理解Windows 2000 和 NT4 系统及进程活动(-)

 http://www.yythac.com/ar/ljjc1.txt                             
来源：黑盟
本讲座编号为TNQ 400-02，我是David Solomon，在接下来的两个小时中我们将讨论如何透过外表去观察Wind
ows 2000和Windows NT 4.0，以便理解其内部运行机制以及如何在系统级别中实现这些机制，同时还将理解
在系统中运行的进程。这个讲座的目的在于：当你感觉在NT系统中从性能的立场或从行为的立场上某些事情
好像出错时给予你帮助；使你能够更近一些的观察系统外壳之下的部分并且理解CPU时间如何进行分配。如
果系统运行速度慢，告诉你什么正在运行、为什么以及如何从应用程序执行中分离操作系统时间。

这个讲座假设你已经熟悉基本的操作系统概念，如进程的概念、多任务的概念、虚拟内存、分页等等；并且
你是一个有经验的NT用户——不必是一名系统管理员，但至少应是一个权威的NT用户。

这个讲座结束后，你将能够使用一系列不同的工具来观察进程内部的活动，以便发现哪个文件被打开、IO操
作的来源和目标、哪些动态连接库(DLL)正在由一个进程使用以及它们是从磁盘上的何处装入的、有关进程
安全性的一些细节。

像我提到的那样，本讲座的目的之一是能够解释CPU时间。因此，如果CPU正在运行，那么它正在做什么并且
为什么这样做呢？时间花费在那里以及如何被占用：是由操作系统、设备驱动程序、执行体还是应用程序
所使用呢？理解NT操作系统上运行内容的另一个方面，是知道存在哪些系统进程。因此，如果某事务正在运
行并且它不是由你所运行的，那么它是NT的一部分。正在运行的进程的作用是什么，并且你如何能够追踪到
其占用CPU时间的可能原因呢？其中一个方面是由Windows NT 系统进程组成的Windows NT 服务，有时，正
在运行的服务进程向后映射到哪些管理员通过管理界面可以看到的服务并不是非常清楚。

最后，我们来密切关注存在于系统进程这一非常特殊的进程中的粒度水平，该系统进程包含特殊种类的驱动
程序线程运行片段和NT片段，而且，由于这种特殊进程的存在，促使我们务必深入钻研以理解进程中的哪些
片段正在运行及其原因。

这有为本次讲座准备的路线图。首先我将对有关工具及其来源进行简明概述。这将是一堂高度依赖工具的讲
座，而我将在此使用支持工具包、资源工具箱及Internet上获取的部分工具。接着，我们将从三个角度来观
察NT系统活动：首先是进程和线程，接下来是中断时间及其在NT中的服务与解释机理，最后，再对系统进程
树进行遍历。

最后的题目是一种我们不希望发生、却又经常遇到的进程活动，即当进程死亡时看到Dr. Watson信息时的情
况。我们将看到是什么导致了Dr. Watson，你能进一步得到哪些信息，以及你应如何应对这些输出。

首先让我们先看一看工具。这是一个关于本次讲座所使用到工具的总概括。性能监视器——它理所当然地在
对NT系统活动的观察中发挥关键性作用。我们还将看到一些注册表键。注册表是NT用来对其自身进行配置的
系统数据库，因此，它包括了有助于理解程序在何处运行、来自何处，以及将服务名称映射到映像名称上的
信息。接下来，我们将探究两个来自于支持工具包中的进程观察工具……对于初次接触Windows 2000的人而
言，该支持工具包在NT 4.0中并不存在。曾经有一个NT 4.0资源工具包的有限子集，它与Service Pack 4.0
相捆绑并称作Windows NT资源工具箱支持工具，该工具包在Windows 2000中已经更名为Windows 2000支持工
具，以此来消除在它与资源工具之间存在的混淆概念。它是每个Windows NT和Windows 2000销售版本的组成
部分。它存在于支持工具文件夹中。它使用一个适当的安装程序来安装。它包括了40至50种集成在资源工具
包中的工具，但该工具包对Windows 2000用户而言是至关重要、不可或缺的。我将使用来自资源工具包的两
个工具。它们是资源工具包所含200多种工具中的一分子，而我将强力推荐，如果你还未曾对资源工具包中的
工具进行过浏览的话，这两个工具是支持工具的一套重要附件，通过它们，你将能够洞悉NT系统并理解其内
部活动。

接下来列出的4个工具来自sysinternals.com网站。你也许已对该网站十分熟悉。它过去称为NT Internals。
在此我将进入其主页以使你们看到该网站的面貌。Sysinternals是自由软件网站，这里有所有可免费下载的
工具。这些工具中的大多数源代码也是公开的，这些工具被设计用来透过支持界面获取有关NT的信息，而这
些信息往往是通过标准Microsoft工具所不能访问到的。大多数NT管理员对此十分熟悉，你们将在讲座期间
看到其中两个工具的使用情况。

那么，让我们从最基本水平上的进程与线程活动开始，在开始之前，先来定义一下有关术语。进程与线程
的区别到底是什么？进程是执行程序的实例。例如，当你运行记事本程序（Nodepad）时，你就创建了一个
用来容纳组成Notepad.exe的代码及其所需调用动态链接库的进程。NT中的每个进程均运行在其专用且受保
护的地址空间内。因此，如果你同时运行记事本的两个拷贝，该程序正在使用的数据在各自实例中是彼此独
立的。在记事本的一个拷贝中将无法看到该程序的第二个实例打开的数据。我这里以沙箱为例进行阐述。

一个进程就好比一个沙箱。线程就如同沙箱中的孩子们。孩子们在沙箱子中跑来跑去，并且可能将沙子攘到
别的孩子眼中，他们会互相踢打或撕咬。但是，这些沙箱略有不同之处就在于每个沙箱完全由墙壁和顶棚封
闭起来，无论箱中的孩子如何狠命地攘沙，他们也不会影响到其它沙箱中的其他孩子。因此，每个进程就象
一个被保护起来的沙箱。未经许可，无人可以进出。这就是NT中强大的内存保护模型的形成机制，正是由于
这种机理，才使NT明显区别于Windows 3.1、Windows 95及Windows 98。

在Windows NT和Windows 2000中，程序、程序实例或者进程对其它进程的执行情况或内存空间施加影响是不
可能的。两个进程彼此获得专用数据或内存的唯一途径就是通过协议来共享内存块。这是一种协作策略。

NT运行线程。换言之，线程运行而进程不运行。每个进程包含单一线程，因此，当你运行记事本时，就生成
相应的进程沙箱用来容纳代码和数据，而一个线程则被创建用以在指向记事本程序的主要入口起点处开始执
行过程。一旦该线程在运行，它就可以创建额外的线程，一个进程的多个线程并行进行调度，这使多线程编
程非常复杂，每个线程均共享其所处进程中的专用内存空间。因此，在本张幻灯片的阐述中，进程中所示的
三个线程（都具有同时运行的潜在能力）均对进程中的专用数据或地址空间享有同等的访问权限，这样一来
，三个线程就必须彼此同步。

那么，为什么要有多线程呢？为什么程序员选择将程序分割成多个线程呢？有两个原因：1）它产生了更佳
响应性的幻觉。以Microsoft Word为例。当你进行文件打印时，你就已默认选择了后台打印方式，打印处理
会在你继续编辑文档的同时异步进行。这是如何发生的呢？Word已创建了独立的线程来进行打印处理，并将
打印线程的优先级设定低于处理用户输入的线程，由此，给用户提供了一种幻觉，即应用程序通过将相对优
先级指定给不同线程的方式来对用户做出响应。但是，你在Win 98和Windows 95中无法得到，而在Windows
2000与Windows NT 4.0中能够得到的最大好处还在于，如果你工作在多处理器系统中，并且如果有多个线程
要运行，这些线程事实上将能够在可用的处理器上同时运行。换言之，多线程应用程序能够自动地运行于可
用处理器上，只要：A）该应用程序有一个以上的线程需要同时运行；B）这些线程的优先级支持该应用程序
的运行。换言之，如果有具备更高优先级的线程存在于另一个CPU上……尽管你的应用程序有两个需要运行
的线程，而因为在别的CPU上正执行着更为重要的任务，那么，也只能一次运行一个线程。

技巧问题。添加第二个处理器能使单一线程应用程序更快地运行吗？让我们设想你有一个非常简单的计算密
集型、单一线程应用程序。它除了做计算工作之外还是做计算工作。添加一个处理器会使该应用程序更快地
运行吗？好吧，你的第一反应是不，但答案却是肯定的，因为NT也有自身几个片段作为线程运行。如大多数
操作系统一样，NT也拥有后台内务管理工作。因此，添加第二个处理器就意味着，当主要的计算密集型应用
程序在无须短暂中断以执行后台操作系统内务处理活动的情况下仍能持续运行时，这类后台内务处理工作将
会发生。

以上就是对进程和线程的简要描述。当考虑沙箱的规划时，NT和Windows 2000是一个32位的操作系统。如果
算一下就会知道，32位意味着4GB。默认情况下，NT将这4GB地址空间分割为两个2GB的地址空间，其中一个
分配给用户进程，另一个则分配给操作系统。换言之，每个进程均提供了一个假想，即该进程拥有一个最大
为2GB、且可以加载代码或数据的虚拟内存空间。当然，在一部128兆的膝上型电脑上，如果你运行5个将其
自身扩展至2GB大小的应用程序，显然，这些内存空间的一个子集在任何时候都存在于物理内存中。上述情
况都是透明且在后台执行的。这便是虚拟内存无处不在的表现。就象任何使用虚拟内存技术的操作系统一样
，Windows 2000仅将那些被进程占用的内存空间片段按其所需地引入物理内存之中。再次以记事本为例，当
你运行Notepad.exe时，NT并不是在程序开始时就将Notepad.exe全部读入。它仅将碰巧被主线程执行途径所
参考的可执行程序映像片段读入。同理，被记事本调用的动态链接库也不是在其被调用时即被从磁盘读入，
而只有当这些动态链接库中的子例程被实际调用时，那些包含所需引用代码并存在于磁盘上的动态链接库片
段才会按需求读入。

在屏幕的下半部分，2GB的系统沙箱因NT没有提供介于操作组件和驱动程序之间的保护而显得颇为引人注目
。我相信，你们中许多从事NT系统管理的人都经历过因程序错误和第三方驱动程序而导致的蓝屏现象， NT
也常因这些现象而受到指责，事实上，这是来自于第三方设备驱动程序中的错误所导致的，而NT遭受上述指
责的原因之一便是因为NT的全部和所有的设备驱动程序都处在同一个沙箱之中。然而，每个进程都运行在其
自身专用且受保护的沙箱之中，并不能影响其它的进程，同理，这些进程也不能影响操作系统，操作系统与
驱动程序均存活在同一个沙箱中，而且，在驱动程序与操作系统之间并没有保护机制。现在，你也许会问，
这是为什么？答案是性能。这就是每个事实上成功的32位操作系统的体制。必须将地址空间在驱动程序或操
作之间进行切换也许会有很大的性能损失，但这里应强调注意的是，当添加驱动程序时，这种切换存在的原
因之一就是让所有为驱动程序登记和Windows文件保护而对Windows 2000所进行的扩展均能够避免或限制管
理员在未经全面验证和测试的情况下向系统沙箱中添加代码的偶然机会。

