务记录的事件。例如，在文件复制日志中，记录着文件复制失败和域控制器（利用关于系统卷更改的信息）更新时发生的事件。
运行Windows 并配置为域名系统（DNS）服务器的计算机在其他日志中记录事件： 
DNS服务器日志
DNS服务器日志包含DNS服务记录的日志。
另外，根据所安装服务的情况，计算机可能会提供其他类型的事件和事件日志。

3.4.2  事件类型
“事件查看器”显示5种类型的事件，即错误、警告、信息、成功审核和失败审核。不同事件类型及其意义如表3-3所示。
表3-3  事件类型及其意义

3.4.3  查看事件
依次单击“开始”→“管理工具”→“事件查看器”，显示图3-40所示“事件查看器”窗口，查看系统事件。

图3-40  “事件查看器”窗口

在左侧控制台树中选择欲查看的事件，相关事件的简略信息显示在右侧栏中（如图3-41所示）。
在右侧栏中双击欲查看的事件，显示图3-42所示“事件属性”对话框，显示事件的详细信息。单击“复制”按钮，可将该信息复制到剪贴板。单击“↑”或“↓”按钮，可查看上一条或下一条信息。

图3-41  事件简略信息

图3-42  “事件查看器”窗口

在左侧控制台树中的栏相关事件上右击，可在快捷菜单中执行保存、清除和刷新等操作。

3.5  网络监视器
尽管系统监视器提供了相当多的网络属性计数器，但它们都偏重于网络物理性能的情况而非网络数据的内容。Windows Server 2003提供了专门用于采集网络数据流并提供分析能力的工具——网络监视器。
网络监视器能提供网络利用率和数据流量方面的一般性数据，还能够从网络中捕获数据帧，并能够筛选、解释及分析这些数据的来源、内容等信息。当监视工作的主要着眼点是网络时，应使用网络监视器进行数据采集和处理。鉴于大多数网络在网络结构上是基于广播工作的以太网，广播的工作方式决定了在一台计算机上可以采集到子网内的全部通信量，因此网络监视器的有效范围遍及路由器以内的全部计算机通信。
【提示】  网络监视器并不是Windows Server 2003的默认组件，使用之前必须先通过“添加或删除Windows组件”向导进行安装，并且需要用到Windows Server 2003安装光盘。
3.5.1  捕获筛选器的设置
依次单击“开始”→“管理工具”→“网络监视器”即可启动安装好的网络监视器，Windows Server 2003的网络监视器提供了捕获筛选器功能，在“网络监视器”主窗口中单击“捕获”菜单并选择“筛选器”选项，打开图3-43所示的“捕获筛选器”对话框。捕获筛选器的功能就像数据库查询一样，可以使用它指定要监视的网络信息类型。例如，要只查看计算机或协议的特定子集，可以创建地址数据库，使用该数据库将地址添加到筛选器中，然后将筛选器保存为一个文件。通过对帧进行筛选，既可节省缓冲区资源，又可节省时间。必要的话，以后还可以再次加载捕获筛选器文件并使用筛选器。

图3-43  捕获筛选器

使用筛选器之前必须为筛选器设定相应的筛选条件，即在“捕获筛选器”对话框中指定判断语句。该对话框将显示筛选器的判断树，它是筛选器逻辑的图形表示。当在捕获规则中包含或排除信息时，判断树将反映这些规则。
1. 按协议进行筛选
要捕获使用特定协议发送的帧，可以在捕获筛选器中双击“SAP/ETYPE=”指定协议，如图3-44所示。例如，如果希望仅捕获IP帧，请禁用所有协议，然后启用IP ETYPE 0x800和IP SAP 0x6。默认情况下，将启用网络监视器所支持的所有协议。也可以仅指定使用ETYPE或SAP的协议。

2. 按地址进行筛选
要捕获所使用的计算机和网络中的指定计算机之间传送的帧，请在捕获筛选器中指定一个或多个地址对，双击“地址对”打开图3-45所示的“地址表达式”对话框，最多能同时监视4个地址对。

图3-44  按协议进行筛选

图3-45  地址表达式

地址对由以下部分组成：
 希望监视其通信的两台计算机的地址；
 指定希望监视的通信方向的箭头；
 INCLUDE或EXCLUDE关键字，指示网络监视器如何响应符合筛选器规则的帧。
不管在“捕获筛选器”对话框中语句的显示顺序如何，都会首先评估EXCLUDE语句。因此，如果帧符合由筛选器（既包含EXCLUDE语句，又包含INCLUDE语句）中的EXCLUDE语句所指定的条件，那么此帧将被丢弃。网络监视器不会根据INCLUDE语句测试此帧是否也符合标准。
3. 按数据模式进行筛选
在“捕获筛选器”对话框中双击“模式匹配”，即可显示图3-46所示的对话框。

