Dtrace ETW

[アーティクル]
05/22/2024

Windows 用 DTrace を使用して、既存の ETW イベントを処理し、新しい ETW イベントを追加します。

Windows イベントトレーシング (ETW) は、カーネルやアプリケーションで定義されているイベントをログファイルに記録できるようにするカーネルレベルのトレース機能です。イベントをリアルタイムで、またはログファイルから使用して、アプリケーションをデバッグしたり、アプリケーション内でパフォーマンスの問題が発生している場所を特定したりできます。 ETW の一般的な情報については、「イベントトレーシングについて」を参照してください。

Note

DTraceは、バージョン18980およびWindows Server Build 18975以降のInsiderのビルドでサポートされています。

Windows での DTrace の操作に関する一般的な情報については、「DTrace」を参照してください。

ETW Windows DTrace プロバイダー

DTrace を使用して、ログに記録されたトレースとマニフェストベースの ETW イベントを取得してレポートできます。特定のキーワード/レベル/eventID をプローブするために、ワイルドカードを使用しなければ、ETW プローブははるかに確実に機能します。代わりに、次の規則に基づいてプローブを完全に指定します。

Probename = etw

Modname = すべて小文字での xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx 形式のプロバイダー guid。

Funcname = 0x00_0x0000000000000000 形式のレベル_キーワード。すべてを一致させるために、これは 0xff_0xffffffffffffffff に設定する必要があります。

Probename = すべてのイベント ID に一致する整数イベント ID または "generic_event"。

Probename に基づくフィルター処理は、マニフェストイベントに対してのみ機能します。トレースログイベントには、ワイルドカード (*) を使用します。

ETW ペイロードは、arg0 経由でアクセスされます。これは、nt'_EVENT_HEADER と、それに続くイベント固有の日付で構成されます。

使用可能な ETW プロバイダーの特定

アクティブな ETW プロバイダーとそのプロバイダー GUID を表示するには、logman コマンドを使用します。

C:\>logman query providers
...
Microsoft-Windows-Kernel-Memory {D1D93EF7-E1F2-4F45-9943-03D245FE6C00}
Microsoft-Windows-Kernel-Network {7DD42A49-5329-4832-8DFD-43D979153A88}
Microsoft-Windows-Kernel-PnP {9C205A39-1250-487D-ABD7-E831C6290539}
Microsoft-Windows-Kernel-Power {331C3B3A-2005-44C2-AC5E-77220C37D6B4}
Microsoft-Windows-Kernel-Prefetch {5322D61A-9EFA-4BC3-A3F9-14BE95C144F8}
Microsoft-Windows-Kernel-Process {22FB2CD6-0E7B-422B-A0C7-2FAD1FD0E716}
...

既存の ETW プロバイダー情報の表示

DTrace には、ETW イベントを出力する機能があります。これは、レポート、収集、および分析を行う既存の ETW パイプラインがあるシナリオで役に立ちます。

次の DTrace コマンドの例を使用すると、Microsoft-Windows-Kernel-Memory プロバイダーイベントをレポートできます。

C:\>dtrace -n "etw:d1d93ef7-e1f2-4f45-9943-03d245fe6c00:0xff_0xffffffffffffffff:12"
dtrace: description 'etw:d1d93ef7-e1f2-4f45-9943-03d245fe6c00:0xff_0xffffffffffffffff:12' matched 1 probe
CPU     ID                    FUNCTION:NAME
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12
  0   3271       0xff_0xffffffffffffffff:12

新しい ETW イベントの追加

Etw トレースイベントは、etw_trace マクロを呼び出すことによって作成できます。イベントは、指定されたトレースプロバイダーに対するアクティブなリスナーがある場合にのみ、ログに記録されます。それ以外の場合はスキップされます。

etw_trace マクロでは、int8、uint8、int16、uint16、int32、uint32、int64、uint64、hexint32、hexint64、string などの基本的なデータ型がサポートされています。詳細については、以下の「サポートされている ETW データ型」の表を参照してください。

ETW_TRACE マクロの例:

このスクリプトは、システムコールルーチンが 0xc0000001 - STATUS_UNSUCCESSFUL を返すと、カスタム ETW イベントを生成します。

別の NTSTATUS 値を使用するように this->status 値を変更して、別のシステムコール戻り値をログに記録することができます。

syscall:::return 
{ 
	this->status = (uint32_t) arg0;

	if (this->status == 0xc0000001UL) 
	{ 
		etw_trace
		(
    		"Tools.DTrace.Platform", /* Provider Name */
   	 		"AAD330CC-4BB9-588A-B252-08276853AF02", /* Provider GUID */
    		"My custom event from DTrace", /* Event Name */
    		1, /* Event Level (0 - 5) */
    		0x0000000000000020, /* Flag */
    		"etw_int32", /* Field_1 Name */
    		"PID",/* Field_1 Type */
     		(int32_t)pid, /* Field_1 Value  */
     		"etw_string", /* Field_2 Name */
     		"Execname", /* Field_2 type */
      		execname, /* Field_2 Value */
     		"etw_string", /* Field_3 Name */
     		"Probefunc", /* Field_3 type */
      		probefunc /* Field_3 Value */   
			);
	}
}

