Windows 性能问题诊断
在本机做只读诊断，定位进程异常占用的根因，产出诊断报告。
硬性前提（本机环境已验证的两个坑）
坑 1：PowerShell 工具的 stdout 不回传
Write-Output "test" 也只返回 Command completed with exit code 0，看不到任何输出。
必须这样用：把结果写入文件，再用 Read 工具读。
$out = New-Object System.Collections.Generic.List[string]
$out.Add("结果内容")
Set-Content -Path 'D:\path\to\diag.txt' -Value $out -Encoding UTF8
坑 2：Add-Type 被安全策略拦截
Add-Type -AssemblyName System.Windows.Forms（编译加载 .NET）会被拦截。
替代方案：
- 取屏幕/显示器信息 → Get-CimInstance Win32_DesktopMonitor
- 不要为了拿显示器数量去加载 WinForms
核心方法论（决定诊断成败）
1. 判定"内存泄漏 vs 缓存膨胀"必须跨时段采样
单次采样只能说明瞬时状态，绝不能据此下趋势结论。
曾犯的错：14:50 采样某进程 1794 MB 就判定"维持高位"，15:22 复测发现已回落到 115 MB —— 结论完全错误。
正确做法：
1..3 | ForEach-Object {
$p = Get-Process -Name <name>
$out.Add("采样$_ : $([math]::Round($p.WorkingSet64/1MB,1))MB 峰值=$([math]::Round($p.PeakWorkingSet64/1MB,1))MB")
Start-Sleep -Seconds 5
}
- 工作集波动但峰值合理 → 缓存膨胀（系统可 trim），正常
- 工作集单调上升 + 峰值≈当前值 + 不回落 → 真泄漏
2. 读数必须双路交叉验证
两种独立方法互相印证，尤其看峰值是否吻合（可确认是同一进程实例、单位换算无误）：
# 方法A
Get-Process -Name dwm | Select-Object WorkingSet64, PeakWorkingSet64, PagedMemorySize64
# 方法B：性能计数器（单位是字节，可直接 /1MB）
Get-CimInstance Win32_PerfFormattedData_PerfProc_Process | Where-Object { $_.Name -eq 'dwm' } |
Select-Object WorkingSet, WorkingSetPrivate, WorkingSetPeak, PrivateBytes, PoolNonpagedBytes
3. 永远顺带查 Windows Update 是否被人为关停
这是很多疑难杂症的根因，且极易被忽略。 系统被暂停更新一年多，意味着所有官方修复都没收到。
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\WindowsUpdate\UX\Settings' |
Select-Object PauseUpdatesExpiryTime, PauseFeatureUpdatesEndTime
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install'
# 若 PauseUpdatesExpiryTime 是 2133 年这类远期日期 = 被"永久暂停"，多为优化/精简工具所为
$today - [datetime]::Parse($ins.LastSuccessTime) # 计算停更天数
4. 涉及"是不是已知 bug"的质疑，去查官方支持文档
用户说"网上很多案例"时，不要凭记忆答。Intel/微软等厂商常有编号化的支持文档直接承认缺陷，引用原文比转述二手博客有力得多。
- 显卡驱动问题 → 查 Intel/NVIDIA/AMD 官方 support 文档（形如
support/articles/000058381） - Windows 组件问题 → 查微软 release health / known issues
标准采集清单
按需组合，一次脚本写完再读文件：
| 目标 | 命令要点 |
|---|---|
| 系统版本与补丁级别 | HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion 的 DisplayVersion/UBR/BuildLabEx |
| 内存总览 | Win32_OperatingSystem（TotalVisibleMemorySize / FreePhysicalMemory，单位 KB） |
| 内存细分 | Win32_PerfFormattedData_PerfOS_Memory 的 AvailableBytes/StandbyCacheNormalPriorityBytes/PoolPagedBytes/PoolNonpagedBytes |
| 进程内存排行 | Get-Process \| Sort-Object WorkingSet64 -Descending \| Select-Object -First 20 |
| 显卡驱动 | Win32_VideoController + Win32_PnPSignedDriver（含 DriverVersion/DriverDate/InfName） |
| 第三方自启动服务 | Win32_Service 过滤 StartMode='Auto' 且 PathName 不在 Windows 目录 |
| 启动项 | Win32_StartupCommand |
| 计划任务 | Get-ScheduledTask \| Where-Object { $_.TaskPath -notlike '\Microsoft*' } |
| 系统错误日志 | Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2; StartTime=(Get-Date).AddDays(-3)} -MaxEvents 20 |
| 视觉效果/透明 | HKCU:\Software\Microsoft\Windows\CurrentVersion\Themes\Personalize 的 EnableTransparency |
| HAGS / 快速启动 | HKLM:\SYSTEM\CurrentControlSet\Control\GraphicsDrivers 的 HwSchMode；HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager\Power 的 HiberbootEnabled |
日志消息很长，截断处理：$msg.Substring(0, [Math]::Min(140, $msg.Length))
注意单位：Get-Process 的 *_64 属性是字节；Win32_OperatingSystem 的 *MemorySize 是 KB。换算错了会出现"占比 11407%"这种笑话。
排查特定进程时的思路
- 区分占用性质：工作集 / 专用工作集 / 提交大小 / 峰值分别看
- 找注入与 hook：美化工具、动态壁纸、任务栏改造类软件常注入目标进程
- 查驱动依赖：虚拟设备驱动（远控软件、虚拟摄像头/声卡）常造成合成层或内核池异常
- 看内核池：
PoolNonpagedBytes明显偏高（>500 MB）指向驱动问题 - 残留项：服务注册项存在但程序文件已删除 → 每次开机报错，属于可清理的残留
安全边界
- 只做只读采集，不卸载软件、不改驱动、不删服务、不改注册表
- 涉及上述修改动作时，先给方案，等用户明确确认再执行
- 发现恶意/灰色软件残留（如捆绑的代理 SDK）要明确指出，但删除前必须确认
产出
在工作区生成 诊断报告.html：
- 若结论发生修正，明确标注"v2 修正版"并写明上一版错在哪（不要掩盖错误）
- 结构：结论速览（数字卡片）→ 数据追踪（跨时段表格）→ 根因排序（带证据）→ 分级处置方案 → 自检方法
- HTML 默认 light 配色（除非用户要求 dark）
- 同时保留原始采集的 .txt 数据文件供追溯
