Process Monitor является компактной, и вместе с тем мощной утилитой, не только унаследовавшей всё лучшее из ранее выпущенных программных продуктов от Sysinternals (Filemon – мониторинг файловой системы, Regmon – мониторинг реестра и Process Explorer – отслеживание работы процессов и потоков), но и значительно усовершенствованной, получившей целый ряд улучшений, – полноценный стек потока с поддержкой всех операций, широкие возможности фильтрации, всеобъемлющие свойства событий, одновременную запись данных в файл и многое многое другое. Как пользоваться программой Process Monitor можно узнать здесь.
Программа не требует установки, для работы с утилитой достаточно запустить файл procmon.exe (в архиве).
Версия: Process Monitor 3.82
Дата релиза: 1 июня 2021
Статус программы:
Бесплатная
Данная разработка сочетает в себе все возможности двух ранее приложений от создателей Sysinternal, а именно речь идет про Filemon и Regmon. Были добавлены и некоторые новые фишки, например стоит отметить достаточно расширенную и продуманную фильтрацию, можно просматривать довольно обширные данные событий, можно не только просматривать ID сессий, но и имена пользователей. Microsoft Process Monitor покажет также достоверную информацию о всех процессах, имеется и обширный стек потока которые имеет встроенную поддержку всех проводимых операций, присутствует и одновременная запись информации в файлы и большое количество прочих плюсов. Таким образом, по словам разработчиков, данный продукт можно назвать ключевым для устранения разного рода неполадок и избавления пользователей от вредоносных программ.
Microsoft Process Monitor не требует установки, весит крайне мало, не нагружает систему, может запускаться с любого носителя, имеется и простой пользовательский интерфейс, все предельно ясно и понятно сразу после начала работы. Русской поддержки нет, но надеюсь проблем не возникнет у вас с этим делом, по сути там разбираться не в чем. В общем если будут какие-то вопросы, дополнения, может минусы какие-то известны, не забываем по этому делу отписываться в комментариях. Мне остается надеяться, что Microsoft Process Monitor пригодится вам в работе и теперь работать с процессами станет проще.
Забыл дописать, что программа прекрасно работает с Windows 2000 SP4, поддержка Windows XP тоже имеется, а еще Windows Server 2003, Vista и 7, x64 поддержка тоже присутствует, в общем думаю запуститься у всех. Теперь точно все, обзор можно считать завершенным, всем приятного дня.
Пароль на все архивы: rsload
В нашей базе содержится 1385 разных файлов с именем monitor.exe . You can also check most distributed file variants with name monitor.exe. Чаще всего эти файлы принадлежат продукту Advanced SystemCare 6 . Наиболее частый разработчик – компания IObit. Самое частое описание этих файлов – Advanced SystemCare 6 Monitor. Совокупная оценка – 5() (комментариев: ).Это исполняемый файл. Вы можете найти его выполняющимся в диспетчере задач как процесс monitor.exe.
Подробности о наиболее часто используемом файле с именем “monitor. exe”
Процесс “monitor. exe” безопасный или опасный?
100% файлов помечены как .
Последний новый вариант файла “monitor.exe” был обнаружен 3676 дн. назад. В нашей базе содержится 252 шт. вариантов файла “monitor.exe” с окончательной оценкой и 4 шт. вариантов с окончательной оценкой . Окончательные оценки основаны на комментариях, дате обнаружения, частоте инцидентов и результатах антивирусных проверок.
Для добавления комментария требуется дополнительная информация об этом файле. Если вам известны размер, контрольные суммы md5/sha1/sha256 или другие атрибуты файла, который вы хотите прокомментировать, то вы можете воспользоваться расширенным поиском на главной странице .
Если подробности о файле вам неизвестны, вы можете быстро проверить этот файл с помощью нашей бесплатной утилиты. Загрузить System Explorer.
Проверьте свой ПК с помощью нашей бесплатной программы
AMD System Monitor — функциональное программное обеспечение, предназначенное для контроля работы процессора. Утилита функционирует в фоновом режиме. В результате происходит измерение нагрузки на видеокарту и процессор AMD, и пользователь получает всю техническую информацию о них: частота, скорость, температура.