操作系统进程本质上并不存在。下面我们将会看到一种称作“系统”的进程。但那并不是指操作系统。在这
些进程中，有一些操作系统的片段正在运行，但也有若干执行后台内务处理活动的进程同时存在。当记事本
打开一个文件时，它产生一个系统调用来打开磁盘上的文件。这一打开磁盘文件的工作被产生该请求的记事
本线程的上下文完成。在这种意义上，操作系统运行于记事本进程的内部，而由于操作系统恰恰是一个由那
些产生诸如打开文件、读取文件、分配虚拟内存及创建进程等用户线程调用的大的子例程库，故而它也同样
运行于其它每一个进程之中。

Windows 2000添加了允许将多个进程群集为一个作业的新对象。一个作业由一个或多个共享同一套配额、限
制及其它设置的进程组成，而这些设置仅在逐个进程的基础上可用。例如，如果你有一个运行于Windows 20
00上的Batch Server系统，而且，你想要为某一特定客户限定其作业中的活动进程数量，这是有可能的—
—作为作业的一个属性，活动进程限制是可以设置的；再比如，你想设定该作业应使用50兆以上的内存，
这里也有办法来指定该作业可使用的最大内存容量，而且，该作业仍将包括执行全面作业片段的若干进程。

如果你看一看Windows 2000 Server和Windows 2000Advanced　Server的话，你或许根本不会注意到作业对
象的存在。这是因为，除非你创建了一个作业对象并使用性能监视器来对它进行观察，否则，在用户界面上
将不会有任何东西来指示该作业对象已被添加到系统中。Windows 2000 DataCenter Server将提供一种称作
进程控制管理器的工具，该工具将允许系统管理员创建作业对象，同时，将进程指定给作业对象并为其指定
在本张幻灯片上所示的限制与配额。作业对象可谓是为第三方应用程序的使用而定制的Windows 2000基本组
成要素。你可以希望批处理系统一开始就使用作业对象，同样，进程控制管理器和数据中心也将利用这一内
核对象。

在此，我想提及作业对象的一个方面——调度级别，它对于大规模服务器而言是非常有趣的，尽管我们不是
在谈论Windows 2000中线程的调度问题，而关于作业调度级别属性有趣的东西则是它允许对线程执行中的一
个重要方面进行控制，要知道，这在Windows NT 4.0中是不能被设定的。调度级别是从0到9之间的一个数字
。5是默认值。如数值被提高到5以上，调度级别将使进程中的线程在轮到它运行时运行更长的时间；反之，
若数值降至5以下，调度级别则将缩短线程的运行时间长度。这就是级别调度，换言之，可以说某一工作占
用了20%的CPU，而另一工作占用了50%的CPU。在Windows NT 4.0中，这种级别调度是不可达成的。有人或许
认为，“我能够提高一个进程的优先级，而这样做将提供给该线程更多的运行时间”，但是，这样做会把全
部运行时间都赋予这个进程。因此，如果你同时运行两个进程，其中一个进程的优先级高于另一个，它们都
将试图运行，而具备更高优先级的进程则基本上占用100%的CPU。这种调度级别属性现在允许根据CPU时间的
百分比对CPU进行相应的分区，而这在我看来可谓是作业对象所带来的一个非常令人兴奋的能力。

现在，观察NT中基本进程和线程信息的工作有点令人头痛，这主要是由于能够显示关于同一基本信息（进程
列表）的不同子集的工具大量存在。一些工具也显示在每个进程中存在的线程。尽管众多能够显示进程和线
程列表的工具往往均引用来自同一数据源的信息，但这些工具中的每一种也都能显示其它工具所不能提供的
独一无二的信息片段。在此，我们将使用它们中的两个进行示范，这两个工具满足了观察进程和线程信息的
主要需要，但我也应说明，其它工具也具备相应的功能，只是在本次讲座未予采用。另一个阻碍理解“是什
么正处于运行之中”这一问题的因素是正在运行着的映像的名字，例如，Notepad.exe或许代表着正在执行
着的程序名，但也可能并不代表正在执行着的程序名。换言之，一个可执行文件的名字或许并不能为你指示
它是哪个产品的组成部分、它来自于哪个目录。因此，系统管理员在Windows 2000系统中观察进程活动时所
应做的基本工作之一便是可执行程序究竟来自磁盘的哪个角落。如果你知道进程存在于哪个程序文件夹中，
例如Microsoft Office，或存在于你的Win NT System 32目录中，如果你还知道那个文件夹是什么，那么，
你将能够对该进程出自什么组件有所认识。

好了，在Windows 2000资源工具包中有一个称作PS的Visual Basic脚本，它是90个使用Windows 2000中某些
新型基础结构（WMI，亦即Windows管理工具）的VB示范样本中的一员。WMI允许对许多在Windows 2000之前
不能被访问的信息进行访问，而更重要的或许是，WMI允许在网络范围内访问那些以前只能在本地进行访问
的信息。因此，通过PS VBS脚本，你将能够在远程系统上轻易地对进程列表进行观察。这里还有一个能够在
远程系统上杀死进程的VB脚本。如果你还没有看过Windows 2000工具包中这90个零散的VB脚本示例的话，我
极力推荐你去看一下。

但我们的首要问题是，无论在工作站还是在服务器上，如果进程看上去很慢，到底是什么正在运行着呢？对
我来说，找出究竟是什么正在运行着的最快方法，就是调出任务管理器，翻到进程选项卡，并按CPU耗用时
间片段进行排序。在我们这么做之前，先让我们将任务管理器作为我们的第一个进程浏览工具加以介绍，尽
管任务管理器或许被看作是一个使用起来相当简单而清楚的工具，但选项卡的名称及所列示的信息仍可能不
十分明确。因此，让我们调出在幻灯片中提及的任务管理器。

有3种方法来启动任务管理器。我将使用其中最快的一种，即组合键Ctrl+Shift+Esc。我按下Ctrl+Shift+E
sc，我们看到的默认选项卡是应用程序选项卡。现在，如果我问你，这一列表是关于什么的，你会如何回答
呢？不，这不是一个应用程序列表；不，这也不是一个进程列表。事实上，它是关于带有一套非常特殊的格
式位的顶级可视窗口的列表，换言之，这是一个窗口列表，但表中的窗口并非系统中所有的窗口，也不是桌
面上所有的可视的窗口，但总的来说，它是一个顶级且可视的窗口列表，你能通过在任务栏上直接点击或按
Alt+Tab组合键来看到。

现在，窗口由线程拥有，而线程由进程拥有，这就是为什么存在将窗口映射到进程上这一选项的原因所在。
如果我点击鼠标右键，转入进程，它将把我带到以高亮度显示的进程选项卡，现在，我点击鼠标将其置为反
色（蓝色），就显示出拥有窗口的线程和拥有线程的进程。这里，我们看到了在窗口和进程之间的映射。现
在，再次回到应用程序选项卡。

既然我们现在已知这是一个窗口列表，那么这个状态列又意味着什么呢？好的，窗口并没有运行。运行意味
着拥有窗口的线程没有运行，而无响应则意味着拥有窗口的线程正在运行，它在后台运行。换言之，一个运
行着的窗口就是一个正在接受鼠标输入，也就是图形用户界面输入的窗口。拥有窗口的线程当前处于等待状
态，而你可以在该窗口上进行点击。因此，窗口的常态是运行状态。再重复一次，运行意味着拥有窗口的线
程正等待你在该窗口上进行点击。窗口并没有运行。

无响应是当窗口看上去被挂起时你所看到的状态指示，或者说，该状态在视觉上暗示你，当你在窗口上方移
动鼠标时，该窗口将不会标记出响应。你看到了什么？一个沙漏。沙漏简单地意味着拥有窗口的线程当前不
接受图形用户界面输入。它并不一定意味着应用程序被挂起。该线程可能正忙于其它任务，或许只是在等待
磁盘或网络上的IO，并且不久会转回到接受窗口输入的状态下。因此，当线程转回到等待图形用户界面输入
的常态时，无响应有时仅仅是对线程自身的清除。当然，如果应用程序真的被挂起，并且线程将不会返回到
窗口输入状态，那么，该窗口将显示为不再做出响应，你可以点击结束任务，该功能将向拥有窗口的线程发
出一条信息以释放窗口。在应用程序选项卡上的结束任务选项不会关闭进程，且不一定关闭窗口。它发出一
条友好的Mr. Thread信息，询问你是否要释放或关闭该窗口。这就是它所发出的信息。

让我们通过运行一个记事本拷贝来执行一次结束任务的快速演示，输入一些未经保存的文字并尝试关闭窗口
。我将在任务管理器中选择记事本窗口，按下结束任务并注意在左边发生了什么。记事本收到了关闭窗口的
请求并予以拒绝，我将不再重复上述操作，因为你尚未保存你所做的修改。与此同时，任务管理器对那个你
要求它去关闭并释放的窗口已等得不耐烦了。换言之，那个你要求释放并关闭的窗口仍旧在那里。于是，任
务管理器说道，嗨，我们不能结束这个程序。因为任务管理器正在等候来自于你的回应以返回窗口并检查程
序点击取消的状态，所以它事实上已关闭这个窗口。如果你选择马上结束该程序，你将会失去一切未经保存
的数据。按下现在结束按钮在某种意义上是一个危险的操作，因为这样一来就杀死了拥有线程的进程，而该
线程已经在进行到半截的进程中处于激活状态。它一直在更新磁盘上的文件，进行网络IO，谁知道呢？故而
，当你选择现在结束时，务必要小心从事，因为，拥有窗口的线程其所在的进程会从系统中释放，而没有任
何挽留的余地。

现在，让我们看一下进程选项卡。这里的进程是指一系列进程，这些进程如我们前面所讲，是由它们所运行
的可执行程序实例来识别的，这就是进程选项卡中的第一列给出了映射名称的原因。请注意，这里并没有进
程名称列。进程并不拥有独立于其所归属实例的映射名称。换言之，如果你运行5个记事本拷贝，你将会看到
5个称为Notepad.exe的进程。它们是如何彼此区别的呢？其中一种方式是通过它们的进程ID，因为每个进程
都拥有其独一无二的编码。该进程ID由Windows NT或Windows 2000生成，并可以循环使用。因此，进程ID将
不会越编越大，它们能够得到循环利用。

第三列是被进程中的线程所占用的CPU时间百分比。它不是CPU的编号，而是被进程占用的CPU时间百分比。
在当前的展示中，我的系统基本上是空闲的。尽管系统看上去每一秒左右都只使用一小部分CPU时间，但该
系统空闲进程仍旧耗用了大约99%的CPU时间。我们过一会儿将看到有关现象。

