DTrace ETW
使用適用於 Windows 的 DTrace 來處理現有的 ETW 事件，以及新增 ETW 事件。
Windows 事件追蹤 （ETW） 是核心層級的追蹤功能，可讓您將核心或應用程式定義的事件記錄到記錄檔。 您可以即時或從記錄檔取用事件，並使用它們來偵錯應用程式，或判斷應用程式發生效能問題的位置。 如需 ETW 的一般資訊，請參閱 關於事件追蹤。
注意
在 18980 版和 Windows Server 組建 18975 之後，Windows 測試人員組建支援 DTrace。
如需在 Windows 上使用 DTrace 的一般資訊，請參閱 DTrace。
ETW Windows DTrace 提供者
您可以使用 DTrace 來擷取和報告記錄的追蹤和以指令清單為基礎的 ETW 事件。 若要探查特定的關鍵詞/層級/eventID，如果您不使用通配符，ETW 探查會更可靠地運作。 請完全根據下列規則來指定探查：
Probename = etw
Modname = 提供者 guid 格式為 xxxxxxxx-xxxx-xxxx-xxxx-xxxxxx，使用所有小寫字元。
Funcname = Level_Keyword窗體0x00_0x0000000000000000。 若要符合這應該設定為0xff_0xffffffffffffffff的所有專案。
Probename = 整數事件識別碼或 “generic_event” 以符合所有事件識別碼。
根據 Probename 篩選僅適用於指令清單事件。 針對追蹤記錄的事件使用通配符 \ 。
ETW 承載是透過arg0存取。 這是由 nt'_EVENT_HEADER 所組成，後面接著事件特定日期。
判斷可用的 ETW 提供者
使用 logman 命令來顯示作用中的 ETW 提供者及其提供者 GUID。
C:\>logman query providers
...
Microsoft-Windows-Kernel-Memory {D1D93EF7-E1F2-4F45-9943-03D245FE6C00}
Microsoft-Windows-Kernel-Network {7DD42A49-5329-4832-8DFD-43D979153A88}
Microsoft-Windows-Kernel-PnP {9C205A39-1250-487D-ABD7-E831C6290539}
Microsoft-Windows-Kernel-Power {331C3B3A-2005-44C2-AC5E-77220C37D6B4}
Microsoft-Windows-Kernel-Prefetch {5322D61A-9EFA-4BC3-A3F9-14BE95C144F8}
Microsoft-Windows-Kernel-Process {22FB2CD6-0E7B-422B-A0C7-2FAD1FD0E716}
...
顯示現有的 ETW 提供者資訊
DTrace 能夠輸出 ETW 事件。 這適用於有現有 ETW 管線可報告、收集和分析的案例。
使用此範例 DTrace 命令來報告 Microsoft-Windows-Kernel-Memory 提供者事件。
C:\>dtrace -n "etw:d1d93ef7-e1f2-4f45-9943-03d245fe6c00:0xff_0xffffffffffffffff:12"
dtrace: description 'etw:d1d93ef7-e1f2-4f45-9943-03d245fe6c00:0xff_0xffffffffffffffff:12' matched 1 probe
CPU ID FUNCTION:NAME
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
0 3271 0xff_0xffffffffffffffff:12
新增 ETW 事件
您可以呼叫 etw_trace 宏來建立 Etw 追蹤事件。 只有在指定的追蹤提供者有作用中接聽程式時，才會記錄事件，否則將會略過事件。
etw_trace宏支援基本數據類型，例如 int8、uint8、int16、uint16、int32、uint32、int64、uint64、hexint32、hexint64 和 string。 如需詳細資訊，請參閱下方支援的 ETW 數據類型表格。
宏範例ETW_TRACE：
當 syscall 例程傳回0xc0000001 - STATUS_UNSUCCESSFUL時，此腳本會產生自定義 ETW 事件。
您可以將值變更 this->status 為使用不同的 NTSTATUS值 來記錄不同的 syscall 傳回值。
syscall:::return
{
this->status = (uint32_t) arg0;
if (this->status == 0xc0000001UL)
{
etw_trace
(
"Tools.DTrace.Platform", /* Provider Name */
"AAD330CC-4BB9-588A-B252-08276853AF02", /* Provider GUID */
"My custom event from DTrace", /* Event Name */
1, /* Event Level (0 - 5) */
0x0000000000000020, /* Flag */
"etw_int32", /* Field_1 Name */
"PID",/* Field_1 Type */
(int32_t)pid, /* Field_1 Value */
"etw_string", /* Field_2 Name */
"Execname", /* Field_2 type */
execname, /* Field_2 Value */
"etw_string", /* Field_3 Name */
"Probefunc", /* Field_3 type */
probefunc /* Field_3 Value */
);
}
}
C:\> dtrace -s addnewetwevent.d
dtrace: script 'addnewetwevent.d' matched 1881 probes
CPU ID FUNCTION:NAME
0 93 NtAlpcSendWaitReceivePort:return
0 93 NtAlpcSendWaitReceivePort:return
0 93 NtAlpcSendWaitReceivePort:return
ETW NUMA MEM STATS 範例程序代碼
此範例腳本會使用 Microsoft-Windows-Kernel-Memory ETW 提供者來傾印 NUMA 節點記憶體。 頁面大小可以乘以 4，以 KB 為單位轉換成大小。 如需 NUMA 的一般資訊，請參閱 NUMA 支援。
此程式代碼也位於 https://github.com/microsoft/DTrace-on-Windows/blob/windows/samples/windows/etw/numamemstats.d
typedef struct KernelMemInfoEvent
{
struct nt`_EVENT_HEADER _EH;
uint32_t PartitionId;
uint32_t Count;
uint32_t NodeNumber;
}kmi;