С софтом разберется любой пользователь благодаря простому интерфейсу. Все полученную информацию программа выводит в форме отчета с графиками и диаграммами. Приложение отличается быстрой работой. Это набор инструментов, который мониторит оперативную память, графический адаптер, процессор.
AMD System Monitor скачать бесплатно
AMD System Monitor – о мощный инструмент, позволяющий в реальном времени отслеживать и измерять нагрузку на процессор и видеокарту в системах производства фирмы AMD. Работает в фоне, своевременно уведомляет пользователя о состоянии CPU и GPU, покажет скорость работы, частоту, температуру, нагрузку на системные ресурсы.
Софт обладает приятным интерфейсом, разобраться в том, как следить и контролировать поведение конкретного оборудования, сможет каждый. Предоставляет отчет об использовании памяти и чипсета, показывает детальные графики, диаграммы. Данная программа практически не занимает места на компьютере, стабильно и быстро функционирует.
AMD System Monitor для Windows 7 (32/64 bit)
AMD System Monitor для Windows 7 — полезная утилита, позволяющая следить за загрузкой оперативной памяти, процессора и видеокарты. Она работает на известной операционной системе, мониторит комплектующие от разных разработчиков. Программа поддерживает новые графические элементы, предоставляет полную информацию о работе компонентов. Она имеет три рабочих панели, повышает производительность персонального компьютера и оптимизирует устройство.
- Лицензия: Бесплатная
- Разработчик: Advanced Micro Devices, Inc.
- Языки: русский, украинский, английский
- Устройства: пк, нетбук или ноутбук (Acer, ASUS, DELL, Lenovo, Samsung, Toshiba, HP, MSI)
- ОС: Windows 7 Максимальная, Домашняя Базовая, Начальная, Профессиональная, Корпоративная, Home Basic, Ultimate
- Разрядность: 32 bit, 64 bit, x86
- Версия: последняя 2022, без вирусов
Аналоги AMD System Monitor
- PTGui
- FL Studio
- Medieval CUE Splitter
- HP USB Disk Storage Format Tool
- Ezvid
- Gyazo
- PRO100
- Free Sound Recorder
- MKVToolnix
- RegClean Pro
- WinDirStat
- Offline Explorer
- WinGate
- Kaspersky Cleaner
- TagScanner
Несмотря на отсутствие русского интерфейса Process Monitor, найти то что нужно, используя эту утилиту, не составит особого труда, а всё благодаря простой и интуитивно понятной системе фильтрации.
Далее рассмотрим работу программы (как работают фильтры в Process Monitor) на примере.
Допустим, что нам требуется узнать о том, что делает то или иное приложение на нашем компьютере, к примеру браузер Google Chrome.
Для начала нам необходимо знать имя исследуемого процесса, в нашем примере это chrome.exe. Дальше алгоритм действий следующий: используя контекстное меню программы (Filter) или сочетание клавиш (Ctrl+L) открываем Process Monitor Filter (окно на скриншоте ниже).
Здесь мы видим, что по умолчанию в программе уже задействован ряд фильтров, исключающих из общего списка (отображены в главном окне программы) различного рода системные процессы, в которых нет необходимости для анализа априори.
В примере мы создадим свой собственный фильтр (по имени процесса) с целью найти и отследить только то, что касается браузера Google Chrome (файлы, записи в системном реестре, сетевая активность и т.д.).
В первом выпадающем списке выбираем «Process Name» (по умолчанию там «Architecture»).
Во втором случае оставляем «is», т.е. мы включаем значение в поиск, а далее выбираем сам процесс «chrome.exe», при условии, что браузер уже запущен (если мы ходим отследить, что делает та или иная программа до запуска, то название процесса в это поле необходимо вводить вручную).
В четвёртом поле также оставляем значение по умолчанию «Include» (это позволит отображать в общем потоке, только интересующий нас процесс). Для добавления фильтра нажимаем «Add».
Нажимаем «Apply» и «OK».