第四列，CPU时间，是CPU被进程中的线程累计占用的小时、分钟及秒数。请注意，我对进程中的线程使用占
用一词。这并不一定意味着那就是进程已耗用的CPU时间总和，因为，如我们一会儿将看到的，NT计时的方
式是，当特定的时钟间隔激发时，无论谁恰巧处于当前的线程中，它都将计算到CPU周期之内。通常情况下，
在大多数NT系统中，时钟以10毫秒的间隔运行。每10毫秒NT的心脏就跳动一下。有一些驱动程序代码片段运
行并显示谁是当前的线程。让我们将CPU时间的最后10毫秒记在它的帐上。因此，如果一个线程开始运行，
并在持续运行8毫秒后完成，接着，第二个线程开始运行并持续了2毫秒，这时，时钟激发，请猜一猜这整整
10毫秒的时钟周期到底记在了哪个线程的帐上？答案是第二个线程。因此，NT中存在一些固有的不准确性，
而NT恰是以这种方式进行计时，实际情况也如是，大多数32位操作系统中都存在一个基于间隔的计时机制
。请记住这一点，因为，有时当你观察线程所耗用的CPU总和时，会出现尽管该线程或许看上去已运行过数
十万次，但其CPU时间占用量却可能是零或非常短暂的现象，那么，上述解释便是原因所在。上述是我们在
任务管理器的进程选项卡中所能看到的基本信息列。

 

现在，如果你在查看菜单中选择列，该功能将允许你添加一些诸如IO计数器、IO读写等关于进程细节的额外
列。这是Windows 2000的新特性，并能够允许以逐个进程的方式查看IO活动。在NT 4.0中，IO计数器是覆盖
全系统和所有磁盘的。以逐个进程的方式跟踪IO操作是不可能的。就理解进程活动而言，这一附加功能是非
常重要的，因为，现在我们能够看到系统上发生的IO是哪个进程所导致的。我已经添加了线程计数器，它表
示进程中所包含的线程数量；我还添加了句柄计数器，它代表打开对象的数量。在本次讲座的后续部分，我
们还将回头看一看打开句柄的有关内容。

最后，让我们转到性能选项卡。性能选项卡显示了200到300个能够通过性能监视器来显示的NT内核性能计数
器中的13个计数器的值。我们再次看到了通常使用性能监视器工具来观察的核心系统性能计数器的一个小子
集，而这上面的某些标签或许还不够清楚。例如，内存使用栏与物理用途并没有什么关系。这是系统中全部
专用且指定的虚拟内存。我们将不会深入到这些细节中去，只是应搞清该显示区域中的一些项目可能使你在
对系统容量限制做出决策之前能够进行深入推敲。这就是在外壳上的任务管理器。它是一个快捷工具。使用
这个工具，你可以在一个缓慢的系统上发现那些令人讨厌的进程究竟是谁。这里再次调出任务管理器，按下
Ctrl+Shift+Esc组合键，进入进程选项卡，单击CPU耗用情况，按CPU利用率对任务管理器的输出进行排序。
请记住，每次调用任务管理器时，它均按进程ID进行排序，尽管进程ID并不是一个非常有用的排序顺序。因
此，任务管理器并不能在你每次调用后保存有关设置。如果你希望按CPU耗用百分比进行排序，则必须单击
CPU列。这是一种能够迅速找出哪个或哪些进程正在耗用系统中CPU时间的快捷方式。

现在，让我们转入进程查看器实用程序，也就是PViewer.exe。这是我们将要运行的Windows 2000支持工具
中的一个，它显示了关于我们在后面将要进行的对系统进程加以研究的试验中所需的进程和线程的更多细节
。现在，我们将通过依次单击开始菜单/程序/ Windows 2000支持工具/工具/进程浏览器来启动进程查看工
具。初始显示区域是一个系统上的进程列表。请注意，有一种方法能够对远程工作站或服务器名称进行选择
。与使用任务管理器查看进程不同，只要你拥有对远程工作站或服务器上注册表的访问许可，你就能够查看
远程进程列表。这是因为，多数工具所显示的基本进程和线程信息实际上是通过执行注册表查询得以从系统
恢复到NT性能记数器上的。现在，据我们所知，进程查看工具必须使用性能记数器机制的原因之一是，根据
总分数查看列表中的第一个进程。那并不是一个真正的进程，也没有在任务管理器列表中予以披露，但如果
你曾经使用过性能监视器的话，你会看到多数包含多重实例（例如进程对象）的性能计数器均拥有一个叫做
划线总额的特殊内建实例名称，这里的划线总额就是一个被选择与性能监视器配合使用从而在所有对象实例
范围内快速汇总计数器数值的实例。若你想对多种对象的一个或多个计数器进行快速汇总，进程查看则可谓
是性能计数器机制中一个非常便利的特性。Pviewer的智能程度尚不足以显示这一点。它以进程的方式来显
示。但它并不是一个进程。列表中第一个真正的进程是CMD。现在，请注意这些按可执行程序文件名的字母
顺序来对进程进行排序的地方。CMD是按字母顺序排列的第一个可执行程序的文件名。别忘了，任务管理器
是按进程ID进行排序的。任务管理器以十进制数来显示进程ID，而Pviewer则在映射名称后以十六进制数显
示进程ID。

在优先时间与用户时间之间存在着明显的区分，这就提供了有关与在操作系统内部相比，每个进程在应用程
序中耗费多少时间的指示。在讲座的以后部分，我们还将回头来看优先权与用户时间的对比，但应记住，Pv
iewer是使你能够更密切关注进程所占用的CPU时间从而掌握在应用程序与操作系统之间的时间耗用区别的工
具之一。现在，当我单击从进程到进程，并将进程列表向下滚动时，在底部的显示区域中什么发生了变化？
那就是线程列表。因为，如果你还对我们前面所作的描述有印象的话，该知道每个进程都包括一套线程。这
些线程对每个进程来说都是专用的。显然，每个进程中的线程列表均应与下一个进程中的线程列表有所区别
。如果我选定一个线程并点击它，进而将线程列表向下滚动，请注意在显示区域的最底端发生了什么改变。
Pviewer显示区域的最底端给出了包括优先级数值（从1到30之间）在内的每个线程的信息。上下文切换的次
数也就是NT选择运行该线程的次数。现在，这儿有个线程看上去有点特别。它已被选中运行了58次，但其仅
占用了1%秒的CPU时间。你还记得这种背离现象的原因吗？在以10毫秒为一周期的时钟间隔被激发时，该线
程肯定未处于当前状态。还有一个例子，在服务主机中的进程5看上去根本没有运行过，但请大家看一看其
上下文切换次数——76次。该线程被选择运行了76次。它实际上运行了76次。但它在以10毫秒为一周期的
时钟间隔被激发时从未处于当前状态。因此，如果我们向上回到进程列表处，可看到该进程总共耗用的CPU
时间仅为0.871秒，这一数值显然没有反映出该进程中所有线程在运行时所耗用的CPU时间总和。现在，请记
住，我们将不会丢失CPU周期。NT也不会丢失CPU周期的轨迹。它只是以10毫秒的增量来计量各线程的CPU占
用时间，因此，线程有时是被误计时的，但随着时间的推移，这种误差会被抵销，而不会成为真正的问题。
这就是进程查看工具。关于该工具的另一个说明是，如果你偶尔通过选定一个不同的计算机名并按下连接钮
来它查看远程系统的话，一个按钮就会消失。你会因此失去一部分功能，消失的按钮就是杀死进程按钮。杀
死进程功能消失的原因是……你们还记得Pviewer是如何在进程列表中得以检索的吗？是通过注册表。当我
通过注册表查看远程进程列表时，我能够从远程查询该注册表，并读取进程列表，但注册表并非一种控制机
制。我并不能通过注册表杀死一个进程。因此，如果你想杀死另一台机器上的进程，有两个工具可以办得到。
一个是Windows 2000资源工具包中的杀死进程脚本——kill.bbs。它使用Windows 2000中新的WMI（亦即Wi
ndows管理规范）来访问那些远程进程控制操作，以前通过网络不能这样使用。另一个工具是资源工具包中
称作远程杀死（remote kill）的客户服务器应用程序，该工具需要在你
想要控制进程的远程服务器系统上安装服务器端程序。无论是通过kill.bbs还是远程杀死客户服务器应用程
序，你都可以杀死一个进程。这两个工具均存在于Windows 2000资源工具包中。

现在，我们已使用两个工具查看了进程列表，而该列表则表现为平面结构。列表中没有显示父子关系，但事
实上，当我们转入下一张幻灯片后，我们会看到NT保留了关于哪个进程创建了哪个进程的有关信息。换言之
，谁是父亲？谁是儿子？该层次结构通过Windows 2000支持工具包中一个称作Tlist的工具显示出来。现在
，Tlist代表任务列表，但它也真的显示出进程列表。事实上，任务这个术语并不一定就意味着存在于NT内
核中的一切。我将调出命令行方式，并在该方式中键入TList/t。Tlist所做的就是生成一个关于每个进程来
自何处的父子关系展示，它通过使用简单的缩进格式来显示谁是父亲、谁是儿子。然而，Tlist充其量也只
能与NT所记录的信息具有同等智能。我们回到幻灯片上，会注意到如果父进程已死，Tlist则将该进程向左
对齐。这是因为NT只记录了父进程的ID。如果你的父亲已不在世，就无法追溯出你的祖父是谁。当Tlist发
现一个子进程的父进程已不再运行时，就会将该进程向左对齐，并以此指明该进程是个孤儿。现在，当看到
一个没有父进程的子进程时，就没有什么可值得稀奇的了。当你注销时，你的交互会话中的所有进程都会删
除。NT并不会因父进程消失而同时失去子进程。回来看Tlist/t的输出，我们会看到，在我的系统上，explo
re.exe刚才就是一个孤儿，它没有父进程，其原因就在于当你登录网络时，登录进程就会运行一个进而调用
Explore的程序，而这个中介程序会在它完成使命时退出。Explore的全部子进程代表了今天我开始讲座以来
运行的所有程序。例如，我从Internet Explorer实例开始。我运行了命令行方式。从命令行方式中，我又
运行了PowerPoint和Tlist，而此时我也正通过运行Tlist来生成显示区域。就在展示上一张幻灯片时，我们
还从开始按钮运行了进程查看工具，而开始按钮又由Explorer所拥有。TList/t是一个重要的诊测工具，因
为，通过掌握某一进程的父进程或观察该进程在系统进程层次（或树型）结构中所处的位置，你能够迅速对
该进程的来源进行分类。如果这个进程是Explorer的一个子进程，则该进程必然是从桌面图形用户界面开始
运行的。如果这个进程是某一系统进程的子进程，则该进程必然是NT的某一片段。我们将在下下节中详细解
剖系统进程树中的所有进程。因此，我们将先行回到显示区域的上半部分。