图3-46  模式匹配

 只捕获那些包含特定模式的ASCII或十六进制数据的帧。
 指定在搜索开始前必须忽略的帧的字节数（偏移量）。
当按照模式匹配进行筛选时，必须指定在帧中的哪个位置开始搜索特定模式。该设置指定从帧的起始处或从拓扑标头信息末尾到搜索模式开始点的距离（字节）。如果网络介质在介质访问控制协议中具有可变的大小，例如以太网或令牌环网，请指定从拓扑标头信息末尾开始计数。

3.5.2  捕获和显示捕获的数据
设置好筛选判断条件之后就可以开始捕获网络信息了，捕获过程中用户可以随时暂停和重新开始网络捕获，并且可以根据临时捕获的数据信息做出各种判断。

1. 捕获数据
在“网络监视器”窗口中单击“捕获”菜单并选择“开始”命令即可开始捕获，如图3-47所示。网络监视器捕获数据的过程其实也就是复制帧的过程，可以捕获发送到本地网络适配器或从本地网络适配器发出的所有网络通信，也可以设置一个捕获筛选程序来捕获帧的子集。还可以指定一组条件来触发某个事件。创建触发器后，“网络监视器”就可以响应网络上的事件。例如，可以使操作系统在“网络监视器”检测到网络上的一系列特定情况时，启动某个可执行文件。在捕获数据之后，可以查看它。“网络监视器”可以将原始捕获数据转换为逻辑帧结构。

图3-47  正在捕获

2. 显示捕获数据
网络监视器通过解释在捕获过程中收集的原始数据以及在“帧查看器”窗口中显示数据来简化数据分析过程。单击“捕获”菜单下的“停止并查看”项即可停止当前捕获，并查看捕获的数据信息，如图3-48所示。

图3-48  查看捕获数据

【提示】  用户也可以打开一个已保存的捕获文件（.cap）。
【说明】  要显示用NetworkGeneralSniffer捕获的数据，必须打开未压缩的Sniffer文件。要查看压缩的Sniffer文件，则在Sniffer中打开此文件然后以不压缩格式保存此文件。或者，从NetworkGeneral中获取Sniffer文件的解压缩工具。

3.5.3  显示筛选器的设置
像捕获筛选器一样，显示筛选器功能就像数据库查询，允许用户选出特定类型的信息。但是因为显示筛选器在已经捕获的数据上操作，所以它不影响网络监视器捕获缓存中的内容。在捕获结果窗口中单击“显示”菜单并选择“筛选器”即可显示图3-49所示的“显示筛选器”对话框。

图3-49  显示筛选器

使用显示筛选器确定显示的帧，可以根据如下内容筛选帧：
它的源地址和目标地址。
发送所使用的协议。
它所包含的属性和值（属性是协议头中的数据字段。协议的属性说明了协议的用途）

事 件 类 型	描    述
错误	重要的问题，如数据丢失或功能丧失。例如，如果在启动过程中某个服务加载失败，将会记录“错误”
警告	虽然不一定很重要，但是将来有可能导致问题的事件。例如，当磁盘空间不足时，将会记录“警告”
信息	描述了应用程序、驱动程序或服务的成功操作的事件。例如，当网络驱动程序加载成功时，将会记录一个“信息”事件
成功审核	成功的任何已审核的安全事件。例如，用户试图登录系统成功会被作为“成功审核”事件记录下来
失败审核	失败的任何已审核的安全事件。例如，如果用户试图访问网络驱动器并失败了，则该尝试将会作为“失败审核”事件记录下来

