วิธีแก้ไขปัญหาการใช้งาน CPU สูงโดย WMI Provider Host

Si WMI Provider Host ใช้ CPU จำนวนมาก หาก WMI ทำงานนานหลายนาที โดยปกติแล้วไม่ได้หมายความว่า WMI เสีย ส่วนใหญ่แล้ว มักเกิดจากแอปพลิเคชัน บริการ ตัวควบคุม หรือสคริปต์บางตัวทำการเรียกใช้คำสั่ง SQL มากเกินไป ทำให้ระบบต้องทำงานนานหลายนาที WmiPrvSE.exe เพื่อประมวลผลอย่างต่อเนื่อง

การปิดใช้งาน WMI หรือการลบที่เก็บข้อมูลของ WMI ไม่ใช่ขั้นตอนแรก วิธีแก้ปัญหาคือการระบุว่าอินสแตนซ์ใดของ WmiPrvSE.exe ที่มีการใช้งานทรัพยากรสูง ตรวจสอบว่าได้โหลดผู้ให้บริการรายใด และค้นหาโปรเซสไคลเอ็นต์ที่สร้างคำสั่งค้นหาเหล่านั้น

WMI เป็นส่วนหนึ่งของ Windows และช่วยให้ระบบและเครื่องมือการจัดการสามารถสอบถามข้อมูลเกี่ยวกับกระบวนการ บริการ ดิสก์ อะแดปเตอร์เครือข่าย บันทึกเหตุการณ์ และส่วนประกอบอื่นๆ ได้ WmiPrvSE.exe ทำหน้าที่เป็นตัวกลางสำหรับผู้ให้บริการที่ส่งข้อมูลนี้หรือดำเนินการบางอย่าง

WMI Provider Host คืออะไร และใช้ทำอะไร?

เครื่องมือการจัดการ WindowsWindows Management Interface (WMI) หรือที่รู้จักกันในชื่อ Windows Management Information System (WMS) คือโครงสร้างพื้นฐานของ Windows ที่ออกแบบมาเพื่อให้บริการข้อมูลและการดำเนินการด้านการบริหารจัดการ แอปพลิเคชันและสคริปต์สามารถใช้ WMI เพื่อสอบถามสถานะของระบบ แสดงรายการกระบวนการ ตรวจสอบบริการ รับข้อมูลดิสก์ หรือดำเนินการอัตโนมัติงานด้านการบริหารจัดการได้

การทำงานของระบบนี้ประกอบด้วยองค์ประกอบหลักสามประการ:

• ไคลเอนต์ WMI: แอปพลิเคชัน บริการ หรือสคริปต์ที่ร้องขอข้อมูลหรือดำเนินการบางอย่าง
• บริการ Winmgmt: ทำหน้าที่เป็นตัวกลางระหว่างลูกค้า ซัพพลายเออร์ และคลังข้อมูล WMI
• ผู้ให้บริการ WMI: ส่วนประกอบที่ดึงข้อมูลจากองค์ประกอบที่ได้รับการจัดการและตอบสนองต่อการสอบถาม

กระบวนการ WmiPrvSE.exe มันรองรับผู้ให้บริการ WMI อย่างน้อยหนึ่งราย การแยกผู้ให้บริการเหล่านี้ออกเป็นกระบวนการโฮสต์จะช่วยป้องกันไม่ให้ความล้มเหลวของผู้ให้บริการรายใดรายหนึ่งส่งผลกระทบโดยตรงต่อบริการหลัก

ด้วยเหตุนี้ จึงอาจมี มีอินสแตนซ์หลายรายการของ WmiPrvSE.exe ทำงานพร้อมกันหลายเครื่อง สถานการณ์นี้ไม่ได้หมายความว่ามีข้อผิดพลาดหรือการติดเชื้อแต่อย่างใด

ไฟล์ที่ถูกต้องมักจะอยู่ที่:

C:\Windows\System32\wbem\WmiPrvSE.exe

ไฟล์นั้นต้องมีลายเซ็นดิจิทัลของ Microsoft ที่ถูกต้องด้วย หากพบไฟล์ชื่อดังกล่าวในโฟลเดอร์ดาวน์โหลด โฟลเดอร์ชั่วคราว โฟลเดอร์ข้อมูลแอปพลิเคชัน หรือตำแหน่งอื่นที่ไม่คาดคิด ควรสแกนไฟล์นั้นด้วยโปรแกรมรักษาความปลอดภัยของ Windows