И сразу же видим всю детальную информацию именно по процессу «chrome.exe»: ID процесса, потока, обращения к файлам, системному реестру Windows и т.д.
Если у вас имеются вопросы, или возникли проблемы в процессе работы с Process Monitor, то рекомендуем посетить официальный форум разработчика (Sysinternals), посвященный этой программе.
А вдруг и это будет интересно
Поясним назначение кнопок, размещенных на панели инструментов интерфейса утилиты Process Monitor:
Изучение события
Вся информация, коллекционируемая утилитой Process Monitor в процессе записи событий, представляется в виде огромной таблицы, каждая строка которой отражает лишь обобщенное описание определенного произошедшего события. Ну и что, как Вы думаете, достаточно ли этой информации, представленной в главном экране утилиты в виде ограниченных сведений, разнесенных на несколько колонок? Иногда да, но зачастую и нет! Надо отдать должное авторам Process Monitor’a за то, что они предусмотрели логику более детального исследования записываемых событий. Давайте выполним двойной щелчок на строке события, и посмотрим что же произойдет? После выполнения двойного щелчка открывается отдельное окно, имеющее следующий вид:
Во вкладке Event (Событие), мы видим общую информацию об интересующем нас событии. В общем то, именно эта вкладка не представляет для исследователя большой ценности, поскольку содержит информацию, которую можно получить в интерфейсе утилиты другими способами. Но вот две оставшиеся вкладки окна определенно могут нас заинтересовать. Средняя вкладка называется Process (Процесс) и выглядит следующим образом:
Как мы видим, в этой вкладке можно обнаружить хорошо знакомую нам по отладчику WinDbg, классическую цепочку вызовов функций, называемую стеком вызовов. Во-первых, она позволяет отследить последовательность вызовов функций с момента начала выполнения стартовой функции потока. Во-вторых, по последовательности вызовов функций можно определить к каким модулям (библиотекам) эти функции принадлежат, тем самым выявив и системные компоненты, которые либо требуют обновления, либо вообще не должны применяться в данном модуле (например: вирусы).
Сценарии использования
Некоторые замечания по статусам программы Process Monitor:
- Событие, в поле операции которого стоит Load Image (Загрузка образа) помогает при диагностике проблем запуска программы. Если программа по каким то причинам не запускается, то ищем в общем списке событие с операцией Load Image и смотрим списки DLL, которые загружаются (описаны своими событиями) непосредственно за событием загрузки образа. Если вспомнить алгоритм загрузки образа, то мы поймем, что обычно за операцией Load Image следуют события поиска необходимых DLL библиотек. Дело в том, что загрузчик Windows готовит адресное пространство процесса, проецируя в него все необходимые программе библиотеки и производя неявное связывание на начальном этапе. Если в какой то из необходимых основной программе библиотек DLL произошла ошибка загрузки её образа, то очевидно, что загрузчик Windows не сможет запустить и основную программу. Событие загрузки образа фиксируется со статусом “отказано в доступе” (ACCESS DENIED);
- Статусы, на которые стоит обращать внимание в первую очередь: ACCESS DENIED, SHARING VIOLATION, NAME NOT FOUND (с последним имеются исключения). Статус NAME NOT FOUND в большинстве случаев достаточно типовой статус завершения, не стоит так уж прям преувеличивать его значимость и считать виновником всех бед. Зачастую статус высвечивается в случае, когда приложение проверяет наличие файла или ключа реестра (содержащих конфигурацию программы), и по результатам этой проверки выполняет тот или иной код, то есть производит логическое ветвление в зависимости от результата запроса. Программа может и не найти ключ реестра, содержащий собственную конфигурации, и в таких случаях мы увидим все тот же статус NAME NOT FOUND. Одним словом, статус NAME NOT FOUND должен рассматриваться в контексте приведшего к нему события.