Windows 2000任务管理器中的新选项是结束进程树。但是，基于我前面所说的Windows NT没有保留比父进程
ID更多的信息，那么，如果你试图结束进程任务树并且来自树中的所有进程均不再运行的话，将会有什么发
生呢？任务管理器将会发现来自同一父进程的所有子进程吗？让我们进行一个快速演示。我将转到命令行方
式，并通过键入CMD从该命令行方式中启动另一作为子进程的命令行方式。现在，我们将从第二个进程中运
行画笔（亦即MS Paint）。这样一来，我们就有了一个树结构——一个命令行方式创建了另一个命令行方式
，而另一个命令行方式创建了画笔（亦即MS Paint）。让我们通过执行Tlist/t来看一看该树状结构是如何
显示的。这里，我们看到了父命令行方式、子命令行方式以及作为孙子的MS Paint。而问题是究竟发生了什
么，首先，如果我退出这个编号为712的中介命令行方式，将会有什么发生呢？好的，让我们转到该中介命
令行方式并键入EXIT，会留下什么呢？画笔仍然存在。因此，当父进程退出时，子进程并不也随之退出。这
就出现了一个有趣的问题。如果我们现在通过按下Ctrl+Shift+Esc组合键调出任务管理器，转至应用程序选
项卡，选中第一个命令行方式，单击鼠标右键，转入进程，进而找到拥有窗口的进程，这就是命令行方式的
实例——CMB.exe，亦即拥有第一个窗口的进程。现在，如果我在进程树上单击鼠标右键，Windows 2000会
发现画笔吗？请记住，画笔是该命令行方式的孙子。让我们来试一试，单击进程树。任务管理器警告我说，
终止一个进程可能引起数据丢失——这是因为并不存在清除线程的机会。于是我接着做下去，单击是。画笔
仍旧运行。为什么？再次解释一下，这是因为NT只保留创建进程者的踪迹，却并不保留祖父或孙子的踪迹。
所以，请记住，你正在使用新的结束进程树选项。

现在，让我们看一下进程活动中另一个重要的信息片段，也就是哪个文件被哪个进程打开。Windows 2000或
Windows NT中并未附带相应的工具来实现上述功能，然而这又的确是一项非常重要的诊测任务，因为，如果
你遇到一个文件锁死错误，该文件肯定是被本地工作站或服务器上的某一进程所打开。不使用这张幻灯片上
提及的工具，你就无法找出是谁打开了文件。

打开文件的另一重要方面则体现在当应用程序包含无法关闭文件错误的情况下。它将其自身表现为一个系统
内存泄露，因为，每个打开的文件都占用一部分系统内存。因此，在有应用程序不断打开对象而不去关闭它
们的系统上，NT会因这些不去关闭句柄的应用程序而耗尽系统资源。

首先，让我们看一看任务管理器是如何快速查看由进程所打开的句柄数量的。我按下Ctrl+Shift+Esc组合键
以调出任务管理器，刚才，当我们观看有关设置时，我已经添加了一列信息以显示每个进程所打开的句柄总
数，而我马上将把鼠标移到这一列上。如果我在句柄列上单击鼠标，任务管理器将按打开句柄数量的大小顺
序对进程进行排序。在这儿，我们看到了一个名为servicehost.exe、拥有760个打开句柄的进程，我们将稍
后再看它。如果你有一个不关闭句柄的应用程序，这就是该看到的数字。而这一列也是应进行检查的。你也
能够就整个系统范围查看这一数据的值，因为，在性能选项卡下包括系统内的句柄总数、线程总数及进程总
数。如果你挂起了句柄泄露，应查看一下句柄总数。如果该数字呈缓慢上升趋势，则应到进程选项卡选中句
柄列，并将其按打开句柄的数量进行排序，于是，你将能够迅速标识出那些没有关闭句柄的进程。当你结束
一个进程时，该进程中的所有句柄都应关闭，其所占用的系统资源也都将予以返还。这就是查看句柄信息的
一个方面。另一个方面则是搞清这些句柄是为哪些对象而打开的。换言之，这760个句柄都代表着什么？它
们是代表文件、网络对象、注册表键、线程和进程、亦或别的什么东西？这个问题就把我们引到了能使我们
查看一个进程所打开句柄表的两个工具上。

第一个是OH工具。OH代表打开句柄，这是Windows 2000资源工具包中的一个工具。出于确保OH工作的考虑，
OH工具必须在系统重新引导时才读取的注册表中设置一个特殊内部标志，因此，你需要在首次使用该工具时
重新引导系统。这种特殊标志能使NT保留比通常情况下多一些的打开句柄信息。在所有的NT系统中运行OH并
将设置打开并非什么重大问题，因而也不会引发严重后果，但这些工作也不是设定为默认的。因此，当你初
次运行OH时，你会得到一个出错信息或一些关于你已经设定了特殊标志并应重新引导系统的提示。好的，鉴
于我已在笔记本电脑上进行了上述工作，就让我们进入命令行方式中吧。我们将调出一个命令行方式。首先
，我将键入OH/?，以便看到有关选项。OH有两个选项。在第一个选项中，你可以指定你所感兴趣的进程ID。
换言之，为我显示由第43号进程打开的句柄。第二个选项是查看特定种类的打开句柄。例如，文件可能是打
开的文件、注册表键、由线程打开的线程等等。我将要强调的最后一个选项是转而寻找由具有特定名称的对
象打开的句柄。我们举个例子就能把问题搞清楚。如果我想要查找为PowerPoint（ppt）文件打开句柄的话
，我应输入OH –T file，意思是只寻找文件对象的句柄，即那些包括.ppt扩展名的存在于对象名中的句柄
名。答案是什么呢？是PowerPoint。这儿有面向PowerPoint文件的打开句柄，而这里的PowerPoint文件还包
含着我们正在运行的演示文稿——TNQ400-02.ppt。如果你遇到了一个文件锁死错误，那么，这就是找出打
开有关文件的处理器进程的快捷方法。然而，如果你看一下输出的话，会发现有一部分至关重要的文件信息
没有被OH显示出来。在文件名之前漏掉了什么呢？是驱动器名。这就把我们带到了幻灯片上所示的第二个工
具——Handle.Exe，该工具是一个图形用户界面工具，而它的命令行版本叫NT Handle。这是我们所运行过
的第一来自Sys Internals网站的工具。它是一个自由软件。请稍微记录一下，该工具如同来自sysinternal
s.com的大多数工具一样，也包括对设备驱动程序的使用。当你第一次运行Handle.Exe时，在系统中将装入
一个驱动程序，正如我们先前所提到的，像其它驱动程序和Windows NT系统一样，设备驱动程序也共享同一
内存空间（或者叫沙箱），这就意味着如果该驱动程序中存在错误，它将有崩溃的可能。这对于任何设备驱
动程序而言都是现实的。Handle.Exe需要使用设备驱动程序的原因是，该工具绕过NT的安全机制从进程句柄
列表中找回打开文件的完整名字，而这就触及了通常从一般Windows应用程序中所无法进行访问的信息。让我
们看一看Handle.Exe工具是个什么的样子。这是图形用户界面版本，当它启动时，会显示一个关于系统
中进程的列表。当我选中一个进程时，比如，我向下滚动列表并选中PowerPoint，Handle.Exe会显示出该进
程所打开的句柄表格。现在，该工具按句柄编号对表格进行排序，这并不是非常重要的信息。我将按句柄类
型对表格重新进行排序。现在，我单击类型列，于是我们马上就看到了打开文件列表，并且还从中看到了包
含当前演示文稿在内的PowerPoint文件的完整路径名。这里，磁盘符C:被加入到路径名之中。可见，Handle
.Exe是另一种查看打开句柄的方法。该工具并不像OH工具那样需要重新引导系统以使设定的特殊标志生效。
而其消极的方面则是，它需要使用设备驱动程序，并会因此导致对调用驱动程序代码的常规限制和警告信息
在你的系统上出现。仅就个人而言，我从未因此遇到过程序崩溃，但该工具的确将授权系统代码调入了操作
系统沙箱。

使用Handle Exe来查看句柄信息的另一种方法是执行一个搜索。如果我单击搜索发现菜单项或直接按F3键，
我将能够在随之出现的对话框中输入一个不完整的文件名（例如.ppt），接着，单击搜索按钮，Handle Exe
便会对包括.ppt扩展名的全部句柄进行搜索。于是，我又一次找到了打开PowerPoint文件的进程。这就是查
看打开句柄的另一种方法。

另一类由那些给Windows系统管理员带来麻烦的进程所调用的文件就是动态链接库。动态链接库冲突已成为
许多系统管理员眼中的祸害。这一难题被Windows 2000中的Windows 安装器自适应应用程序支持和Windows
文件保护功能大大化解，Windows 安装器自适应应用程序支持和Windows文件保护功能可自动恢复被删除或
被错误版本替换的系统动态链接库。因此，动态链接库冲突和替换问题将在Windows 2000中得到整体改观，
但是，能够查看进程并找出其所调用的动态链接库及其磁盘出处对于我们来说仍然非常重要。

在观察一个活的进程之前，首先让我们来观察静态视图。换句话说，指定一个可执行文件，告诉我当其运行
时哪些动态链接库(DLL)将被装入，为了观察到这些信息，我们将使用一个称为依赖关系浏览器（dependenc
y walker）的工具。该工具包含于Windows 2000资源工具包中，我将通过开始/运行/depends来启动它。Dep
endency walker窗口出现后，现在我便可以打开一个可执行文件或一个可执行映像了。我将单击打开文件菜
单项并且作为一个示例我将选择记事本程序。现在，dependency walker使用的缺省文件夹是Win NT System
 32文件夹，Windows 2000和Windows NT 4的大部分可执行映像都将被保存在这里。因此，我们已经定位在
打开Notepad.exe文件的正确目录下了。选择Notepad并且单击打开。现在我并未创建任何进程，我所做的全
部只是打开Notepad.exe文件。此时dependency walker已经列出了记事本程序所链接的动态链接库的映像名
称列表。换句话说，这八个动态链接库是包含记事本程序运行时所需支持例程的库。请记住，它们并不是记
事本程序运行时将要用到的所有动态链接库的完整列表，而仅仅是程序启动时将被装入的动态链接库的列表
，因为动态链接库可以在程序运行中动态地装入。因此这是一个非常有趣的显示，它并未真正告诉我们将使
用什么，同时，因为当动态链接库装入后将产生一个使用情况的精确集合，它也未显示出DLL文件在磁盘上
的位置。首先将在可执行文件所在的目录中寻找相应的DLL文件。其次将使用当前目录。最后使用记录搜索
路径的环境变量，并且如果一个动态链接库是已知的，那么它将被覆盖，因为这意味着它已经在系统启动时
被打开了。尽管这是一个很有意义的显示，当进程被实际运行时，一个更有意义的输出将向我显示动态链接
库是从哪里装入的。这将我们带入了下一个主题：观察实际情况下活动的动态链接库的使用情况。

