应使用资源监视器锁定磁盘活动尖峰并右键“转到进程”定位周期性I/O进程，辅以PowerShell每5秒采样导出高I/O进程CSV，再用性能监视器记录磁盘队列与响应时间同步波形确认真凶。
当你发现 Win11 硬盘灯每隔几分钟就突然狂闪、风扇短暂提速、系统轻微卡顿，但任务管理器“进程”页刷新时又看不到持续高占用项，说明有周期性触发的后台进程在执行短时高强度 I/O——这类行为常见于自动备份、日志轮转、索引重建或恶意软件心跳通信，必须用能捕获瞬态峰值的工具才能抓到真凶。
用资源监视器抓取周期性写入峰值
资源监视器默认每秒采样一次，但它的“磁盘活动”图表保留最近 60 秒历史，足够覆盖多数 2～5 分钟周期的脉冲式读写。关键在于手动锁定时间窗口，而非依赖自动排序。
按下 Win + R → 输入 resmon → 回车启动资源监视器 → 切换到“磁盘”选项卡。
等待 10 秒让数据稳定 → 观察顶部“磁盘活动”折线图：蓝色（读取）或橙色（写入）若出现明显尖峰，且尖峰间隔相对固定（如每 3 分 12 秒重复），说明存在周期性 I/O 行为。
在尖峰出现的瞬间，立即点击图表区域右键 → 选择“转到进程” → 系统会跳转并高亮标出该时刻 I/O 最强的进程。这一步必须在尖峰出现后 1 秒内操作，否则数据滚动丢失；【错过尖峰就等于错过证据】。
右键该高亮进程 → “属性” → 切换到“详细信息”标签页 → 查看“命令行”字段：若含 -interval 180、--rotate、/log:rotate 或指向 C:\ProgramData\Logs\ 的路径，基本可确认是它在定时刷盘。
用 PowerShell 每 5 秒快照导出 I/O 突增进程
图形界面刷新太慢，无法捕捉毫秒级爆发。PowerShell 可强制高频采样，把 5 分钟内的所有 I/O 尖峰进程完整记录下来，生成带时间戳的 CSV 文件供回溯比对。
右键开始菜单 → 选择“终端（管理员）” → 粘贴执行以下命令：
while($true){Get-Counter '\Process(*)\IO Write Bytes/sec','\Process(*)\IO Read Bytes/sec' -ErrorAction SilentlyContinue | ForEach-Object{$_.CounterSamples | Where-Object{$_.CookedValue -gt 10MB} | Select-Object Timestamp,Path,@{n='WriteBps';e={$_.CookedValue}},InstanceName} | Export-Csv -Path "$env:TEMP\disk_spikes.csv" -Append -NoTypeInformation; Start-Sleep -Seconds 5}
该命令每 5 秒扫描一次全系统进程，只记录写入或读取速率超过 10 MB/s 的条目，并自动追加到临时 CSV 文件中。运行满 5 分钟后按 Ctrl+C 中断。
打开 %TEMP%\disk_spikes.csv → 按“Timestamp”列排序 → 找出时间间隔高度一致的多条记录（例如 08:22:15、08:27:15、08:32:15）→ 对应的“InstanceName”就是那个定时发疯的进程名。
注意：若输出中大量出现 svchost.exe，不要直接结束，先记下其 PID → 在任务管理器“详细信息”页按 PID 排序找到它 → 右键 → “转到服务” → 查看托管了哪些 Windows 服务，再针对性排查。
用性能监视器长期记录磁盘队列与响应时间
单纯看读写字节数可能被压缩/缓存干扰，而“平均磁盘队列长度”和“磁盘平均响应时间”是硬件层真实压力指标。当某个进程周期性压测硬盘时，这两个值会在同一时刻同步飙升，形成可识别的波形指纹。
方法一：快速创建 10 分钟日志
Win + R → 输入 perfmon → 回车 → 左侧导航栏展开“性能监视器” → 右键“性能监视器” → “新建数据收集器集” → 名称填“DiskCycleCheck” → 选择“手动创建（高级）” → 下一步 → 勾选“创建数据日志” → 下一步 → 点击“添加”按钮 → 在“可用计数器”列表中依次展开“物理磁盘” → 勾选：% 磁盘时间、平均磁盘队列长度、磁盘平均响应时间(毫秒)、磁盘写入字节/秒 → 确认后下一步 → 设置“日志格式”为“二进制文件 (.blg)” → 完成。
右键刚建好的“DiskCycleCheck” → “属性” → “日志设置”选项卡 → 将“日志文件大小限制”设为 50 MB → “停止条件”设为“运行 10 分钟后停止” → 点击“确定”。
右键“DiskCycleCheck” → “启动” → 让它运行满 10 分钟（期间可正常操作电脑）→ 右键 → “停止”。日志将自动保存在 %SystemRoot%\System32\Wbem\PerfLogs 下同名文件夹中。
双击生成的 .blg 文件 → 在图表中观察四条曲线是否在相同时间点同步上冲：若“平均磁盘队列长度”突破 2 且“响应时间”跃升至 20ms 以上，同时“写入字节/秒”出现尖峰，则该时刻对应进程即为元凶。