วิธีสังเกตว่าการใช้งาน CPU ผิดปกติจริงหรือไม่

การที่ไฟล์ WmiPrvSE.exe มีการใช้งานเพิ่มขึ้นชั่วครู่ ไม่ได้หมายความว่าจะมีปัญหาเสมอไป อาจเกิดขึ้นได้ขณะเปิดเครื่องมือวินิจฉัย เข้าสู่ระบบ ติดตั้งการอัปเดต ตรวจสอบข้อมูลฮาร์ดแวร์ หรือเรียกใช้แอปพลิเคชันตรวจสอบต่างๆ

คุณควรตรวจสอบข้อมูลนี้ก่อนรับประทาน:

• มันยังคงยกค้างอยู่อย่างนั้นเป็นเวลาหลายนาทีโดยไม่มีกิจกรรมใดๆ ที่เห็นได้ชัด
• มันเกิดขึ้นซ้ำๆ เป็นระยะๆ และทำให้เกิดความล่าช้า
• ค่านี้จะเพิ่มขึ้นเมื่อเริ่มต้นใช้งานแอปพลิเคชันหรือบริการใดบริการหนึ่งโดยเฉพาะ
• ทำให้พัดลมทำงานอย่างต่อเนื่องด้วยความเร็วสูง
• โปรดกลับมาใช้งานอีกครั้งหลังจากรีสตาร์ทคอมพิวเตอร์ของคุณ
• นอกจากนี้ยังมักเกิดข้อผิดพลาดที่เกี่ยวข้องกับ WMI บ่อยครั้ง

ไม่มีเปอร์เซ็นต์ตายตัวที่จะระบุได้ว่า WMI ทำงานผิดปกติเมื่อใด 20% อาจถือว่าผิดปกติสำหรับโปรเซสเซอร์แบบมัลติคอร์ ในขณะที่ค่าสูงสุดที่สูงกว่านั้นอาจเป็นเรื่องปกติในระหว่างการทำงานเฉพาะอย่าง สิ่งสำคัญคือต้องสังเกต ระยะเวลา ความถี่ และกิจกรรมที่เกิดขึ้นพร้อมกับการเพิ่มขึ้น.

การใช้งาน CPU อย่างต่อเนื่องอาจทำให้อุณหภูมิของโปรเซสเซอร์สูงขึ้นได้ แต่ความร้อนนี้เป็นผลมาจากภาระงาน ไม่ใช่หลักฐานว่า WMI หรือฮาร์ดแวร์เสียหาย หากคุณสงสัยว่าคอมพิวเตอร์ของคุณทำงานได้ไม่เต็มประสิทธิภาพเนื่องจากความร้อนสูงเกินไป คุณสามารถตรวจสอบได้ หาก Windows จำกัดประสิทธิภาพของ CPU.

สาเหตุทั่วไปที่ทำให้มีการใช้งาน WmiPrvSE.exe สูง

โปรแกรม WmiPrvSE.exe อาจใช้ทรัพยากร CPU มากเนื่องจากกำลังประมวลผลคำขอจำนวนมาก ในหลายกรณี สาเหตุเกิดจากฝั่งไคลเอนต์ส่งคำขอ หรือผู้ให้บริการตอบสนองช้าเกินไป

สาเหตุที่พบบ่อยที่สุด ได้แก่:

• เครื่องมือตรวจสอบ: แอปพลิเคชันที่สอบถามอุณหภูมิ บันทึก บริการ สินค้าคงคลัง หรือประสิทธิภาพการทำงานอย่างต่อเนื่อง
• ยูทิลิตี้ของผู้ผลิต: โปรแกรมที่ออกแบบมาเพื่อควบคุมพัดลม ระบบไฟ ระบบไฟฟ้า หรือส่วนประกอบของอุปกรณ์ต่างๆ
• สคริปต์สำหรับผู้ดูแลระบบ: งาน PowerShell หรือแอปพลิเคชันทางธุรกิจที่เรียกใช้คำสั่ง WMI บ่อยเกินไป
• ซัพพลายเออร์หรือผู้ควบคุมที่บกพร่อง: ไฟล์ DLL ที่เชื่อมโยงกับอุปกรณ์หรือแอปพลิเคชันอาจเกิดข้อผิดพลาดหรือตอบสนองได้ไม่ eficiente
• ซอฟต์แวร์บริหารจัดการธุรกิจ: การจัดการสินค้าคงคลัง ระบบรักษาความปลอดภัย การสำรองข้อมูล หรือการตรวจสอบระยะไกล อาจก่อให้เกิดภาระงานจำนวนมาก
• ที่เก็บ WMI ไม่สอดคล้องกัน: เป็นไปได้ แต่ควรตรวจสอบก่อนพยายามซ่อมแซม
• การกระทำที่เป็นอันตราย: การโจมตีบางประเภทใช้ WMI เพื่อดำเนินการหรือรักษาการทำงานอย่างต่อเนื่อง แม้ว่าการใช้งาน WMI ในปริมาณมากจะไม่ใช่หลักฐานยืนยันว่ามีมัลแวร์เสมอไปก็ตาม