- Для определения виновника чрезмерной нагрузки на дисковую подсистему: запускаем Procmon, создаем фильтр с настройками – – C: (хотя тут может быть указан любой интересующий логический диск) и нажимаем OK. Затем, после непродолжительного сбора данных (~одна минута) идем в меню и выбираем пункт Process Activity Summary. В открывшемся окне сортируем по колонке File Events и получаем в вверху списка имена процессов, активно работающих с файловой системой. Затем, чтобы узнать какие именно файлы участвуют в интенсивном обмене данными, можно выбрать меню и пункт , и в открывшемся окне наблюдать список файлов, задействованных в дисковых операциях. Вывод автоматически сортируется по колонке Total Events, поэтому в верхней части списка мы наблюдаем наиболее интенсивно используемые в операциях дискового ввода-вывода файлы.
Поиск по событиям
Фильтрация результатов это превосходно! Фильтр позволяет нам гибко манипулировать выборкой из общего потока событий, однако, в большинстве случаев достаточно сложно сформировать условия, при которых диапазон отфильтровываемых событий сужался бы до какого-то приемлемого минимума. Результатов все-равно бывает много, да и в области отфильтрованных строк иногда требуется найти внезапно обнаруженную константу. Иногда бывает полезным найти какое-либо ключевое слово во всем объеме захваченной информации без понимания, в каком именно столбце оно может располагаться, поэтому создание фильтра оказывается проблематичным. Эти и многие другие рабочие моменты говорят в пользу использования традиционного, хорошо знакомого всем с детства поиска. Вызывается окно поиска комбинацией клавиш Ctrl+F или проходом по меню Edit – Find:
Будет отображено уже знакомое по другим продуктам Microsoft окно поиска. Поиск осуществляется по значениям всех без исключения полей вывода главного окна Process Monitor и при обнаружении первого попавшегося совпадения, утилита пролистывает экран до найденного значения и маркирует целиком всю строку с обнаруженным ключевым фрагментом синим цветом.
Детали событий
Process Monitor получает от различных компонентов операционной системы достаточно большое количество дополнительной информации. Все они отображаются в столбце Detail. Большинство из них чисто информативные, поэтому обычно пропускаются при анализе. Тут можно встретить запрашиваемый уровень доступа для операции, подробности запросов функций, дополнительные параметры некоторых функций, имена пакетов драйверов и прочее
Интерфейс
Поскольку Process Monitor использует собственный драйвер, для запуска ей требуются права локального администратора.
В случае запуска Process Monitor с установленными в предыдущих сеансах работы фильтрами, программа открывает окно настройки фильтров (Filter). Делается это для того, чтобы пользователь смог, при желании, модифицировать фильтры перед началом процедуры сбора данных.
Интерфейс программы Process Monitor чрезвычайно прост и по умолчанию выглядит следующим образом:
Согласитесь, всё гениальное действительно просто. Простота интерфейса обуславливает интуитивность восприятия происходящего в системе. Непосредственно после запуска Process Monitor сразу же начинает захватывать события, происходящие в операционной системе, производится мониторинг основных компонентов, таких как: файловая система, реестр, сеть, активность процессов/потоков. После захвата события, не попавшие под фильтр, выводятся в хронологическом порядке в главное окно приложения. Причем пользователь наблюдает такое огромное количество данных, которое просто по первости может запросто обескуражить, вся эта тонна данных мгновенно переполняет основное окно программы и устремляется за её пределы, о чем красноречиво говорит стремительно уменьшающийся боковой ползунок прокрутки. Каждая выводимая таким образом строка представляет собой событие, произошедшее в системе, видимое и захваченное драйвером Process Monitor и не попавшее под правила фильтрации. Основной массив информации отформатирован в виде таблицы, соответственно каждая строка поделена на некоторое количество столбцов, состав и расположение которых может быть изменен через настройки программы. В конфигурации по-умолчанию используются следующие столбцы:
Поле результата операции (Result) является одним из ключевых и требует дополнительного пояснения:
* – цветом я попытался отметить те результаты, которые могут являться значимыми для поиска проблем, но всё достаточно условно и присутствие некоторых результатов может не указывать на ошибку, все требуется рассматривать в контексте происходящего и окружающих событий.