如果你遇到动态链接库冲突或由于一个错误版本的动态链接库的装入而导致应用程序失败的情况，如果你不
知如何捕获进程或想在激活进程之前观察进程以便找到动态链接库被装入的完整路径，那么这部分或许能够
帮助你诊断动态链接库冲突。

现在，Windows 2000中的dependency walker有了一个新的选项用以简要描述一个进程。这个选项意味着通
过实际创建一个进程或可执行程序的实例来检测和跟踪动态链接库的装入。因此我将回到dependency walke
r中并单击profile已启动配置文件。我将选择缺省设置。当我单击确定按钮时，dependency walker将创建
一个测试进程来运行记事本程序并跟踪和监视在显示区域下部窗口中所有动态链接库的活动。让我们来做一
下。现在有一个记事本，如果我回到dependency walker并观察显示区域的下部，会发现有一小部分关于摘
要的日志记录产生。这里有一个列表记录了当进程启动时被装入的动态链接库。同样，它没有告诉我们将在
下一个介绍的工具中看到的完整的文件名称，但至少我们可以看到被装入的动态链接库。现在，如果我回到
记事本并尝试打开一个文件，当标准打开文件对话框被打开时，可以在背景中观察到有10到20个附加的动态
链接库被装入。让我们来做一下。你能够在背景中看到吗？让我们回到dependency walker中，如果向上滚动
，会发现作为显示标准打开文件对话框的结果，有许多以前未被装入的动态链接库已经被添加到进程中了。
如果我们回到动态链接库列表，会发现动态链接库的数量已经在8个的基础上增加了很多。我还能够从显示
区域的中部观察到装入的动态链接库列表，让我们统计一下添加的数量——为了显示标准打开文件对话框共
有31个动态链接库被装入，但仍未看到完整路径。这将我们带入到下一个工具——前面使用过的Tlist，但这
次我们将使用一个前面没有介绍的参数以指定一个特定的进程名。

在下一个演示中，我们将使用Tlist工具显示一个进程中装入的动态链接库列表，并且查看它所显示的信息。
切换到一个同时运行命令行、Tlist和PowerPoint的状态，并查看由PowerPoint进程装入的动态链接库列表，
这些动态链接库的内存地址位于进程地址段中。我们确实得到了一些有用信息，但还遗漏了什么数据呢？对
，正是动态链接库的完整路径名。这张幻灯片上提到最终将向我们显示完整路径名的工具是我们从sysinter
nals.com网站上得到的第二个工具List DLL。List DLL工具可以显示每个动态链接库的完整路径，同时它也
将顺便显示正在运行的执行程序的完整路径。这是对NT系统上正在运行的内容进行分析的另一个重要方面。
像我们前面所说的那样，一个可执行文件的名称未必总能使你立即了解它的作用，但是如果你知道该文件所
在的目录，至少它可能让你迅速地知道该文件是哪个软件包的一部分。因此，我们使用List DLL工具不仅仅
是为了查看动态链接库的细节，更重要的是应当牢记它是查看一个可执行文件完整路径的快捷方式。

我们将回到命令行方式，现在，让我们从我们的演示目录中尝试List DLL工具，我们将继续使用前面记事本
的例子——即我们从dependency walker中启动的那个进程。现在如果查看表中的路径名一列，我们可以获
得包含驱动器符号、目录名和文件名在内的完整路径名，这正是我们在这个示例中试图达到的目的。让我们
针对Power Point进行这个操作。

同样，这也显示了在Windows 2000中进行基本的进程错误处理或分析时获取可执行文件以及动态链接库完整
路径的重要性。

系统和进程活动的另一个角度是IO操作。通常，一个服务器系统上的主要负载来源于由服务器应用程序产生
的网络间或针对磁盘的IO活动。因此，当系统看上去很忙并且磁盘在不停的旋转和震动时，你怎么才能确定
IO操作是针对哪个文件的以及是由哪个进程产生的呢？换句话说，在一个繁忙的系统上我们怎样才能追踪到
IO活动是遵循哪个进程、文件名或文件进行工作呢？好的，在NT 4中，象我们以前提到的那样，没有一种可
以基于每个进程将IO活动独立出来的方法。但是，在Windows 2000中，加入了一些新的计数器从而使你能够
基于每个进程观察单独的IO活动。因此，在我们的第一个演示中，将使用性能监视器来查看这些新的计数器
以便快速了解如何能够确定在Windows 2000系统中哪个或哪些进程正在产生IO操作。

我们将切换到命令行状态并从这里通过命令perfmon启动性能监视器。点击加入标记或添加计数器按钮，因
为我们只对进程级的计数器感兴趣，所以选择进程对象，向下滚动列表会发现新添加的IO计数器——每秒IO
数据字节数量和每秒IO数据操作数量。

每秒IO数据操作数量是读和（或）写组合操作的总数。虽然分别存在用于记录读操作和写操作的计数器，但
是在这里，针对这一级别的分析，我们仅关心谁正在进行IO操作而不在乎它是读操作还是写操作。现在我们
选择每秒IO数据操作数量。此外通过按住Ctrl键同时选择每秒其他IO操作数量。其他IO操作代表那些不进行
数据读写的IO操作。例如，打开一个文件或读取一个诸如文件大小的文件属性。如果你想要看到由一个进程
产生的所有IO操作——包括数据操作和其他IO操作，那么必须同时选中上述的两个计数器。接下来，我们要
将选中的计数器插入到哪个进程中呢？答案是所有进程。因此单击实例列表框中的第一个进程。请记住，_t
otal选项并不是一个进程。按住鼠标不放，拖动到列表框的底部以便选中所有进程，按添加按钮，之后按应
用或关闭按钮。

现在我们正通过性能监视器的显示区域观察由系统中每一个进程产生的IO操作。针对每个进程存在两条折线
。
其他操作。很快，系统像我们想象的那样平静下来。现在，让我们回到命令行状态并启动一些将导致许多操
作的活动。让我们来看看一个涉及硬盘上全部目录的操作——dir c:/s。这将意味着从C盘根目录开始产生
一个自上而下遍历C盘上所有子目录的目录列表。像我们看到的这样，为了显示所需数据正在执行许多目录
读取操作。在该操作执行过程中，让我们回到性能监视器，并将其显示内容顶部的折线看作是有某人正在执
行大量IO操作。好了，现在请考虑如何确定这条代表大量IO操作的折线实际所映射的进程。

让我们打开加亮显示功能。单击加亮按钮或使用快捷键Ctrl-H 。如果你以前曾经使用过性能监视器，那你
一定知道打开加亮功能后，当通过键盘上的下箭头滚动列表中的计数器时，当前在列表框中选中的进程或折
线将被加亮显示为白色。因此，我将向下滚动计数器直至当前在顶部的折线变为白色。就是这样。你们能够
看到底部显示的实例名称吗？正是CMD。因此，进程CMD便是产生所有这些IO操作的那个进程。这很容易理解
，因为CMD就在这儿。它就是命令行窗口并且正是它产生了涉及目录的IO操作。你可以看到这有多快，使用
性能监视器，监视每一个进程每秒内执行的IO操作并且快速定位某个IO操作由哪个进程负责。好了，这很有
趣，但也产生了一个问题，即IO操作的去向是哪里？刚刚介绍的内容仅告诉了我们IO操作的发生。它将把我
们带入幻灯片上的下一个工具——文件监视器。

文件监视器（File Mon）是迄今为止我们使用的第三个来源于sysinternals.com网站的工具。像我们前面用
过的工具一样，它涉及到一个设备驱动程序的使用。当我们运行文件监视器时，它所做的工作是加载一个可
以截取系统中每个IO操作的文件系统驱动程序，将每个IO操作显示在屏幕上，之后再将其送往相应的设备驱
动程序。因此它在很大程度上降低了IO操作的速度，但是它确实提供了一种有效的方式用以确定IO操作的来
源，因为每个IO操作都将被它记录，所记录的信息包括进程名称、所引用的文件名称以及操作的类型——读
或些。下面让我们来具体地看一看它。

回到命令行状态，从演示目录下通过filemon命令运行文件监视器。现在文件监视器启动了对文件的监视活
动。尽管看上去好像有一些IO操作正在后台运行，系统还是马上平静下来，事实上，在这个特殊的Windows
2000系统中存在一个系统进程，它每隔1或2秒执行一些访问数据库的IO操作。现在，让我们回到命令行状态
并试着模仿一些针对某个特定文件的繁重的IO活动。这个特定目标文件是每个Windows 2000系统都拥有的一
个大文件，即驱动程序压缩包文件。

这个驱动程序压缩包文件包含随Windows 2000一同发布的所有设备驱动程序的压缩版本。它存放在Win NT
Driver cache文件夹中。我将启动Window NT资源管理器并进入到我的Win NT Driver acche文件夹中对这个
文件进行一个简单的拷贝操作。我打开C驱动器，展开WinNT目录，接着展开Driver cache目录以及其中的I
386目录，这里存放着driver.cab文件。请注意它的大小是51兆。因此它将是一个理想的测试对象。我将仅
仅通过编辑菜单中的拷贝命令和粘贴命令进行一个简单的文件拷贝。你可以看到我们现在正在拷贝一个51兆
的文件。

让我们回到文件监视器并观察一下它的显示内容。好的，像我们在输出区域中看到的那样，我们可以观察到
大量对driver.cab文件及其备份的IO操作。我使用快捷键Ctrl-E以终止文件监视器的监视活动，同时我们可
以看到一些读写操作——从driver.cab文件进行的读操作以及对其同名拷贝进行的写操作。现在让我们返回
并取消文件拷贝，你将看到一个使用文件监视器观察独立的IO操作并且使你能够查看IO操作发生在哪个文件
中的例子。

你可以用文件监视器完成一些过滤工作。例如，如果你只对C或D驱动器或是这些驱动器上一个特殊目录中的
IO操作感兴趣，你可以对其特定的路径进行过滤，你也可以加亮显示一个指定的路径名以便使你能够轻松地
找到所有被监视的文件中你所感兴趣的特殊文件。由此再次验证了，对于观察IO活动以及跟踪IO操作发生在
哪个文件上，文件监视器是一个重要的工具。

这一部分的最后一点是文件监视器可以通过在一行中加入一个小星号来指出分页IO操作。由于Windows 2000
高速缓存管理器使用通常的分页机制和内存管理器来完成文件IO操作，你可以看到发生在由应用程序打开的
文件中的分页活动。换言之，由于高速缓存子系统通过通常的分页机制使用内存管理器从文件中读取数据，
对于一个打开和读取文件的应用程序，其IO操作自身在文件监视器中显示为分页读操作。