สาเหตุอาจพบได้ในระหว่างการให้บริการด้วยเช่นกัน วินเอ็มจีทีโดยปกติแล้วกระบวนการนี้จะทำงานอยู่ภายในไฟล์ `svchost.exe` ดังนั้นจึงเป็นสิ่งสำคัญที่จะต้องตรวจสอบว่ากระบวนการใดกำลังใช้ CPU อยู่ก่อนที่จะหาวิธีแก้ไข

วิธีวินิจฉัยว่าโปรแกรมใดทำให้ WMI ทำงานหนักเกินไป

กระบวนการวินิจฉัยต้องดำเนินการตามลำดับที่ถูกต้อง การปิด WmiPrVSE.exe อาจช่วยลดการใช้ทรัพยากรได้ชั่วคราว แต่ไม่ได้ระบุโปรแกรมที่ก่อให้เกิดคำถาม และ Windows อาจเริ่มต้นกระบวนการใหม่

1. ระบุ PID ที่ใช้ CPU มากที่สุด

เปิดตัวจัดการงานด้วย Ctrl + Shift + Escไปที่แท็บ รายละเอียด และค้นหาไฟล์ `WmiPrvSE.exe` เรียงลำดับคอลัมน์ CPU และจดบันทึก PID ของอินสแตนซ์ที่ยังคงมีการใช้งานสูง

หากคอลัมน์ PID ไม่ปรากฏ ให้คลิกขวาที่ส่วนหัว แล้วป้อน เลือกคอลัมน์ และเปิดใช้งานตัวระบุโปรเซส

การมีหลายอินสแตนซ์ปรากฏขึ้นเป็นเรื่องปกติ คุณควรให้ความสำคัญเฉพาะอินสแตนซ์ที่ใช้ทรัพยากรอย่างต่อเนื่องเท่านั้น

หากพบวิธีการใช้งานในไฟล์ `svchost.exe` ซึ่งอาจเป็นไฟล์ที่ให้บริการ WMI ให้เปิดคอนโซลในฐานะผู้ดูแลระบบและเรียกใช้คำสั่งต่อไปนี้:

tasklist /svc /fi "Services eq Winmgmt"

ผลลัพธ์จะแสดง PID ของกระบวนการ `svchost.exe` ซึ่งมีบริการ Winmgmt อยู่ภายใน

2. ตรวจสอบกิจกรรมที่เกี่ยวข้องในโปรแกรมดูบันทึกเหตุการณ์ (Event Viewer)

เปิดโปรแกรม Event Viewer แล้วเข้าถึงข้อมูลต่อไปนี้:

บันทึกแอปพลิเคชันและบริการ > Microsoft > Windows > กิจกรรม WMI > การดำเนินงาน

ตรวจสอบเหตุการณ์ที่เกิดขึ้นพร้อมกับการใช้งาน CPU ที่สูงขึ้น เหตุการณ์ที่มีประโยชน์ที่สุดมักจะได้แก่:

• เหตุการณ์ 5857: คุณสามารถระบุผู้ให้บริการที่เริ่มต้นทำงาน กระบวนการโฮสต์ และเส้นทางไปยังไฟล์ DLL ของคุณได้
• เหตุการณ์ 5858: ระบบจะบันทึกการดำเนินการที่สิ้นสุดลงด้วยข้อผิดพลาด และอาจรวมถึงฟิลด์ต่างๆ เช่น ClientProcessIdรวมถึงการดำเนินการและเนมสเปซด้วย

เมื่อ `ClientProcessId` ปรากฏขึ้น ให้เปรียบเทียบหมายเลขนั้นกับคอลัมน์ PID ใน Task Manager คุณควรทำเช่นนี้ในขณะที่ปัญหายังคงอยู่ เนื่องจากกระบวนการต่างๆ อาจถูกยุติลง และ Windows อาจนำตัวระบุของกระบวนการเหล่านั้นกลับมาใช้ใหม่ได้