图3-33  “任务管理警告”信息提示框

单击“是”按钮，结束选定的进程。
（2）命令行模式
结束一个或多个任务或进程。可以根据进程ID或图像名来结束进程。命令格式如下：
taskkill [/s Computer] [/u Domain/User [/p Password]]] [/fi FilterName] [/pid ProcessID]| [/im ImageName] [/f][/t]
其中
/s Computer  指定远程计算机名称或IP地址（不能使用反斜杠）。默认值是本地计算机。
/u Domain/User  运行具有由User或Domain/User指定用户的账户权限命令。默认值是当前登录发布命令的计算机的用户权限。
/p Password  指定用户账户的密码，该用户账户在/u参数中指定。
/fi FilterName  指定将要终止或不终止的过程的类型。
/pid ProcessID  指定将终止的进程ID。
/im ImageName  指定将终止的进程的图像名称。使用通配符（*）指定所有图像名称。
/f  指定将强制终止的进程。对于远程进程可忽略此参数，所有远程进程都将被强制终止。
/t  指定终止与父进程一起的所有子进程，常被认为是“树终止”。
/?  在命令提示符显示帮助。
使用该命令时，应当注意以下几点：
 只有与筛选器一起指定时，通配符（*）才能被接受；
 无论是否指定/f参数，都会始终强制执行对远程进程的终止操作；
 向Hostname筛选器提供计算机名将导致关机和中止所有进程。
 使用tasklist确定要终止的进程ID（PID）。
 Taskkill替代了Kill工具。
示例1：关闭QQ进程，已知该进程的PID和图像名分别为856和QQ.exe
【提示】  在命令提示符窗口执行下面的任意一条命令，都可以关闭该进程：Taskkill 856或Taskkill QQ.exe。
不过这两个命令还是有区别的，如果某应用程序打开了若干个进程，则Taskkill XX.exe命令将关闭该程序的全部进程；而Taskkill XX则只关闭该PID所对应的进程，如图3-34所示。

图3-34  关闭进程

示例2：中止记事本-方法一
在命令行模式下输入：
Tasklist /fi“imagename eq notepad.exe”
回车，运行后的结果显示如图3-35所示。

图3-35  记事本（Notepad.exe）的进程号

使用该命令，查看记事本（Notepad.exe）的进程号，假设进程号为484，然后根据进程号中止记事本的运行。
在命令行模式下输入：
Taskkill /PID 484
回车，运行后的结果显示如图3-36所示。

图3-36  中止记事本（Notepad.exe）的运行

使用该命令，中止记事本（Notepad.exe）的运行，可以看到正在打开的记事本窗口被关闭。
示例3：中止记事本-方法二
在命令行模式下输入：
Taskkill /FI“Imagename eq Notepad.exe”
回车，运行后的结果显示如图3-37所示。

图3-37  中止记事本（Notepad.exe）的运行

使用该命令，中止记事本（Notepad.exe）的运行，可以看到正在打开的记事本窗口被关闭。
示例4：中止记事本-方法三
在命令行模式下输入：
Taskkill /IM Notepad.exe
回车，运行后的结果显示如图3-38所示。

图3-38  中止记事本（Notepad.exe）的运行

使用该命令，中止记事本（Notepad.exe）的运行，可以看到正在打开的记事本窗口被关闭。
示例5：中止失去反应的应用程序
在命令提示符下输入如下命令：
Taskkill /FI“status eq NOT RESPONDING”
回车，运行后的结果显示如图3-39所示。

图3-38  中止记事本（Notepad.exe）的运行

图3-27  进程列表

/u Domain/User  运行具有由User或Domain/User. 指定用户的账户权限命令。默认值是当前登录发布命令的计算机的用户权限。
/p Password  指定用户账户的密码，该用户账户在/u参数中指定。
/fo {TABLE|LIST|CSV}  指定输出所用的格式。有效值为TABLE、LIST和CSV。输出的默认格式为TABLE。
/nh  取消输出结果中的列标题。当/fo参数设置为TABLE或CSV时有效。
/fi FilterName  指定该查询包括或不包括的进程类型。下表列出了有效的筛选器名称、运算符和值。
表3-2  有效的筛选器名称、运算符和值

名    称	运  算  符	值
Hostname	eq, ne	任何有效字符串
Status	eq, ne	RUNNING|NOT RESPONDING
Imagename	eq, ne	任何有效字符串
PID	eg, ne, gt, lt, ge, le	任何有效的正整数
Session	eg, ne, gt, lt, ge, le	任何有效的会话数
CPUTime	eg, ne, gt, lt, ge, le	hh:mm:ss格式的有效时间。mm参数和ss参数应在0到59之间，hh 参数可以是任何一个有效的无符号的数值
Memusage	eg, ne, gt, lt, ge, le	任何有效的整数
Username	eq, ne	任何有效的用户名 ([Domain/]User)
Services	eq, ne	任何有效字符串
Windowtitle	eq, ne	任何有效字符串

