process monitor 能实时记录进程的文件、注册表、进程和线程活动。排查“找不到文件”或“权限不足”时，应先按目标进程过滤，再关注 createfile、readfile 等操作的 path 和 result。procmon 事件量很大，复现前清空旧记录并缩短采集时间，才能避免把无关访问当作故障。
按进程名和文件操作建立过滤
以管理员身份运行 Process Monitor，按 Ctrl+L 打开 Filter。添加 Process Name is 目标程序.exe then Include，必要时再按 Operation is CreateFile 或 ReadFile 缩小范围。应用过滤后点击橡皮擦图标清空现有事件，确认工具栏只保留文件系统活动。
复现错误并查看 Path 与 Result
重新开始捕获，只执行一次能触发问题的操作，然后立即停止。按时间找到对应事件，重点查看 Path、Result 和 Detail；NAME NOT FOUND 表示名称不存在，PATH NOT FOUND 表示上级路径缺失，ACCESS DENIED 表示访问被拒绝。程序正常探测不存在路径也会产生失败结果，必须与界面报错时刻对应。
打开事件属性核对访问方式
双击可疑事件，在 Event 页核对进程、线程、操作、完整路径和持续时间，再到 Detail 查看 Desired Access、Disposition、Options 与 ShareMode。把相关事件保存为 PML 以便复查。修改权限前先确认真正缺少的是文件、目录还是访问权，不要给整个磁盘授予 Everyone 完全控制。