Вновь фиксируемые события добавляются в конец списка событий в хронологическом порядке, и, соответственно, если событий много, то они мгновенно выходят за границы активного окна. Таким образом, при базовых настройках интерфейса информация в окне остается статической и отражает только события, захваченные первыми, последние события пишутся в конец списка и об изменении общей его длины говорит лишь изменяющийся размер бокового курсора прокрутки. Однако подобное поведение программы можно изменить, включив автопрокрутку (Autoscroll) списка событий через включение соответствующей опции, либо посредством нажатия сочетания клавиш Ctrl+A. В этом случае список событий будет непрерывно скроллироваться вверх, показывая поступающие последними системные события в реальном режиме времени.
Фильтрация событий
Как уже отмечалось, количество событий, происходящих (генерируемых различными компонентами) в системе, довольно велико. Число событий, которые “видит” Process Monitor меньше, но не намного. Возникает резонный вопрос, а все ли события нам необходимы? Ответ очевиден. Большинство событий, которые отображаются в главном окне программы совершенно излишни в контексте тех или иных узкоспециализированных пользовательских задач. Ну не нужно пользователю видеть события загрузки образа внезапно стартовавшей программы обновления, в то время как он занят изучением ключей реестра, хранящих конфигурацию интересующей его программы. Именно с целью скрыть ненужные события, у Process Monitor имеются гибкие и мощные средства фильтрации. Фильтр позволяет скрывать лишние события, тем самым ограничивая количество отображаемых элементов и сужая область поиска проблемы.
Фильтрацией можно скрыть событие, то есть выключить его отображение. Однако записываться будут все события, и Вы можете в любой момент посмотреть отфильтрованные (скрытые) события отключением (сбросом) фильтра.
Поскольку фильтрация является одним из ключевых элементов Procmon, возможности её в данной программе очень хорошо проработаны. Фильтровать события можно используя любые доступные программе атрибуты событий. Отфильтровывать события в Process Monitor можно несколькими способами:
Фильтрация по классу
Это самая общая, можно сказать грубая фильтрация событий, позволяющая исключить из вывода сразу целый класс событий: реестр, файловая система, сеть, активность процессов/потоков, события профилирования. Настройка фильтрации по классу событий представлена пятью кнопками в правой части панели инструментов:
Соответственно, в тот момент, когда какая-либо из перечисленных кнопок класса деактивируется (отжимается) пользователем на панели команд, в общий набор фильтров добавляется соответствующий фильтр с предписанием Exclude (Исключить), скрывающий из вывода все события данного класса.
Меню Filter
Какие бы из типов фильтров не применялись в Process Monitor, все они доступны через меню Filter и подпункт Filter. Это полный (общий) набор параметров фильтрации и представлен он в следующем виде:
Это же окно настроек фильтров может быть быстро вызвано и другими способами: нажатием комбинации клавиш Ctrl+L либо кликом по кнопке Filter на панели инструментов. Окно настроек фильтра предоставляет пользователю достаточно богатые возможности по маскированию событий системы. Окно Process Monitor Filter разделено условно на две части: в верхней представлены элементы интерфейса для добавления фильтра, в нижней присутствует список уже примененных к стандартному выводу фильтров. Фильтр добавляется методом прохода слева направо по всем атрибутам, которые, в свою очередь, представлены ниспадающими списками. Некоторые атрибуты между собой связаны, то есть выбор атрибута из одного списка может повлечь за собой автоматическое выставление значения в других списках. В некоторых полях можно производить редактирование значения. После завершения формирования, для добавления фильтра необходимо нажать кнопку Add, она производит добавление новых параметров фильтрации к фильтрам, представленным в нижней области окна.
Для редактирования правил выбранного фильтра, просто щелкните дважды по соответствующей строке, описывающей фильтр, в нижней части окна. Тем самым Вы переместите параметры в верхнюю часть (заполнятся соответствующие условия), где сможете их отредактировать и повторным нажатием кнопки Add завершить редактирование фильтра, вновь переместив его в нижнюю часть окна, к списку активных фильтров. Удалить фильтр можно кнопкой Remove. После окончания редактирования фильтров их можно ввести в действие (активировать) нажатием кнопки OK или Apply. Для восстановления настроек фильтров по умолчанию, в начальное состояние, которое присутствовало при первом запуске программы, нажмите кнопку Reset.