/m [ModuleName]  指定显示每个进程的模块信息。指定模块时，将显示使用此模块的所有进程。没有指定模块时，将显示所有模块的所有进程。不能与/svc或/v参数一起使用。
/svc  无间断地列出每个进程的所有服务信息。当/fo参数设置为TABLE时有效。不能与/m或/v参数一起使用。
/v  指定显示在输出结果中的详细任务信息。不能与/svc或/m参数一起使用。
/?  在命令提示符显示帮助。
【注意】  Tasklist可以替代TList工具。
示例1：查看进程的PID或进程名
在命令提示符中运行命令：Tasklist，回车，运行结果如图3-28所示。

图3-28  查看进程的PID

运行结果显示运行在本地或远程计算机上的所有任务的应用程序和服务列表，带有进程ID（PID）及图像名。
示例2：显示用户的进程依附信息 
在命令行模式下输入：
Tasklist /m
回车，运行后的结果显示如图3-29所示。使用该命令，显示系统中正在运行的进程信息，同步可以看到该进程目前依附的其他模块。
示例3：显示调用指定动态连接库的进程 
在命令提示符下输入如下命令：
Tasklist /m ntdll.dll
回车，运行后的结果显示如图3-30所示。使用该命令，可以看到动态连接库ntdll.dll正在使用的进程名称。

图3-29  用户的进程依附信息

图3-30  调用指定动态连接库的进程

示例4：查看Svchost服务正在运行的进程 
在命令提示符下输入如下命令：
Tasklist /svc /FI“imagename eq svchost.exe”
回车，运行后的结果显示如图3-31所示。Windows Server 2003的Svchost.exe负责调动各种服务，使用此命令可以看到Svchost到底运行了哪些服务，是否包括不知名的木马程序在系统中默默运行。
示例5：查看以进程Wbem*开头的进程
在命令提示符下输入如下命令：
Tasklist /m wbem* 
回车，运行后的结果显示如图3-32所示。使用该命令，可以列出系统中以wbem开头的进程名。

图3-31  Svchost服务正在运行的进程

 

图3-32  Svchost服务正在运行的进程

图3-27  进程列表

/u Domain/User  运行具有由User或Domain/User. 指定用户的账户权限命令。默认值是当前登录发布命令的计算机的用户权限。
/p Password  指定用户账户的密码，该用户账户在/u参数中指定。
/fo {TABLE|LIST|CSV}  指定输出所用的格式。有效值为TABLE、LIST和CSV。输出的默认格式为TABLE。
/nh  取消输出结果中的列标题。当/fo参数设置为TABLE或CSV时有效。
/fi FilterName  指定该查询包括或不包括的进程类型。下表列出了有效的筛选器名称、运算符和值。
表3-2  有效的筛选器名称、运算符和值

名    称	运  算  符	值
Hostname	eq, ne	任何有效字符串
Status	eq, ne	RUNNING|NOT RESPONDING
Imagename	eq, ne	任何有效字符串
PID	eg, ne, gt, lt, ge, le	任何有效的正整数
Session	eg, ne, gt, lt, ge, le	任何有效的会话数
CPUTime	eg, ne, gt, lt, ge, le	hh:mm:ss格式的有效时间。mm参数和ss参数应在0到59之间，hh 参数可以是任何一个有效的无符号的数值
Memusage	eg, ne, gt, lt, ge, le	任何有效的整数
Username	eq, ne	任何有效的用户名 ([Domain/]User)
Services	eq, ne	任何有效字符串
Windowtitle	eq, ne	任何有效字符串

图3-21  “Windows安全”对话框

单击“任务管理器”按钮，显示图3-22所示“Windows任务管理器”窗口。在“应用程序”选项卡显示正在运行的应用程序。在列表框中选择欲管理的应用程序，单击“结束任务”、“切换至”或“新任务”按钮，可结束、切换或者启动程序。当某个应用程序不再响应时，强制结束任务是一种不错的选择。

图3-22  “Windows任务管理器”窗口

选择“进程”选项卡（如图3-23所示）显示计算机上正在运行的进程的相关信息，可以显示关于CPU和内存使用情况、页面错误、句柄计数以及其他一些参数的信息。在列表框中选择欲中止的进程，单击“结束进程”按钮，可强制结束该进程。当某个进程或应用程序不再响应时，可以强制结束进程，以使其他应用程序或进程正常运行。
选择“性能”选项卡（如图3-24所示）显示了计算机性能的动态概述，其中包括：CPU和内存使用情况的图表；计算机上正在运行的句柄、线程和进程的总数；物理内存、核心内存和内存使用的总数（KB）。