文件或系统进程活动的最后一个领域，也是同样重要以至要求能够监视的内容是注册活动。如你们中大多数
人知道的那样，注册表是NT用于对其自身进行配置的数据库，需要装载的驱动程序、所有的管理设置以及每
个用户档案的设置均存放在这里。有时，对于一个系统管理员来说，知道某个特定设置被存储在注册表中的
什么位置是很有帮助的。在sysinternals.com网站上有一个称为注册表监视器的工具可以用来监视对注册表
的每一次读和（或）写。让我们来运行注册表监视器。我将回到命令行状态并从演示目录中运行从sysinter
nals.com网站得到的注册表监视器的一个拷贝。当注册表监视器启动后，它将装载一个驱动程序以便开始截
取所有对注册表的查询。此刻，作为性能监视器容器的MMC进程也正在进行一些常规的注册表查询。因此，让
我们返回并关闭性能监视器以使这些查询工作停止。好，现在系统平静下来了。注册表通常是平静的。换言
之，如果一个进程正在执行常规的注册表读或写操作，此时出现了错误，你可能会考虑为厂商整理一份错误
报告。在进程或NT启动时，注册表将会被查询。它并不是个会被经常访问的数据库。使用注册表监视器可以
在寻找特定系统设置在注册表中存储位置时最大限度的得到启发。例如，如果你启动注册表监视器后进入控
制面板，访问一些设置程序或选项卡，你将能够看到在控制面板中所涉及的设置信息在注册表中所处位置的
精确跟踪信息，并且它可能引导对注册表的一些更深的研究，从而作为Windows 2000资源工具包帮助文件（
该文件记录了绝大多数注册表键）的辅助。这便是注册表监视器实用工具。接下来提两个问题。

NT中运行什么？调度的单元是什么？答案是线程。请记住，进程并不运行，线程才能运行。每个进程至少包
含一个线程。

线程如何表现得看起来运行了许多，但却并未占用CPU时间呢？一个线程拥有大量与上下文无关的内容，它们
使线程可被NT选中运行，但却很少占用或根本不占用CPU时间。答案是：NT使用一个基于间隔的时钟定时器机
制来计算CPU时间。如果时钟激发时曾经处于运行状态的线程已不再运行，它将不占用时钟周期。作为缺省时
钟间隔，每10毫秒——尽管不同系统的缺省值不同，无论哪个线程是当前线程，它都将被认为占用了这10毫
秒的周期。如果没有线程在运行，将被计为被空闲线程占用。空闲线程是任务管理器中所显示的系统空闲进
程的一部分。让我们回忆一下，在进程选项卡列表中所列出的第一个进程便是空闲进程。这个进程的作用是：
在没有线程运行时，累计并占用所有CPU时钟周期。

最后一个问题。进程地址空间的大小是多少？NT是一个32位操作系统，32位对应于4GB。缺省情况下，NT将
地址空间的一半分给用户进程，并将4GB的另一半留给自己使用。

我们已经花费了一些时间来观察内部进程以及这些进程内部的IO活动、动态链接库使用情况、打开的句柄、
注册表活动。在下面一节中，我们将更清楚地了解NT如何区分操作系统工作占用的CPU时间和应用程序占用的
CPU时间，以及NT如何维护和计算中断时间。之所以中断处理是一个非常重要的主题，是因为它不占用任何
线程，因而不被显示在任何进程中。换言之，一个拥有繁重中断负荷的系统看起来可能很慢，然而却好像没
有进程在运行。我们将在这一节中回答这个问题。

现在，我建议我们最好回过头来讨论花费在操作系统应用中的时间和花费在应用程序代码自身中的时间的界
限。NT使用两种内存保护态，它们有时被称为核心态和用户态，或在另外一些场合被称为特权态和用户态。
一个进程4GB地址空间中的每一页均被标记出它是否是处于核心态的页。所有系统地址空间中的页均被标记为
核心页。所有用户地址空间中的页均被标记位用户页。访问被标记为核心页的页面的唯一途径是运行在核心
态，并且只有操作系统和设备驱动程序才能运行在核心态。换言之，除非通过加载设备驱动程序，否则一个
用户程序将不能使自己运行在核心态中。这就是在应用程序和操作系统之间提供的内存保护的坚固级别。
无论一个应用程序的运行多么不遵循规则，无论它试图引用和改变什么内存地址，它都绝对不会破坏系统数
据结构，这是因为所有的操作系统和设备驱动程序内存结构都被标记为核心页。他们处于系统地址空间，同
时，因为应用程序运行在用户态，它不可能看到或修改这些数据。

线程经常在用户态和核心态之间进行切换。线程每进行一次系统调用，例如打开一个文件、关闭一个文件、
读取数据、写入数据，它便从用户态的应用程序代码变为核心态或操作系统代码。当10毫秒的时钟间隔再次
被激发时，NT将如何决定怎样占用CPU时间呢?如果线程正处在核心态或正在运行操作系统的一部分，它将为
线程增加特权时间计数器值。然而，如果线程正运行在用户态或应用程序内部，它将使线程占用用户时间。
因此，NT精确的跟踪一个线程花费在应用程序中以及花费在操作系统中的时间量。观察任务管理器进程选项
卡中的CPU时间列会发现，它并未区分特权时间和用户时间，而仅仅显示了全部CPU时间，但是有一些工具允
许我们观察应用程序并迅速计算出这个应用程序分别在程序自身和操作系统中花费了多少时间。它将我们带
入了下一个演示：使用Qslice或Quick Slice工具检测进程CPU时间。

让我们通过开始/运行/Qslice运行Quick Slice。它包含在Windows 2000支持工具中。Quick Slice中显示的
是进程的CPU活动，其中红色指示为核心态、蓝色指示为用户态。现在请注意在我的系统上发生了什么？Qui
ck Slice中称为系统进程的0号进程内部100%处于核心态，但在任务管理器中0号进程却被称为系统空闲进程
。你可以看到NT进程显示工具中的一个怪癖，对于空闲进程，每个工具创造它们自己的名称并且这些名称并
不一致。空闲进程是NT用于统计空闲CPU循环的假冒进程，并且这些CPU循环被计为核心态时间。

让我们运行一个程序来模拟一个通常的用户应用程序。这是一个称作CPUstress的程序，它包含在资源工具
包中。我将通过开始/运行/CPUstress运行该程序。当其开始运行后，缺省的，它将拥有一个运行在低活动
级上的线程。低活动级意味着它有25%的时间处于运行状态而另75%的时间处于等待状态。在底部的CPUstres
s程序时常突然出现并在用户态运行一小段时间——表现为蓝色条状图，之后重新变为等待。让我们把它的
活动级别变为最大。

单击活动列表框，向下滚动并选择最大。现在请注意发生了什么。变成了100%蓝色。最大活动级别使CPUst
ress陷入了一个无限循环。这里仅有一个进程，因此，它基本上已陷入到应用程序中。且并未产生任何系
统调用。如果针对一个进程，我看到一组分开的蓝色和红色，这说明这个程序处于一种通常的情况，即一
部分时间花费在应用程序中、一部分时间花费在操作系统中。同样，使用Qslice也可以相当容易地观察一

个进程并迅速确定进程的时间如何被消耗——是处于用户态应用程序中还是处于核心态操作系统内部。

基于以下三种原因之一，NT会在核心态或特权态下运行操作系统代码，我们将仅描述其中的第一种情况，
即用户应用程序发出一个系统调用请求——如打开一个文件、关闭一个文件并释放为其分配的内存、释放
内存、创建一个进程、创建一个线程等等。我们还将介绍第二种情况并在下一节中介绍第三种情况。

换言之，NT在核心态花费时间的第二个原因是由于中断调用使用户程序不能继续运行。中断调用是用户应
用程序发出IO请求所造成的。在接下来的几张幻灯片中我们将会看到一些技术细节，似乎只有NT设备驱动
程序的编写者会对这些内容感兴趣，促使我们深入到这一层次细节的原因是NT计算中断调用时间的方式，
通过性能监视器中两个分开的计数器——一个用于统计中断调用时间的计数器和另一个称为DPC时间百分比
的计数器——可以显示中断调用时间。那么，DPC是什么呢？为了理解这两个计数器，首先我们需要理解DP
C。首先让我们来看一看当一个中断调用产生时将会发生什么。当中断调用产生时，正在运行的线程将被依
次中断。一段NT系统代码将会被运行，以便找到拥有这个中断源的驱动程序，并调用该驱动程序，该驱动程
序完成需要由它完成的工作后，释放中断并返回到正在执行的线程。仅作为一个侧面，由于中断产生时是与
上下文无关的，在通用操作系统及处理中断调用方面，NT被认为是完美快捷的。NT并不切换到某些特殊的中
断处理线程。它仅仅保存当前运行线程的状态，并调用驱动程序来完成工作，之后中断被释放，被中断的线
程重新回到运行状态。由于中断调用可能来源于许多不同的中断源，必须使用一种机制来实现中断的优先提
交，这也正是使用两个不同的计数器——中断调用时间和DPC时间——来监视中断的原因。NT使用32个相关
优先级来实现中断的优先提交和服务。它是一个你永远不会在用户程序中看到的内部编号，同样，你也永远
不会在性能监视器中看到它。它被称为中断请求优先级或IRQL。

 

当一个驱动程序被加载时，它告诉NT自己的中断源和IRQL。请考虑一下。换言之，中断拥有一个相关的优先
权。因此，当一个中断产生时，NT必须查看该中断源的IRQL。如果它的值高于现在正在运行的程序所处的优
先级，那么该中断将得到服务。如果它的值低于或等于现在正在运行的程序所处的优先级，对该中断的处理
将被延迟到高优先级中断源完成工作之后。当一个中断产生时，什么将被阻挡？什么工作将不能在驱动程序
处理中断的过程中发生呢？答案是：其它具有相同或较低优先级的中断以及所有线程的执行。换言之，因为
中断调用总是中断进程活动而无论其具有何等的进程或线程优先级，因此系统中所有的进程活动都将被挂起
。为了使具有高优先级的驱动程序所占用的时间达到最少，NT提供了这样一种方法：驱动程序好像是在说，
我做了应当在这个中断优先级下进行的工作，但是我还有更多工作要做。现在我将释放中断，但请在稍后再
次调用我，以便使我能够完成在高优先级下未能做完的工作。这种操作被称为延迟分配调用(DPC)。延迟分
配调用是驱动程序请求NT稍后再次调用它的一种方法。系统中存在一个用于记录驱动程序回调请求的系统队
列或列表。何时进行回调呢？当没有更高优先级的中断调用需要提交时。请看最后一张幻灯并注意DPC（延迟
分配调用）落入优先级谱系中的什么位置？他们落入优先级2，该优先级低于硬件设备中断但高于常规线程执
行。

一种简单的方法是把中断调用看作两个阶段：第一个阶段处于中断级别，第二个阶段处于DPC级别。在性能
监视器中，DPC和中断调用时间这两个计数器就在你的面前，因为他们就在处理器的缺省CPU时间计数器当中
，这就是我们解释中断提交过程细节的原因，由此，你可以更清楚地理解中断调用时间和DPC时间所代表的内
容。中断调用时间反映了中断过程的第一阶段。DPC时间反映了中断过程的第二阶段。现在，让我们做一个
演示并观察性能监视器中的中断活动。