Как Вы могли заметить, по умолчанию в списке предопределенных фильтров имеется набор правил типа Exclude (Исключить). Эти правила служат для маскирования событий, которые, по мнению авторов, являются событиями активности тех компонентов операционной системы, которые, в большинстве сценариев, не несут полезной информации для устранения неполадок приложений. Здесь можно встретить исключения для: процессов утилит Procmon (Process Monitor), Procexp (Process Explorer), Autoruns, системных процессов, низкоуровневых запросов ввода-вывода драйверов Windows IRP_MJ, низкоуровневых операций FAST_IO, событий трассировки, событий файла подкачки , событий работы диспетчера NTFS с метаданными.
Быстрый фильтр
Можно применить так называемый “быстрый фильтр” для некоторых параметров событий, отображаемых в главном окне. Активируется он нажатием правой кнопки мыши на событии в главном окне программы:
Фильтрация по владельцу окна
В дополнение к основным вариантам фильтрации, в утилите Procmon имеется возможность отфильтровать события по описателю (идентификатору) окна приложения. Это достаточно удобная функциональная особенность, поскольку она предоставляет пользователю возможность посмотреть события процесса, окно которого появляется на рабочем столе. Для задействования данного функционала на панели инструментов найдите значок прицела:
Перетащите его на интересующее Вас окно и Procmon создаст соответствующий фильтр на процесс, являющееся владельцем выбранного окна, соответственно изменив вывод в главном окне.
Подсветка событий
В дополнение к фильтрам, в Procmon присутствует возможность маркировать события, выделяя их цветом. Тогда как фильтрация скрывает лишние события из вывода, то подсветка просто-напросто выделяет необходимые события в списке. Напрямую, вроде как, не относится к фильтрам, поскольку не скрывает события, а всего-лишь маркирует их другим цветом в списке. Вызвать окно настройки подсветки Process Monitor можно либо нажатием комбинации клавиш Ctrl+H или щелчком по соответствующему значку на панели задач. Выглядит оно следующим образом:
Как Вы видите, оно идентично окну настройки фильтров, за исключением того, что по умолчанию не имеет никаких установок, то есть подсветка полностью отключена. Алгоритм настройки параметров подсветки и выборки результатов окна Highlighting во многом схожи с аналогичными в окне Filter.
Горячие клавиши
Ctrl+E
активация/останов записи событий.
Ctrl+X
очистка журнала захваченных событий.
Ctrl+A
включение/отключение автопрокрутки событий.
Ctrl+F
поиск события среди всех захваченных событий.
Ctrl+C
копирование выделенного события в виде строки текста с разделителями.
Ctrl+L
открытие окна настройки фильтров.
Ctrl+R
сброс фильтра в настройки по умолчанию.
Ctrl+H
открытие окна подсветки.
Ctrl+T
открытие дерева процессов.
Как это работает
В процессе наблюдения за активностью Process Monitor была выявлена интересная особенность, оказывается программа использует собственный драйвер режима ядра (а как же подпись? а подпись от Symantec). В 32-разрядной системе Process Monitor использует 32-битный драйвер-фильтр под названием как в процессе работы непосредственно исполняемого образа, так и на этапе загрузки операционной системы (при включении опции Enable Boot Logging). Но ведь кроме самого исполняемого образа в рабочей директории приложения нет никаких других бинарных файлов? Дело в том, что драйвер упакован в тело главного исполняемого модуля . При помощи любого средства работы с ресурсами PE-файлов можно удостовериться в том, что драйвер содержится внутри исполняемого файла в ресурсе RCDRIVERNT директории BINRES секции ресурсов, то есть является частью основного файла:
В 64-разрядной системе Process Monitor при запуске распаковывает во временную директорию скрытый файл с именем . Образ содержится в ресурсе 1308 директории BINRES внутри ресурсной секции основного файла . А вот уже в самом , в секции BINRES ресурсной секции содержится 64-битный драйвер, который используется в процессе работы.