C:\> dtrace -s addnewetwevent.d
dtrace: script 'addnewetwevent.d' matched 1881 probes
CPU     ID                    FUNCTION:NAME
  0     93 NtAlpcSendWaitReceivePort:return
  0     93 NtAlpcSendWaitReceivePort:return
  0     93 NtAlpcSendWaitReceivePort:return

ETW NUMA MEM STATS サンプルコード

このサンプルスクリプトは、Microsoft-Windows-Kernel-Memory ETW プロバイダーを使用して NUMA ノードメモリをダンプします。ページサイズは、4 を乗算すると KB 単位のサイズに変換できます。 NUMA の一般的な情報については、「NUMA サポート」を参照してください。

このコードは、https://github.com/microsoft/DTrace-on-Windows/blob/windows/samples/windows/etw/numamemstats.d にもあります

typedef struct KernelMemInfoEvent
{
        struct nt`_EVENT_HEADER _EH;
	uint32_t PartitionId;
	uint32_t Count;
	uint32_t NodeNumber;
}kmi;

typedef struct MemoryNodeInfo
{
	uint64_t TotalPageCount;
	uint64_t SmallFreePageCount;
	uint64_t SmallZeroPageCount;
	uint64_t MediumFreePageCount;
	uint64_t MediumZeroPageCount;
	uint64_t LargeFreePageCount;
	uint64_t LargeZeroPageCount;
	uint64_t HugeFreePageCount;
	uint64_t HugeZeroPageCount;
}m_nodeinfo;

int printcounter;

BEGIN
{
	printcounter = 0;
}

/* MemNodeInfo */
etw:d1d93ef7-e1f2-4f45-9943-03d245fe6c00:0xff_0xffffffffffffffff:12
{
	if (printcounter%10 == 0)
	{
		printf ("\n \n");
		printf("Partition ID: %d \n",((kmi *)arg0)->PartitionId);
		printf("Count: %d \n", ((kmi *)arg0)->Count);
		
		printf("Node number: %d\n", ((kmi *)arg0)->NodeNumber);
		counters = (m_nodeinfo*)(arg0 + sizeof(struct nt`_EVENT_HEADER) + 12);
		print(*counters);

		/* Dump rest of the NUMA node info */

		if (((kmi *)arg0)->Count > 1)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(1)) + (sizeof(uint32_t)*(1)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(1)) + (sizeof(uint32_t)*(1)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 2)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(2)) + (sizeof(uint32_t)*(2)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(2)) + (sizeof(uint32_t)*(2)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 3)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(3)) + (sizeof(uint32_t)*(3)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(3)) + (sizeof(uint32_t)*(3)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 4)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(4)) + (sizeof(uint32_t)*(4)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(4)) + (sizeof(uint32_t)*(4)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 5)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(5)) + (sizeof(uint32_t)*(5)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(5)) + (sizeof(uint32_t)*(5)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 6)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(6)) + (sizeof(uint32_t)*(6)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(6)) + (sizeof(uint32_t)*(6)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 7)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(7)) + (sizeof(uint32_t)*(7)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(7)) + (sizeof(uint32_t)*(7)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 8)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(8)) + (sizeof(uint32_t)*(8)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(8)) + (sizeof(uint32_t)*(8)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 9)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(9)) + (sizeof(uint32_t)*(9)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(9)) + (sizeof(uint32_t)*(9)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 10)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(10)) + (sizeof(uint32_t)*(10)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(10)) + (sizeof(uint32_t)*(10)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 11)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(11)) + (sizeof(uint32_t)*(11)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(11)) + (sizeof(uint32_t)*(11)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 12)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(12)) + (sizeof(uint32_t)*(12)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(12)) + (sizeof(uint32_t)*(12)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 13)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(13)) + (sizeof(uint32_t)*(13)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(13)) + (sizeof(uint32_t)*(13)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 14)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(14)) + (sizeof(uint32_t)*(14)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(14)) + (sizeof(uint32_t)*(14)) + sizeof(uint32_t));
			print(*counters);
		}
		if (((kmi *)arg0)->Count > 15)
		{
			nodenumber = (uint32_t *) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(15)) + (sizeof(uint32_t)*(15)) );
			printf ("Node Number: %d \n", *nodenumber);
			counters = (m_nodeinfo*) (arg0 + sizeof(struct nt`_EVENT_HEADER) + 8 + (sizeof(m_nodeinfo)*(15)) + (sizeof(uint32_t)*(15)) + sizeof(uint32_t));
			print(*counters);
		}