启动性能监视器。让我们通过单击添加按钮向显示区域中添加中断调用时间和DPC时间。显示区域中出现了
我们刚刚描述的计数器。单击添加。单击关闭。由于性能监视器的缺省刻度范围是0到100，这里只显示了
一些相当小的数字。我将通过单击鼠标右键打开属性对话框，并切换到图表选项卡，将垂直显示的最大值由
100减至10以便易于读取数值。让我们来做一下，现在，我们正通过DPC活动观察中断。红线代表DPC时间，
绿线代表中断调用时间。如果我们快速地来回移动鼠标，象我正在做的这样，注意到绿线出现一些突然的
跃升了吗？它是由移动鼠标产生的中断形成的。现在，DPC时间好像在每秒有规律地发生，这肯定是某些
IO操作的结果。如果见到这种有连续DPC操作不断发生的系统，我们应返回到前面的内容。我们的下一步工
作是找出谁正在执行IO操作。你还记得完成这个工作的工具吗？正是文件监视器。文件监视器将告诉我们哪
个进程产生了稍后将导致DPC的IO操作。在观察中断调用时间活动时需要记住的重点是它不会占用任何线程
或进程，这将引出我们这一节的快速问答。

 

如果系统看上去很慢，但在任务管理器中却并未看到有进程正在运行，正在发生什么呢？一定是中断调用。
使用性能监视器查看每秒的中断数和每秒的DPC数或中断调用时间百分比和DPC时间百分比。再次强调，中断
调用中消耗的时间并不占用线程，因此，没有进程处于运行状态。请观察中断调用时间。

我说过我们将回过头来标识由NT创建并运行于系统中的每个进程，为什么这很重要呢？因为如果某些上下文
正在运行且不是由你所运行的，那么它一定是NT的一部分——某些系统进程。因此，能够标识出所有的系统
进程是在Windows 2000和Windows NT 4.0系统中进行故障诊断或性能分析的另一个重要组成。

现在，我们用来观察系统进程树的工具是在前面曾将介绍过的Tlist/t。同样，Tlist/t将显示进程间的层
次结构。因此，使用该工具，我们可以对进程来源以及进程在树中所处位置进行快速浏览。作为对那一节的
回顾，我将返回命令行方式，执行Tlist/t，并在回顾幻灯时参考这些内容。请观察Tlist/t的输出，系统中
的头两个进程正是我们将要描述的——它们的进程ID是0和8。0号进程是空闲进程。在多处理器系统中，这
个不运行实际程序的进程将为每个CPU分配一个线程。换言之，每个CPU的空闲时间将被分别计算。顺便提一
下，这也是检查你系统中第二、三、四、五个CPU使用效率的一种快速简洁的方法。通过分别观察每个CPU的
空闲时间，可以确定在你的多处理器服务器或工作站中负载分布的均匀程度。空闲进程并不显示为运行。请
记住，在Quick Slice及任务管理器中，空闲进程看起来在被运行，这是因为当时钟间隔时间激发时，没有
线程正在运行，因而时钟间隔被CPU的空闲线程所占用。因此使其看起来像是在运行，但实际上，系统正处
于空闲状态。

第二个进程——8号进程（在NT 4.0中的进程ID为2），是一类称为核心态系统线程的特殊类型线程家族。这
个被称作系统的系统进程，包含了两个版本NT系统中操作系统和一些需要使其自身部分运行于实际线程的设
备的子例程实例。换言之，它们需要与其它一些系统活动并发执行。一些例子可以帮助理解这个概念。

操作系统中几个需要在后台运行的部分——例如交换程序——会运行一个系统线程。当NT认为一个在一段时
间内未运行的进程变为空闲时，若其它进程请求物理内存，它将把该进程的内存空间标记为被清除。那么，
由谁来完成将该进程交换出内存的工作呢？正是交换程序。交换程序是与其它在系统中运行的线程同时运行
着的一个线程。文件服务器是创建系统线程的一个驱动程序。这是一个有趣的例证，在负荷较重的文件服务
器上，作为客户端IO活动的结果而表现为运行状态的进程却由于该文件服务器本身不是一个进程而不表现为
一个服务器进程。要知道，是驱动程序创建和使用系统线程以提供伺服并为远程网络IO请求服务。因此，这
是一个非常重要的监视点，在此，负荷较重的文件服务器将使系统线程得以继续，而因为系统线程主要在被
称作系统的进程中予以披露，故我们需要一些方法来深入而密切地关注系统进程，从而找出到底是什么线程
正在运行着。基于我们已经讲到的内容，如果告诉你系统进程正在运行着，那你又能知道些什么呢？基本来
说，你什么也知道不了。你只知道NT中的某一片段（或许是一个驱动程序）正在运行，但你并不知道它具体
是哪一个片段。

这就将我们带到了下一个演示中：理解系统进程中的哪个线程正在运行，进而知道NT中的哪个驱动程序或片
段创建了该线程。而这却是一个凌乱的处理过程，因为，它需要使用3个工具：性能监视器、进程浏览器和
NT 4.0资源工具包中一个被称为Pstat的工具，该工具并不只存在于Windows 2000资源工具包中，它也是Pla
tform SDK（亦即平台软件开发工具包）的组成部分，且与MSDN（Microsoft开发网络）及其后续版本一并发
布。它也是本次讲座演示文件的组成部分。

我们首先要做的是使用性能监视器找出运行于系统进程中的线程。接着，我们将使用Pviewer来赋予它们那
些我们所感兴趣的线程并找到线程的内存起始地址，内存起始地址是一个代表该系统线程从系统沙箱中何处
开始运行的数字。最后，我们将使用Pstat，该工具提供了一个关于系统沙箱的内存映射并就线程运行于哪
个驱动程序中进行定位，换言之，线程所运行的代码片段是属于哪个驱动程序的。因此，该过程多少有些复
杂，它毕竟使用了3个工具，但还是让我们进行这个演示来看一看它是如何工作的。

首先，我们将回到性能监视器。让我们从一个新图表开始。事实上，由于我们已改变了图表设置，我们将启
动一个新的性能监视器实例。我将单击加号，并向图表中添加系统进程中线程的CPU时间。我转到线程对象
，选中处理器时间百分比，向下滚动到被称作系统的进程，单击第一个线程——线程0，拖曳鼠标，向下滚
动直到将所有系统进程中的线程全部被选中，然后，单击添加。现在，我并没能如愿，因为，在Windows 20
00中仍有另一个进程，该进程中也包含着一些系统线程，它就是CSR访问——一个Windows子系统进程。该进
程是包含部分Windows系统的NT片段。在NT 4.0中，所有的系统线程均存在于系统进程中。在Windows 2000
中，某些系统线程存在于CSR访问进程中，而另一些则存在于被称为系统的进程中。我们单击添加，接着，
单击关闭。

我现在查看30多个零散系统线程的执行情况。让我们快速移动鼠标，可以看到有东西曾运行过。我是如何在
这个由30多个零散计数器组成的列表中找到线程随机内存排列的呢？我将再次打开加亮开关，单击高亮度按
钮，向下滚动屏幕直到随鼠标移动而移动的计数器也被以白色加亮。在显示区域中部有一个绿色凸起。就在
那儿，你们看到了吗？是从绿色变成白色的那个。当我移动鼠标时，在CSR访问中的6号线程看上去正在运行
。第二步是使用Pviewer，该工具存在于支持工具包中，依次单击开始/程序/ Windows 2000支持工具/工具
进程浏览器。选中CSR访问，向下滚动并选中6号线程，我们现在所寻找的信息是线程的起始地址，它位于Pv
iewer显示区域的底部。该地址是线程开始执行的起点。它以十六进制显示，0X在十六进制中代表A000-9CBF
。好的，我们有了一个内存地址。接下来做什么呢？第三步——运行PStat，该工具存在于我们的演示中并
在执行着的PStat尾部。因此，请忽略掉出自线程的所有细节。在PStat显示区域的最后部分是系统沙箱的内
存映射。它列出了每个驱动程序的名字以及在系统内存中的地址。如果我让它到达末端并从后向前看，我将
寻找在线程运行地址处启动的驱动程序。不幸的是，PStat并不显示驱动程序的结束地址，而只提供起始地址
。因此，需要密切关注我们所查看的特定地址编号究竟落在了哪个驱动程序上。我们目前所举的例子非常简
单，因为这里只有一个驱动程序在A00处被调用。如果你查看整个列表，其它任何事件均编有以F、8或B打头
的号码。因此，我立刻就能判断出该线程设备肯定是驱动程序Win32K.SYS中的一个代码片段。它是Win32图
形和窗口操作系统的一个组件。这就有点儿意思了。当你移动鼠标时，你会期望窗口操作系统中的某一片段
能够运行以指示出你正在哪个窗口上移动着鼠标。虽然这只是一个人为例证，但它毕竟演示了使用上述3个
工具（性能监视器、Pviewer和PStat）以深入探究系统进程或CSR访问并找出创建线程的驱动程序的技巧。
这是一个非常重要的技巧，因为，如果系统进程运行在Windows 2000上，则在不找出线程归属于哪个驱动程
序或系统片段的情况下，你将无法对现行状况做出任何判断。如果线程起始地址碰巧落在操作系统映像
（NToss (?)kernel.exe）范围内的话，问题就可能有些复杂了。那么，你又能知道什么呢？你什么都知道
不了。例如，我们来查看一下PStat输出。最靠前的设备驱动程序——它并不是一个真正的驱动程序，而只
是操作系统自身——被在80400000处调用。如果我回到Pviewer并选中系统进程——请注意，不是CSR访问，
而是系统，则该进程中的若干线程均从地址804附近启动。于是，我单击系统，请注意，当我向下滚动第一
套线程时，多数线程的起始地址都在804附近。那么，这又告诉了我们什么呢？它告诉了我们该线程是NT的
一个片段，但并未指明是NT的哪个片段，但有一点可以肯定，该线程是一个NT片段，而非一个驱动程序。如
果你还想再往前走一步的话，这里有一个方法能将内存地址转化为子例程的名字，即通过将操作系统内核映
像标识表格（或调试标识）进行转储的方式来实现，该方法由Windows 2000用户诊测CD提供。这需要使用一
个叫做内核调试器的工具，不过，我将不在本次讲座中予以演示，但如果你想了解执行这一附加步骤的方法
，就请阅读Windows NT第二版（该书在Microsoft出版社网站上免费提供）第二章中关于如何转储Ntoss内核
标识并追踪系统线程地址以得到操作系统子例程名称的有关详细内容。