Драйвер может работать и как драйвер режима загрузки. Когда пользователь активирует опцию Enable Boot Logging, Process Monitor копирует драйвер в папку и прописывает его в разделе реестра со значением параметра Start = 0, что говорит о том, что драйвер будет загружен на стадии выполнения Winload.exe при загрузке операционной системы.
Похоже, через этот драйвер-фильтр проходят все события, отслеживаемые Process Monitor. В дополнение к этому, Process Monitor использует технологию (ETW, Event Tracing for Windows), как минимум для наблюдения за событиями сетевой активности. Не совсем пока ясно, тот же драйвер используется в качестве контроллера и получателя для ETW или же сам исполняемый модуль? Напомню, что ETW это своеобразная расширяемая система журналирования, встроенная в систему Windows, реализованная на уровне ядра и позволяющая (по запросу) собирать события от приложений пользовательского режима и модулей режима ядра. А как мы знаем, практически во все компоненты операционной системы включена возможность отслеживания выполняемых операций. Понятное дело, что функционал ETW значительно шире, он предоставляет обширнейшую информацию по функционированию: переключение контекста, статистика по прерываниям, отложенные вызовы процедур (DPC), процедуры обработки прерываний (ISR), создание и уничтожение процессов и потоков, дисковый ввод-вывод, ошибки страниц, переходы процессора между режимами в рабочем состоянии (p-state), операции с реестром, и многое другое.
Диагностика этапа загрузки
Довольно часто встречаются ситуации, когда проблемы у операционной системы начинаются задолго до прорисовки интерфейса пользователя, уже на этапах загрузки. Для диагностирования подобных сбоев в сети имеется некоторое количество специализированного инструментария, такого например, как xbootmgr/xperf. Удачно вписывается в этот ряд и утилита Process Monitor. Procmon записывает события всех исполняющихся на стадиях загрузки процессов, с помощью драйвера этапа загрузки под названием (имя может меняться от версии к версии), который был описан в начале статьи. К сожалению, драйвер стартует на этапе работы модуля Winload.exe, что препятствует фиксированию более раннего этапа Bootmgr, однако, в большинстве случаев, на эту мелочь можно закрыть глаза. Включение логирования процесса загрузки активируется через опцию Enable Boot Logging меню .
В дополнение к активации механизма, Procmon предлагает включить профилирование потоков через равные промежутки времени. Это немаловажно, потому что в большинстве случаев проблемы загрузки связаны с медленной работой определенных процессов. Именно с целью отследить подобные “тормозящие” процессы включается профилирование, которое позволяет создавать эдакие снимки активности потоков внутри процесса (стек вызовов и прочие данные) через равные промежутки времени. В итоге, записываемая информация помогает понять на какие именно операции поток тратит процессорное время.
После включения опции Enable Boot Logging можно перезагружать операционную систему. После завершения загрузки запускаем утилиту Process Monitor для сохранения лог-файлов процесса загрузки и видим следующее диалоговое окно:
В котором нам предлагается сохранить события процесса загрузки в отдельный лог-файл с расширением . В зависимости от объема информации, лог-файл может быть сохранен как в едином файле, так и разбит на серию файлов примерно равного размера.
Объем информации, записываемой драйвером Process Monitor на стадиях загрузки, для “средненабитой” 🙂 операционной системы Windows 7 SP1 x64, достаточно велик. Типичный размер со включенным профилированием потоков может превышать 1500 мегабайт.
После сохранения лог-файлов активности этапа загрузки, впоследствии можно будет проанализировать их, открыв в программе Process Monitor либо двойным щелчком по .pml-файлу, либо открыв его непосредственно через меню – . Тем не менее тут есть один нюанс, если файл или набор файлов журнала процесса загрузки слишком большой, и утилита не может найти достаточного пространства в файле подкачки либо виртуальном пространстве процесса для создания буфера, то выдается ошибка “Unable to open Bootlog.pml for reading .. “. Я лично решил её временным включением файла подкачки, который у меня, традиционно, отключен вообще.
