windows无独立“资源调度策略”日志，但可通过安全日志（如事件id 4719、4670）、性能监视器（processor\% processor time等计数器）、etw跟踪（cswitch、readythread）及任务管理器/powershell快照，间接分析调度行为与异常。
windows 没有专门名为“资源调度策略”的独立日志类别，所谓资源调度（如 cpu 时间片分配、内存优先级、进程抢占、线程调度等）属于内核底层行为，默认不记录详细调度决策过程。但可通过组合使用系统日志、性能数据和事件跟踪技术，间接还原调度相关行为与异常趋势。
安全日志中可识别的调度相关操作
虽然内核调度器本身不写入安全日志，但部分影响调度结果的高权限变更会留下审计痕迹：
- 启用或禁用“处理器资源管理”组策略（如“限制后台服务的 CPU 使用率”）会触发事件 ID 4719（审核策略更改），来源为 Microsoft-Windows-Security-Auditing
- 修改进程优先级（如通过 taskmgr 或 start /high）若涉及“调整进程内存”特权，可能生成事件 ID 4670（权限更改）或 4672（特权使用）
- 服务启动/停止（如 Windows Process Activation Service）在系统日志中对应事件 ID 7036，间接反映资源承载变化
性能监视器（PerfMon）追踪资源占用趋势
这是最实用、最直接的方式，用于观察调度效果而非调度动作本身：
- 关键计数器包括：Processor\% Processor Time、Process(*)\% Processor Time、Memory\Available MBytes、Thread(*)\Thread State
- 创建“数据收集器集”，导出为 .blg 或 .csv，支持按时间轴比对不同进程的 CPU 占用峰值与调度延迟
- 若发现某进程长期处于“Ready”状态（Thread State = 5），说明其被频繁抢占或 CPU 资源不足，是调度瓶颈的典型信号
ETW（事件跟踪 for Windows）捕获底层调度事件
需主动启用，适合深度排查：
- 使用 logman start 启动内核提供程序：
Kernel Trace或CSwitch（上下文切换）、ReadyThread、Dispatcher - 生成的 .etl 文件可用 Windows Performance Analyzer（WPA）打开，可视化展示线程就绪队列、CPU 核心负载分布、DPC/ISR 延迟等
- 注意：ETW 采集开销较低，但需管理员权限；生产环境建议仅在问题复现时段短时启用
补充验证：任务管理器与 PowerShell 实时快照
作为轻量级辅助手段，快速定位当前调度异常：
- 任务管理器 → “详细信息”页 → 右键列标题 → 勾选“CPU 时间”“响应时间”“线程数”，观察是否存在单线程长时间霸占 CPU 或大量线程等待唤醒
- PowerShell 命令：
Get-Process | Sort-Object CPU -Descending | Select-Object Name, CPU, StartTime, Responding，结合Get-Counter '\Process(*)\% Processor Time'查看实时占比 - 若发现 svchost.exe 或 rundll32.exe 占用异常，可进一步用
Get-Process -Id xxx | Select-Object -ExpandProperty Threads分析其线程状态
不复杂但容易忽略：调度行为本身不可见，但它的“结果”——CPU 利用率失衡、进程响应延迟、线程阻塞堆积——全都能被上述方式捕捉。关键是根据问题现象选择合适层级的工具，而不是寻找不存在的“调度日志”。
