Processo do sistema (PID 4) acessando constantemente o disco rígido

Question

Recentemente, notei que algumas de nossas máquinas estão ficando lentas, principalmente após o boot. Usando o Resource Monitor , detectei o acesso excessivo ao disco a partir do processo do sistema com PID 4. Seguindo algumas dicas, desativei o antivírus na pasta System Volume Information, esperando que ele ajude (não quero desabilitar a restauração do sistema) .

No entanto, parece que o PID 4 está acessando tudo . Ao executar uma extração simples de um arquivo ZIP, posso ver o WinRAR lendo algumas centenas de KBs por segundo a partir do arquivo, mas o PID 4 lê dezenas de MBs por segundo do mesmo arquivo. Após o cancelamento da operação, o PID 4 continua acessando o arquivo por cerca de 30 segundos, lendo muitos MBs por segundo. Este não é um bug do Monitor de Recursos, pois o disco está claramente ativo e pára quando os monitores de recursos informarem que o PID 4 está finalmente descansando.

Por que esse processo miraculoso está acessando tudo que qualquer outro processo acessa?

Estou usando o antivírus do AVG. Desativar isso não alterou esse comportamento /

O que está acontecendo aqui?

    

Answer 1

Essa é uma pergunta antiga, mas eu tive esse problema, e para mim foi SuperFetch. Eu tentei tudo o que pude encontrar no PID 4 uso excessivo de disco rígido, e alguns deles ajudaram. Uma atualização de RAM de 4 GB para 8 GB só tornou o problema mais óbvio - o uso de RAM era baixo, sem paginação, mas o disco rígido estava aceso por ~ 10 minutos após o boot do meu laptop.

Para encurtar a história, há uma configuração de registro que controla o nível de SuperFetch apropriado. Você pode ver abaixo que o valor de EnableSuperfetch agora está definido como 1, o que parece ser "pré-busca de todos os executáveis e bibliotecas". O padrão é 3, o que parece significar "pré-busca de todos os executáveis, bibliotecas e documentos". Eu tenho muitos documentos, então acho que isso estava demorando demais. Todo documento aberto é outro que o SuperFetch precisa "analisar" para ver como você o usa.

A chave / valor do registro em questão é: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters\EnableSuperfetch

Até agora, a única desvantagem é que minhas pastas do Outlook levam alguns segundos extras para serem abertas, e alguns documentos comumente usados, como arquivos do MS Project, levam mais tempo. Mas esses atrasos empalidecem em comparação com o disco que eu estava conseguindo antes!

    

Answer 2

Muitos serviços do sistema (não quero dizer o Windows Services) são executados no PID 4, o processo "System". Toda vez que você abre um arquivo, você aciona vários mecanismos de segundo plano, como o gerenciador de memória virtual armazenando o arquivo em cache na memória, movendo outras coisas na memória, reparando falhas de página etc. Essa atividade é separada da atividade do disco processo que acessou originalmente o arquivo, por exemplo WinRAR.

Dito isto, o que você está descrevendo ainda não parece um comportamento normal para mim. Você deve ver um rápido aumento na atividade do disco a partir do processo do Sistema quando o arquivo é acessado, e então ele deve voltar para 0 rapidamente - dentro de alguns segundos.

Eu fiz um pequeno teste em minha própria máquina usando o Windows Resource Monitor, e vi um comportamento semelhante. O que eu acho que estamos testemunhando é o Monitor de Recursos nos mostrando algum tipo de média móvel que demora a cair.

Tente examinar a atividade do disco PID 4 usando outra ferramenta, como Process Explorer do Sysintenals . Eu tenho uma impressão muito diferente disso, como o Read Delta e o Read Bytes Delta pelo processo System parecem retornar para 0 muito mais rápido do que quando visto através do ResMon.

Edit: Se não é isso, então eu acho que uma análise mais aprofundada será necessária para responder a pergunta. Por exemplo, você pode listar os drivers de filtro do sistema de arquivos atualmente carregados com o fltmc.exe e o kernrate.exe pode ajudá-lo a isolar os módulos que estão causando uma E / S de disco excessivamente alta.

    

Answer 3

O processo do sistema é usado pelo Windows Update. Se você selecionou instalar atualizações automaticamente, é provável que seus sistemas estejam instalando o software do Windows. Se você executar o Windows Update e tentar instalar atualizações, receberá uma mensagem dizendo que não pode instalar, pois o Windows está atualizando o sistema.

Altere o Windows Update para não baixar e instalar sem ação manual e aguarde a conclusão da instalação atual.

    

Answer 4

Eu tive exatamente os mesmos sintomas. No meu caso, eles estavam relacionados ao Norton 360 e ao serviço VSS do MS-SQL. Depois que desativei o VSS, minha atividade caiu significativamente. O sistema ainda trava quando o Norton faz isso, mas é quase suportável, já que parece acontecer a cada hora.

    

Answer 5

Postando esta resposta aqui enquanto eu tropeçava nessa discussão quando procurava por respostas sobre por que o processo do sistema 4 estava consumindo tanto tráfego de leitura / gravação.

Os usuários ao mapear unidades ou sair para um caminho UNC para um compartilhamento, especialmente algo com uma estrutura de diretórios de bom tamanho, de repente receberão uma tonelada de tráfego contínuo do servidor host. Normalmente eu veria 100-300k, assim que você expandisse no painel de navegação ele dispararia no alcance de 20.000k.

Acabou de desativar a opção de expandir automaticamente para a pasta atual no Explorer e que o tráfego desaparece.

link

    

Answer 6

Eu tive um problema semelhante, no entanto, no meu caso, parece que de alguma forma os arquivos off-line foram ativados. Eu vou estar investigando as coisas no lado do servidor (por exemplo, eu pensei que estava desativado globalmente via Group Policy e nos compartilhamentos .....), mas eu tinha duas máquinas Windows 7 em um escritório remoto tentando sincronizar várias centenas GB através de uma conexão VPN.

(Editar antes de postar: os arquivos off-line não foram desativados adequadamente nos compartilhamentos, possivelmente após uma migração do servidor.