现在，让我们回过头来完成剩下的系统进程树。请记住，TList/t为我们显示了这个树结构。这张幻灯片恰
恰以图形方式展示了进程间的父子关系。接下来，让我们完成对剩余进程的描述。如果你查看TList/t输出
，会注意到第一个以.EXE结尾的进程是SMSS，它代表会话管理器。这是第一个被创建的进程，并与系统剩余
部分的装载有关。为了让你们能够查看TList/t的输出，我将返回到命令行方式，并键入TList/t。该会话管
理器有两个孩子，即CSR和Winlogin。我们刚刚提及的CSR是窗口操作系统的一个片段，当你看到下一张幻灯
片时，会发现有两条关于为什么运行该进程的附加详细说明。CSR并不是一个频繁运行的进程，它仅为小部
分窗口系统请求而调用。如果你的系统中经常运行CSR访问进程，则可能存在一或两个原因，这也是本子项
目中的最后两部分——对字符应用程序（如命令行方式）进行的窗口管理和运行在终端窗口中的应用程序。
上述应用程序由CSR访问来处理。如果你运行16位的DOS或Windows 3.1应用程序，对该程序的某些支持则包
括在CSR访问中，但是，在常规的NT服务器或Windows 2000　Professional桌面系统中，该进程应是静止的
。现在，让我们返回上一张幻灯片并完成剩余的进程树。

顾名思义，Winlogon是一个登录进程。该进程提供了登录所需的类型控制和输入口令所需的对话框。当你输
入用户名和口令时，Winlogon将其发送给一个叫做LSASS的子进程。如果你执行对服务器或工作站的本地登
录，LSASS进程将在安全数据库（亦即SAM）中查对有关用户名和口令。由于网络登录服务运行在LSASS子进
程内，故如果你正在登录NT 4.0的域帐户，Winlogon会将用户名和口令发送给运行在域控制器上的LSASS子
进程，而上述域控制器则存在于包含着你正在登录的帐号的域中。

现在，让我们回来看TList/t的输出。在显示区域中，我们能看到Winlogon的多少个子进程呢？两个，即服
务控制器和LSASS。让我们谈一谈服务控制器。什么是Windows NT服务呢？一项服务就是服务器应用程序的
一个片段，该应用程序通常被安装在注册表中、并将在系统引导时被服务控制器启动。如果我们转到下一张
幻灯片，将会看到一张关于服务进程层次结构的图片。在一项服务被诸如SQL server或extreme server等服
务器应用程序添加至注册表中的情况下，当系统引导时，服务控制器将在注册表服务数据库中进行搜索，并
创建一个从属图表（因为服务项目之间能够彼此依靠），进而以正确的顺序启动它们。如TList/t输出所示，
服务控制器有许多子进程，这些子进程则代表了可执行程序的映像，而这些可执行程序映像又包含着运行服
务功能的服务器应用程序组件。现在，你将如何查看关于已安装服务的列表呢？我们依次单击开始/设置/控
制面板，并点击Windows 2000中的管理工具，在管理工具中，我们单击服务。目前得到的显示与你从Windows
 NT 4.0中获得的较为相似，并伴有一些附带信息。例如，描述列就是Windows 2000新添的信息。这就提供了
一些额外的描述性文本来解释有关服务正在做着什么。查看关于各项服务部分详细属性的能力也是Windows
2000的新特性。例如，我将向下滚动到脱机打印服务并单击鼠标右键，进而在出现的快显菜单上选择属性项
目，接下来所显示出的属性之一就是可执行程序的路径。为什么说这一点很重要呢？原因就是，服务名并不
总是直接映射到包含构成服务功能代码的可执行文件名上，换言之，如果你正在查看任务管理器并发现有一
个服务进程正在运行着，则该项服务的可执行文件名也许并不能马上告诉你它到底是不是控制面板中所显示
的那项服务功能。

让我们接着看下一张幻灯片，它显示了如何将你在系统中所看到的服务活动映射到在注册表中所定义的服务
活动的途径。好的，我们刚才看到了如何将一个服务映射到可执行文件名的过程，但我们应如何执行这个过
程的逆过程呢？Tlist通过添加一个我们尚未使用过的参数——/s来解决这个问题。该参数所显示的内容是为
那些包含服务的进程而设计的，正如我现在以白色加亮显示的运行于进程中的服务名那样。请注意，某些服
务进程包含着象脱机打印那样的单项服务，而另一些则包含多项服务，而这就意味着在已知这些服务进程正
在运行哪项服务的前提下，仍旧难以解释CPU时间的占用问题，但你毕竟已将该问题收缩到一个更小的范围
内了。请记住，在第三列中所显示的名字并不是你在控制面板中所看到的那些，因为，服务实际上有三个名
字：系统管理员在控制面板中所看到的名字、包含该服务的可执行文件的名字以及注册表中的服务名。Tli
st所显示的是注册中的服务名。因此，如果你进入注册表并查看服务列表（该列表存在于H键本地机当前控
制服务中），那就是你能够按字母顺序查看的注册表键名。在这个注册表键之下，便是你将在控制面板中看
到的显示名称以及可执行文件的名称。因此，有了TList/t这个工具，你将至少能在一定程度上对这些服务
进程中的某一个进程是否正处于运行状态做出判断，而恰恰是一个或多个服务导致了对CPU时间的占用。

我们最后一节的内容涉及在进程崩溃时观察其反常的进程活动。没有人愿意看到应用程序崩溃的情况，但我
相信你们中的所有人至少都看到过屏幕上半部分显示的内容——著名的Dr. Watson程序产生的消息框。现在
，我们所看到的实际上是在Windows 2000中更新过的Dr. Watson消息框，它比NT 4.0中同样的消息框少了一
点信息。Windows NT 4.0在该消息框中显示应用程序崩溃的原因。并且将其标注为Dr. Watson。现在它仅被
标注为应用程序错误并且添加了一些NT 4.0中没有的帮助性文字，主要包括“你需要重新启动程序”这句话
。虽然大多数用户都知道应当这样做，但这个消息框还是更清楚的指明了应用程序的崩溃。你需要重新启动
程序。不幸的是，它依旧没有告诉用户对于应用程序的崩溃可以做些什么。它仅显示了一条产生出来的出错
日志记录。那么，这个出错日志记录在哪里以及针对其做了些什么呢？这正是我们将在这一节中考虑的问题
。

首先，如何导致一个进程崩溃呢？产生一个不可处理的异常，例如引用一个非法的内存地址、或被0除。大多
数Windows NT 4.0和Windows 2000系统被配置为在应用程序出错时运行Dr. Watson。注册表中的AE Debug键
指示了调试器的名称，该键位于软件分支中。如果找到该注册表键，你会发现在大多数情况下它被配置为调
试器Dr. Watson，Dr. Watson并非一个真正的调试器，而只是一个在进程崩溃时产生信息快照的事后工具。
如果你已经安装了Visual Studio或一些其它的开发工具，注册表可能已经被修改，不再使用Dr. Watson，
取而代之，以Visual Studio开发环境为例，当进程崩溃时，你将会看到屏幕下方显示的针对程序员的消息
框，其中包括了有关异常的详细信息并且给程序员一个退出程序或运行调试器的选项。但在大多数情况下，
还是会显示上面的消息框。

一个程序崩溃时会发生什么呢？首先，让我们产生一个这样的情况并看一看它的结果。让我们回到命令行方
式并在演示目录中运行一个将立即导致访问违规的程序，该程序中引用了0地址这样一个非法地址。一个由
Dr. Watson产生的消息框显示出来，并且同时创建了一条出错日志记录，我们还不知道它来自何处，因此，
单击确定。下面，我们将通过交互地运行Dr. Watson工具来确定出错日志记录的位置。我将运行DrWtsn32，
它是组成Dr. Watson工具的程序名称。当交互运行Dr. Watson工具时，它显示一个配置对话框以告诉你日志
文件和故障转储文件的位置，尽管在消息框中没有提到，但可以看出故障转储文件显然是被创建的。Window
s NT 4.0和Windows 2000中的缺省动作是为Dr. Watson创建一个日志文件和一个故障转储文件。其中命名为
user.dmp的故障转储文件包含死亡进程私有内存空间中的内容。日志文件中包含了不知是否对程序员有所帮
助的文本信息。User.dmp文件包含了进程的精确状态。换言之，它包含了进程死亡时沙箱中的脏沙子。转储
文件可被程序员应用于一个称为windbg的工具或Windows调试器中，以便观察进程崩溃时的状态，这将有希
望能够调试或诊断问题。现实中，对于每个崩溃的进程，都应向程序所有者发送一个user.dmp文件。例如，
如果Outlook崩溃了，并且是一个未知的问题，那么应向Microsoft发送一个转储文件。如果是一个第三方软
件，那么应向其厂商发送一个user.dmp文件。转储文件每次使用时都将被覆盖，与此相反，日志文件缺省时
是被追加的。日志文件将保存所有进程崩溃的跟踪信息，不幸的是，user.dmp文件每一次都将被覆盖。因此
，除非使用某些机制或保证用户已被培训为能够定位和重命名文件，否则，只有最近的死亡进程信息将被保
留。

当前所说的不是由系统崩溃产生的NT核心故障转储，而是一个进程崩溃产生的转储文件。不同的工具将用于
观察这两种转储文件。最基本的，如果你的用户遇到了一个Dr. Watson错误或程序错误，某个人应当获取转
储文件并尽快将其转移到他自己的系统中，改变其名称并将其送往厂商。

另一个与系统崩溃有关的工具是作为调试工具的一部分新添加到Windows 2000中的称为增强用户转储工具的
程序。该工具将在从用户诊断CD中安装调试工具时被安装。该工具可以完成而Dr. Watson目前尚不能实现的
功能是，在不影响进程的情况下为一个挂起的正在执行中的进程生成一个user.dmp文件。现在，如果有一个
挂起的程序，并且你唯一的选择是杀死这个进程。这种情况下，也有一种获得内存快照的方法，以使你能够
将其发送给厂商并期望问题得以解决。这种方法是配置成从命令行状态或通过预定义的快捷键（这在不能切
换到命令行状态时非常有用）运行该工具。为了获取更多信息，可以参考Windows 2000调试工具的帮助文件
。

以上是有关理解Windows NT 4.0和Windows 2000系统及进程活动的内容。我希望通过我们已经看到的这些手
头的工具，在系统运行缓慢或不知何故出现故障时，你能够深入到进程或系统活动内部并查明CPU时间究竟
耗费在了什么地方以及为什么会这样。

想要获得更多信息，在TechNet网站上的文章中可以得到大量有关NT故障诊断的信息。当然，Windows 2000的
Microsoft官方课程也很有用。TechNet网站上的Windows 2000技术中心是另一个很好的参考资源。在幻灯片
的下部还有一些关于Window 2000操作系统的有用信息，例如，我的著作“Inside Windows 2000 第二版”、
Windows 2000资源工具包中包含的大量关于NT系统配置的宝贵信息、以及另外一个你可能并未想到要去访问
的网页——硬件开发者网页（microsoft.com/hwdev），该网页包含一些驱动程序编写者感兴趣的NT内部文章
。最后，在sysinternals.com网站上还有一些附加工具和技术信息。

我要感谢Windows NT及Windows 2000开发组的成员以及我的合著者Jamie Hanrahan。前者在我著书及为研讨
会做准备的过程中向我提供了访问源代码的权限；后者则撰写了本次讲座所需的NT内部分类部分。如果你想
要获得更多信息，请访问我们的网站www.salsin.com。编号TNQ 00的讲座到此结束。