	}
	exit(1);
	printcounter++;
}

ファイルを etwnumamemstats.d として保存します

管理者としてコマンドプロンプトを開き、-s オプションを使用してスクリプトを実行します。

クライアント Windows PC で実行すると、1 つの NUMA ノードが表示されます。

C:\> dtrace -s etwnumamemstats.d
trace: script 'etwnumamemstats.d' matched 36 probes
CPU     ID                    FUNCTION:NAME
  0  42735       0xff_0xffffffffffffffff:12

Partition ID: 0
Count: 1
Node number: 1
m_nodeinfo {
    uint64_t TotalPageCount = 0xab98d
    uint64_t SmallFreePageCount = 0
    uint64_t SmallZeroPageCount = 0x1bec
    uint64_t MediumFreePageCount = 0
    uint64_t MediumZeroPageCount = 0x5a
    uint64_t LargeFreePageCount = 0
    uint64_t LargeZeroPageCount = 0
    uint64_t HugeFreePageCount = 0
    uint64_t HugeZeroPageCount = 0
}
  0  42735       0xff_0xffffffffffffffff:12

サポートされている ETW データ型

[ETW の種類]	D 言語データ型	ノート
etw_struct	Integer	この型のペイロード値は、新しい構造体が持つメンバーの数を表します。
etw_string	string	該当なし
etw_mbcsstring	string	該当なし
etw_int8	Integer	型のサイズは一致する必要があり、D スクリプトの "int8_t" にキャストすることをお勧めします
etw_uint8	Integer	型のサイズは一致する必要があり、D スクリプトの "uint8_t" にキャストすることをお勧めします
etw_int16	Integer	型のサイズは一致する必要があり、D スクリプトの "int16_t" にキャストすることをお勧めします
etw_uint16	Integer	型のサイズは一致する必要があり、D スクリプトの "uint16_t" にキャストすることをお勧めします
etw_int32	Integer	該当なし
etw_uint32	Integer	該当なし
etw_int64	Integer	D の既定値は "int32_t" であるため、型は明示的に "int64_t" である必要があります
etw_uint64	Integer	D の既定値は "int32_t" であるため、型は明示的に "int64_t" である必要があります
etw_float	スカラー	浮動小数点定数は D スクリプトでは使用できませんが、読み込まれたシンボルでは使用できます
etw_double	スカラー	浮動小数点定数は D スクリプトでは使用できませんが、読み込まれたシンボルでは使用できます
etw_bool32	Integer	該当なし
etw_hexint32	Integer	該当なし
etw_hexint64	Integer	D の既定値は "int32_t" であるため、型は明示的に "int64_t" である必要があります
etw_countedmbcsstring	Integer	該当なし
etw_intptr	Integer	データ型のサイズは、アーキテクチャ ("int32_t" か "int64_t" か) に応じて変更されます
etw_uintptr	Integer	データ型のサイズは、アーキテクチャ ("int32_t" か "int64_t" か) に応じて変更されます
etw_pointer	Integer	データ型のサイズは、アーキテクチャ ("int32_t" か "int64_t" か) に応じて変更されます
etw_char16	Integer	型のサイズは一致する必要があり、D スクリプトの "int16_t" にキャストすることをお勧めします
etw_char8	Integer	型のサイズは一致する必要があり、D スクリプトの "int8_t" にキャストすることをお勧めします
etw_bool8	Integer	型のサイズは一致する必要があり、D スクリプトの "int8_t" にキャストすることをお勧めします
etw_hexint8	Integer	型のサイズは一致する必要があり、D スクリプトの "int8_t" にキャストすることをお勧めします
etw_hexint16	Integer	型のサイズは一致する必要があり、D スクリプトの "int16_t" にキャストすることをお勧めします
etw_pid	Integer	該当なし
etw_tid	Integer	該当なし
etw_mbcsxml	Integer	該当なし
etw_mbcsjson	Integer	該当なし
etw_countedmbcsxml	Integer	該当なし
etw_countedmbcsjson	Integer	該当なし
etw_win32error	Integer	該当なし
etw_ntstatus	Integer	該当なし
etw_hresult	Integer	該当なし

参照

Windows 上の DTrace

DTrace Windowsプログラミング

DTrace Windowsコードサンプル

DTrace ライブダンプ

次の方法で共有

Dtrace ETW

ETW Windows DTrace プロバイダー

使用可能な ETW プロバイダーの特定

既存の ETW プロバイダー情報の表示

新しい ETW イベントの追加

ETW NUMA MEM STATS サンプルコード

サポートされている ETW データ型

参照

フィードバック

その他のリソース

次の方法で共有

Dtrace ETW

ETW Windows DTrace プロバイダー

使用可能な ETW プロバイダーの特定

既存の ETW プロバイダー情報の表示

新しい ETW イベントの追加

ETW NUMA MEM STATS サンプル コード

サポートされている ETW データ型

参照

フィードバック

その他のリソース

ETW NUMA MEM STATS サンプルコード