typedef struct MemoryNodeInfo
{
uint64_t TotalPageCount;
uint64_t SmallFreePageCount;
uint64_t SmallZeroPageCount;
uint64_t MediumFreePageCount;
uint64_t MediumZeroPageCount;
uint64_t LargeFreePageCount;
uint64_t LargeZeroPageCount;
uint64_t HugeFreePageCount;
uint64_t HugeZeroPageCount;
}m_nodeinfo;
int printcounter;
BEGIN
{
printcounter = 0;
}
/* MemNodeInfo */
etw:d1d93ef7-e1f2-4f45-9943-03d245fe6c00:0xff_0xffffffffffffffff:12
{
if (printcounter%10 == 0)
{
printf ("\n \n");
printf("Partition ID: %d \n",((kmi *)arg0)->PartitionId);
printf("Count: %d \n", ((kmi *)arg0)->Count);
printf("Node number: %d\n", ((kmi *)arg0)->NodeNumber);
counters = (m_nodeinfo*)(arg0 + sizeof(struct nt`_EVENT_HEADER) + 12);
print(*counters);
/* Dump rest of the NUMA node info */
if (((kmi *)arg0)->Count > 1)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(1)) + (sizeof(uint32_t)*(1)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(1)) + (sizeof(uint32_t)*(1)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 2)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(2)) + (sizeof(uint32_t)*(2)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(2)) + (sizeof(uint32_t)*(2)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 3)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(3)) + (sizeof(uint32_t)*(3)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(3)) + (sizeof(uint32_t)*(3)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 4)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(4)) + (sizeof(uint32_t)*(4)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(4)) + (sizeof(uint32_t)*(4)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 5)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(5)) + (sizeof(uint32_t)*(5)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(5)) + (sizeof(uint32_t)*(5)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 6)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(6)) + (sizeof(uint32_t)*(6)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(6)) + (sizeof(uint32_t)*(6)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 7)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(7)) + (sizeof(uint32_t)*(7)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(7)) + (sizeof(uint32_t)*(7)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 8)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(8)) + (sizeof(uint32_t)*(8)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(8)) + (sizeof(uint32_t)*(8)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 9)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(9)) + (sizeof(uint32_t)*(9)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(9)) + (sizeof(uint32_t)*(9)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 10)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(10)) + (sizeof(uint32_t)*(10)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(10)) + (sizeof(uint32_t)*(10)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 11)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(11)) + (sizeof(uint32_t)*(11)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(11)) + (sizeof(uint32_t)*(11)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 