图3-23  “进程”选项卡

图3-24  “性能”选项卡

选择“联网”选项卡（如图3-25所示）以图形化方式显示正在计算机上运行的网络的状态，可以查看网络连接的质量和可用性，无论连接到一个还是多个网络上。
选择“用户”选项卡（如图3-26所示）显示了可以访问该计算机的用户，以及会话的状态与名称。“客户端名”指定了使用该会话的客户端计算机的名称（如果适用）。“会话”为我们提供了一个用来执行任务（如向另一个用户发送消息，或连接到另一个用户会话）的名称。单击“断开”、“注销”或“发送信息”按钮，可以强制断开用户的连接、注销用户，或向该用户发送信息。

图3-25  “联网”选项卡

图3-26  “用户”选项卡

资   源	对象/计数器	建议的阈值	注    释
磁盘	Physical Disk/% Free Space Logical Disk/% Free Space	15%
磁盘	Physical Disk/% Disk Time Logical Disk/% Disk Time	90%
磁盘	Physical Disk/Disk Reads/sec、 Physical Disk/Disk Writes/sec	取决于制造商的规格	检查磁盘的指定传送速度，以验证此速度没有超出规格。通常，Ultra Wide SCSI磁盘每秒可以处理50到70次I/O操作。请注意，无论I/O是顺序的还是随机的，都会对磁盘的每秒读写速率产生很大影响
磁盘	Physical Disk/Current Disk  Queue Length	主轴数加2	这是即时计数器；观察在多个间隔上的值。对于随时间变化的平均值，请使用Physical Disk/ Avg.Disk Queue Length
内存	Memory/Available Bytes	对于具有较大内存的 计算机（大于4 MB）	考察内存使用情况并在需要时添加内存
内存	Memory/Pages/sec	n pages/sec per pagefile	研究页交换活动。注意进入具有页面文件的磁盘的I/O   数量
页面文件	Paging File/% Usage	70%以上	与Available Bytes和Pages/sec一起复查该值，了解计算机的页交换活动
处理器	Processor/% Processor Time	85%	查找占用处理器时间高百分比的进程。升级到更快的处理器或安装其他处理器
处理器	Processor/Interrupts/sec	取决于处理器；每秒 1 000次中断是好的起点	此计数器的值明显增加，而系统活动没有相应的增加则表明存在硬件问题。确定引起中断的网络适配器、磁盘或其他硬件
服务器	Server/Bytes Total/sec		如果所有服务器的Bytes Total/sec与网络的最大传送速度几乎相等，则可能需要将网络分段
服务器	Server/Work Item Shortages	3	如果值达到该阈值，请考虑将DWORD项InitWorkItems（在启动期间分配给处理器的工作项数）或者 MaxWorkItems（服务器可以分配的接收缓冲区的最大数）添加到注册表（在HKEY_LOCAL_MACHINE/SYSTEM /Current ControlSet/ Services /LanmanServer/Parameters下面）。项InitWorkItems 的范围可以是从1到512，同时MaxWorkItems 的范围可以是从1到65 535。以InitWorkItems的任何值以及MaxWorkItems的值4 096开始，并一直加倍这些值，直到Server/Work Item Shortages阈值低于 3
服务器	Server/Pool Paged Peak	物理RAM的数量	此值是最大页面文件大小和物理内存数量的指示器
服务器	Server Work Queues /Queue Length	4	如果值到达此阈值，则可能存在处理器瓶颈。这是即时计数器；观察在多个间隔上的值
多个处理器	System/Processor Queue Length	2	这是即时计数器；观察在多个间隔上的值

图3-14  警报详细信息

图3-15  “新建警报设置”对话框

在“名称”文本框中输入警报名称，然后单击“确定”按钮，显示图3-16所示警报对话框。在“常规”选项卡中可定义警报的注释，以及计数器、警报阈值和采样间隔。
单击“添加”按钮，显示图3-17所示“添加计数器”对话框，用于选择和添加触发警报的对象。

图3-16  警报对话框

图3-17  “添加计数器”对话框

选择欲添加的对象后，单击“关闭”按钮，返回警报对话框，设置触发警报的数值，以及扫描间隔和方式（如图3-18所示）。
选择“操作”选项卡（如图3-19所示），定义当计数器数据触发警报时将发生的操作。可直接将事件记入日志，或者向指定的计算机发送信息，甚至运行某个命令或应用程序。通常情况下，建议选中“发送网络信息到”复选框，并输入系统管理员的计算机名称，从而及时获得警告信息。

图3-18  警报对话框

图3-19  “操作”选项卡

 选择“计划”选项卡（如图3-20所示），定义服务开始扫描警报的时间。

图3-20  “计划”选项卡