system进程（ntoskrnl.exe）持续cpu占用超20%属异常，需通过资源监视器查dpc/中断、powershell定位新驱动、设备管理器禁用/卸载可疑硬件驱动并关闭硬件加速来排查。
Windows 11 中 System 进程（ntoskrnl.exe）持续占用 CPU 超过 20%，风扇狂转、鼠标卡顿、任务管理器刷新延迟，此时不能直接结束该进程，必须通过底层服务与驱动级线索定位真实诱因。
确认 System 进程是否真异常
按下 Ctrl + Shift + Esc 打开任务管理器 → 切换到“进程”选项卡 → 点击“CPU”列标题排序 → 观察“System”行右侧的百分比数值。若长期稳定在 【5%～15%】 属正常范围；若持续高于 25% 且伴随系统响应迟滞，才进入排查流程。
右键“System” → 选择“打开文件所在位置”，系统会提示“无法在此位置显示内容”——这说明它不是普通可执行文件，而是内核映像 ntoskrnl.exe 的运行态表现，真实负载来自其托管的中断、DPC 或驱动行为。
用资源监视器下钻中断与DPC延迟
按下 Win + R → 输入 resmon → 回车启动资源监视器 → 切换到“CPU”选项卡 → 点击右上角“关联的句柄”旁的向下箭头 → 选择“中断和 DPC”。
此时界面会显示两栏：左侧是硬件中断源（如 ACPI, PCI, USB），右侧是延迟过程调用（DPC）占用时间。重点关注“DPC 时间”列中数值 > 50% 的条目——这代表某个驱动正在长时间霸占 CPU 内核，阻止其他线程调度。
若看到“nvlddmkm.sys”（NVIDIA 显卡驱动）、“dxgkrnl.sys”（DirectX 图形内核）或“iaStorAV.sys”（Intel 快速存储驱动）持续高亮，基本可锁定为对应硬件驱动问题。
定位具体驱动模块（PowerShell法）
方法一：查看最近加载的内核驱动
以管理员身份运行 Windows Terminal → 输入命令：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=7045; StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Message -First 5
该命令提取过去 24 小时内所有新服务/驱动安装记录（事件ID 7045），重点检查 Message 字段中带 .sys 后缀的模块名，尤其是非微软签名或版本号含 beta/dev 的驱动。
方法二：扫描高DPC嫌疑驱动
在同一终端中输入：
Get-Counter '\Processor Information(_Total)\DPC Rate' | ForEach-Object {$_.CounterSamples} | Select-Object CookedValue
若返回值持续 > 1000，说明系统正承受严重 DPC 压力。此时立即执行：
driverquery /v /fo csv | findstr /i "pending\|running" > C:\dpc_drivers.csv
该命令导出所有运行中驱动的详细状态，后续可用 Excel 打开，按“Link Date”列倒序排列，优先排查近 7 天内更新或首次启用的驱动。
快速验证与临时缓解
第一步：禁用可疑硬件设备
按下 Win + X → 选择“设备管理器” → 展开“显示适配器”“网络适配器”“通用串行总线控制器” → 对疑似设备（如刚装的新显卡、雷电扩展坞、USB-C 转接器）右键 → 选择“禁用设备”。
第二步：卸载问题驱动（不保留设置）
在设备管理器中右键同一设备 → 选择“属性” → “驱动程序”选项卡 → 点击“卸载设备” → 勾选【删除此设备的驱动程序软件】 → 确认。重启后系统将回退至基础 Microsoft 驱动，可验证 CPU 是否回落。
第三步：关闭硬件加速功能
进入“设置”→“辅助功能”→“图形”→ 关闭“使用硬件加速的图形”开关。该操作可绕过 dxgkrnl.sys 和显卡驱动的部分 DPC 路径，对 Intel 核显及部分 AMD APU 用户效果显著。