12)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(12)) + (sizeof(uint32_t)*(12)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(12)) + (sizeof(uint32_t)*(12)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 13)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(13)) + (sizeof(uint32_t)*(13)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(13)) + (sizeof(uint32_t)*(13)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 14)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(14)) + (sizeof(uint32_t)*(14)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(14)) + (sizeof(uint32_t)*(14)) + sizeof(uint32_t));
print(*counters);
}
if (((kmi *)arg0)->Count > 15)
{
nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(15)) + (sizeof(uint32_t)*(15)) );
printf ("Node Number: %d \n", *nodenumber);
counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(15)) + (sizeof(uint32_t)*(15)) + sizeof(uint32_t));
print(*counters);
}
}
exit(1);
printcounter++;
}
將檔案儲存為 etwnumamemstats.d
以 管理員 istrator 開啟命令提示字元，並使用 -s 選項執行腳本。
在用戶端 Windows 電腦上執行，會顯示單一 NUMA 節點。
C:\> dtrace -s etwnumamemstats.d
trace: script 'etwnumamemstats.d' matched 36 probes
CPU ID FUNCTION:NAME
0 42735 0xff_0xffffffffffffffff:12
Partition ID: 0
Count: 1
Node number: 1
m_nodeinfo {
uint64_t TotalPageCount = 0xab98d
uint64_t SmallFreePageCount = 0
uint64_t SmallZeroPageCount = 0x1bec
uint64_t MediumFreePageCount = 0
uint64_t MediumZeroPageCount = 0x5a
uint64_t LargeFreePageCount = 0
uint64_t LargeZeroPageCount = 0
uint64_t HugeFreePageCount = 0
uint64_t HugeZeroPageCount = 0
}
0 42735 0xff_0xffffffffffffffff:12
支援的 ETW 資料類型
| ETW 類型 | D 語言數據類型 | 注意事項 |
|---|---|---|
| etw_struct | 整數 | 此類型的承載值代表新結構將擁有的成員計數。 |
| etw_string | 字串 | N/A |
| etw_mbcsstring | 字串 | N/A |
| etw_int8 | 整數 | 建議使用類型大小比對，並轉換成 D 腳稿中的 'int8_t' |
| etw_uint8 | 整數 | 建議您在 D 文稿中將類型大小比對，並轉換成 'uint8_t' |
| etw_int16 | 整數 | 建議使用類型大小比對，並轉換成 D 腳稿中的 'int16_t' |
| etw_uint16 | 整數 | 建議您在 D 文稿中比對類型大小，並轉換成 'uint16_t' |
| etw_int32 | 整數 | N/A |
| etw_uint32 | 整數 | N/A |
| etw_int64 | 整數 | 類型必須明確為 'int64_t'，因為 D 預設為 'int32_t' |
| etw_uint64 | 整數 | 類型必須明確為 'int64_t'，因為 D 預設為 'int32_t' |
| etw_float | Scalar | D 文稿中不允許浮點常數，但會在載入的符號上允許它 |
| etw_double | Scalar | D 文稿中不允許浮點常數，但會在載入的符號上允許它 |
| etw_bool32 | 整數 | N/A |
| etw_hexint32 | 整數 | N/A |
| etw_hexint64 | 整數 | 類型必須明確為 'int64_t'，因為 D 預設為 'int32_t' |
| etw_countedmbcsstring | 整數 | N/A |
| etw_intptr | 整數 | 資料類型大小會根據架構變更 （'int32_t' 與 'int64_t'） |
| etw_uintptr | 整數 | 資料類型大小會根據架構變更 （'int32_t' 與 'int64_t'） |
| etw_pointer | 整數 | 資料類型大小會根據架構變更 （'int32_t' 與 'int64_t'） |
| etw_char16 | 整數 | 建議使用類型大小比對，並轉換成 D 腳稿中的 'int16_t' |
| etw_char8 | 整數 | 建議使用類型大小比對，並轉換成 D 腳稿中的 'int8_t' |
| etw_bool8 | 整數 | 建議使用類型大小比對，並轉換成 D 腳稿中的 'int8_t' |
| etw_hexint8 | 整數 | 建議使用類型大小比對，並轉換成 D 腳稿中的 'int8_t' |
| etw_hexint16 | 整數 | 建議使用類型大小比對，並轉換成 D 腳稿中的 'int16_t' |
| etw_pid | 整數 | N/A |
| etw_tid | 整數 | N/A |
| etw_mbcsxml | 整數 | N/A |
| etw_mbcsjson | 整數 | N/A |
| etw_countedmbcsxml | 整數 | N/A |
| etw_countedmbcsjson | 整數 | N/A |
| etw_win32error | 整數 | N/A |
| etw_ntstatus | 整數 | N/A |
| etw_hresult | 整數 | N/A |
另請參閱
意見反應
即將登場：在 2024 年，我們將逐步淘汰 GitHub 問題作為內容的意見反應機制，並將它取代為新的意見反應系統。 如需詳細資訊，請參閱：https://aka.ms/ContentUserFeedback。
提交並檢視相關的意見反應