应先用资源监视器（resmon.exe）展开system进程i/o线程定位路径，再用wpr捕获etw日志并用wpa分析调用栈，重点排查ntoskrnl、storport、ci.dll等内核模块异常；禁用sysmain后再抓日志，避免prefetch噪声干扰。
定位System进程高磁盘占用的源头
Win11开机后System进程持续占满磁盘（100%），不是硬盘故障信号，而是内核级服务在后台疯狂读写——比如SysMain预加载、Windows Search索引重建、或TPM固件更新卡在中间状态。不先锁定具体模块，直接杀进程或禁服务会触发系统不稳定甚至蓝屏。
这一步操作起来很简单，直接把文件拖进去就行：按 Win+R 输入 resmon.exe → 回车打开资源监视器 → 切换到「磁盘」选项卡 → 在「磁盘活动」列表里找到 System 进程 → 点击右侧下拉箭头展开其所有活跃I/O线程。
重点看「路径」列：如果大量请求指向 C:\Windows\Prefetch 或 C:\Windows\Temp，说明是预加载机制失控；若集中于 C:\Program Files\Windows Defender，则是Defender实时扫描与启动冲突；若路径含 TPMBaseServices 或 WdiServiceHost，大概率是TPM固件升级被中断，必须用ETW抓取完整链路。
用Windows Performance Recorder捕获System进程ETW日志
别用ProcMon——它无法捕获内核态驱动层的I/O调度行为，而System进程的磁盘风暴90%发生在内核。必须用微软官方工具WPR，它调用ETW内核提供者，能精确到每个IRP（I/O Request Packet）的发起者、耗时、完成状态。
方法一：命令行快速捕获（推荐）
以管理员身份运行PowerShell → 执行：wpr -start DiskIO -start CPU -start Memory -fileMode
等磁盘占用飙到100%并稳定30秒后 → 执行：wpr -stop C:\SystemDiskTrace.etl
方法二：图形界面精准控制
下载并安装Windows SDK（含WPR GUI）→ 运行 Windows Performance Recorder → 点击「Add Profile」→ 勾选 Disk I/O、Kernel Trace、Registry → 在「Profile Options」中将「Max File Size」设为 2048 MB（避免因日志截断丢失关键上下文）→ 点击「Start」→ 复现问题 → 点击「Stop」保存为.etl文件。
yuanfang-skills 的共享设计系统，提供 token CSS 变量、12+ 主题以及可复用的布局类型 HTML 块，供 yuanfang-html-image（以及 fu...）使用。
【必须关闭SysMain服务再启动WPR，否则日志会被预加载噪声淹没】 否则你看到的全是无意义的Prefetch读取，根本找不到真实罪魁。
用Windows Performance Analyzer分析ETW日志
第一步：加载ETL文件
运行 Windows Performance Analyzer → File → Open → 选择刚才生成的 C:\SystemDiskTrace.etl → 等待解析完成（通常需1～3分钟）。
第二步：过滤System进程I/O事件
在左侧「Graph Explorer」中展开「Disk» Disk I/O Activity» Stack» Process Name」→ 右键点击 System → 「Group By» Stack» Module» Function」→ 此时右侧图表会显示所有导致磁盘读写的内核函数调用栈。
第三步：定位根因模块
重点关注以下三类函数名：
• ntoskrnl.exe!NtReadFile + fltmgr.sys!FltDecodeParameters：文件系统过滤驱动异常（如某杀软钩子损坏）；
• storport.sys!SpStartIo + nvme.sys!NvmeSendAdminCommand：NVMe控制器固件响应超时；
• ci.dll!CiValidateImageHeader + wininit.exe!SmpInitialize：代码完整性服务反复校验系统镜像，常见于Secure Boot策略变更后未重启生效。
看到任意一条调用栈中出现 ci.dll 或 wininit.exe 且耗时 >500ms，立刻执行：bcdedit /set {current} testsigning Off → 重启。这是唯一能终止该链路的操作。