ไม่ใช่ทุกกรณีที่มีการใช้งาน CPU สูงจะทำให้เกิดเหตุการณ์ 5858 หากบันทึกการทำงานไม่สามารถระบุผู้รับผิดชอบได้ คุณจะต้องใช้บันทึกการติดตามหรือเครื่องมือเพิ่มเติม

3. ระบุผู้ให้บริการโดยใช้ Process Explorer

การจำหน่าย นักสำรวจกระบวนการ จาก Microsoft Sysinternals ให้เรียกใช้ในฐานะผู้ดูแลระบบ และค้นหา PID ของ WmiPrvSE.exe ที่คุณจดบันทึกไว้

เปิดคุณสมบัติแล้วไปที่แท็บ ผู้ให้บริการ WMIที่นั่นคุณจะพบสิ่งต่อไปนี้:

• ชื่อผู้จำหน่ายถูกโหลดแล้ว
• เนมสเปซ WMI ที่ใช้
• เส้นทางไปยังไฟล์ DLL ที่เกี่ยวข้อง

อินสแตนซ์เดียวสามารถรองรับผู้ให้บริการได้หลายราย การรู้ว่าไฟล์ DLL ใดถูกโหลดไม่ได้หมายความว่าจะระบุไคลเอ็นต์ที่เป็นต้นเหตุได้โดยอัตโนมัติ แต่จะช่วยให้คุณเชื่อมโยงการใช้งานกับไดรเวอร์ ฟังก์ชันของ Windows หรือแอปพลิเคชันที่ติดตั้งไว้ได้

4. บันทึกการสอบถามโดยใช้ WMIMon หรือ WMI Trace

เพื่อการวินิจฉัยที่แม่นยำยิ่งขึ้น คุณสามารถใช้ ดับเบิลยูเอ็มไอมอนเครื่องมือนี้ ซึ่งมีการกล่าวถึงในเอกสารการวินิจฉัยของ Microsoft ช่วยให้คุณสามารถดูการเรียกใช้ WMI, PID ของไคลเอ็นต์, ผู้ใช้, เนมสเปซ และคลาสที่ถูกสอบถามได้

หลังจากดาวน์โหลดจากที่เก็บแล้ว ให้เปิดคอนโซลในฐานะผู้ดูแลระบบในโฟลเดอร์ที่เกี่ยวข้อง แล้วเรียกใช้คำสั่งต่อไปนี้:

WMIMon.exe

หากคุณต้องการบันทึกผลลัพธ์เพื่อตรวจสอบในภายหลัง:

WMIMon.exe > Data.txt

กด Ctrl + C เพื่อหยุดการจับกุม

นอกจากนี้ คุณยังสามารถเปิดใช้งานการบันทึกข้อมูลการติดตามชั่วคราวจาก Event Viewer ได้อีกด้วย:

1. เปิดเมนู ดู และเปิดใช้งาน แสดงบันทึกการวิเคราะห์และการแก้ไขข้อผิดพลาด.
2. ไปที่ Microsoft > Windows > WMI-Activity
3. เปิดใช้งานการลงทะเบียน ติดตาม.
4. มันจำลองการใช้พลังงานสูงและบันทึกเหตุการณ์ที่ถูกดักจับไว้
5. ปิดการบันทึกข้อมูล Trace ในตอนท้ายเพื่อหลีกเลี่ยงการสร้างข้อมูลที่ไม่จำเป็น

ในเหตุการณ์เหล่านี้ คุณสามารถค้นหา `ClientProcessId`, คำสั่ง SQL ที่ดำเนินการ, คลาส WMI, ผู้ให้บริการ และผู้ใช้ที่เริ่มต้นการดำเนินการได้

ควรทำอย่างไรหลังจากระบุตัวผู้รับผิดชอบได้แล้ว

เมื่อคุณระบุลูกค้า ซัพพลายเออร์ หรือแอปพลิเคชันที่เกี่ยวข้องกับกิจกรรมได้แล้ว ให้นำโซลูชันไปใช้กับส่วนประกอบนั้น:

ตรวจพบแหล่งที่มา	มาตรการที่แนะนำ
โปรแกรมติดตามผล	เพิ่มช่วงเวลาการให้คำปรึกษา ปิดใช้งานเซ็นเซอร์ที่ไม่จำเป็น หรืออัปเดตแอปพลิเคชัน
ยูทิลิตี้ของผู้ผลิต	อัปเดต ซ่อมแซมการติดตั้ง หรือถอนการติดตั้งชั่วคราวเพื่อตรวจสอบสาเหตุ
สคริปต์พาวเวอร์เชลล์	วงจรการทบทวน คำถามที่กว้างเกินไป และความถี่ในการดำเนินการ
ผู้ให้บริการที่เชื่อมโยงกับตัวควบคุม	อัปเดตหรือติดตั้งไดรเวอร์ใหม่จาก Windows Update หรือจากผู้ผลิต
ตัวแทนธุรกิจ	ตรวจสอบนโยบาย สินค้าคงคลัง และช่วงเวลาการสำรวจกับผู้ดูแลระบบอีกครั้ง
แอปพลิเคชันที่ไม่รู้จัก	ตรวจสอบตำแหน่งที่ตั้ง ลายเซ็นดิจิทัล และวิเคราะห์ระบบก่อนที่จะเรียกใช้งานอีกครั้ง

ถ้าคุณระบุไม่ได้ ให้ดำเนินการ... เริ่มต้นใหม่ เพื่อตรวจสอบว่ามีบริการของบุคคลที่สามเกี่ยวข้องหรือไม่ ขั้นแรกให้ซ่อนบริการของ Microsoft ทั้งหมดใน `msconfig` ปิดใช้งานบริการที่เหลือ และปิดใช้งานแอปพลิเคชันที่เริ่มต้นทำงานโดยอัตโนมัติชั่วคราว จากนั้น เปิดใช้งานรายการทีละรายการจนกว่าคุณจะพบต้นเหตุของปัญหา

วิธีซ่อมแซม WMI โดยไม่ทำให้ระบบเสียหาย

การรีสตาร์ทคอมพิวเตอร์อาจช่วยแก้ไขปัญหาเครื่องค้างชั่วคราวได้ นอกจากนี้ คุณยังสามารถรีสตาร์ทบริการ Windows Management Instrumentation ได้ แต่การทำเช่นนั้นจะหยุดการทำงานของแอปพลิเคชันและบริการที่ใช้ WMI ชั่วคราว ไม่ควรใช้เป็นวิธีแก้ปัญหาถาวรหากปัญหาเกิดขึ้นซ้ำอีก

ก่อนทำการแก้ไขที่เก็บข้อมูล โปรดซ่อมแซมอิมเมจ Windows และไฟล์ที่ได้รับการป้องกันจากคอนโซลด้วยสิทธิ์ผู้ดูแลระบบ:

DISM.exe /Online /Cleanup-Image /RestoreHealth

เมื่อ DISM ทำงานเสร็จแล้ว ให้รันคำสั่งต่อไปนี้:

sfc /scannow

หาก WMI ยังคงแสดงข้อผิดพลาด และมีข้อบ่งชี้ที่ชัดเจนว่าที่เก็บข้อมูลเสียหาย ให้ตรวจสอบความสอดคล้องของที่เก็บข้อมูล:

winmgmt /verifyrepository

ดำเนินการตามผลลัพธ์:

• คลังเก็บข้อมูลมีความสอดคล้องกัน: อย่ารีเซ็ต ให้ค้นหาแอป บริการ หรือผู้ให้บริการที่เกี่ยวข้องต่อไป
• คลังข้อมูลมีความไม่สอดคล้องกัน: ลองพยายามเอามันกลับคืนมาด้วย winmgmt /salvagerepository.
• การกู้คืนล้มเหลว: winmgmt /resetrepository ฟังก์ชันนี้จะคืนค่าที่เก็บข้อมูลกลับสู่สถานะเริ่มต้น และควรใช้เฉพาะในกรณีที่สมเหตุสมผล หรือตามคำแนะนำจากฝ่ายสนับสนุนทางเทคนิคเท่านั้น

ไมโครซอฟต์ได้ออกคำเตือนอย่างชัดเจนว่า ไม่ควรลบที่เก็บข้อมูล WMI ด้วยตนเองเป็นขั้นตอนแรกเนื่องจากการกระทำนี้อาจทำให้ระบบปฏิบัติการ Windows หรือแอปพลิเคชันที่ติดตั้งไว้เสียหายได้

วิธีตรวจสอบว่าไฟล์ WmiPrvSE.exe เป็นไวรัสหรือไม่

WMI Provider Host ดั้งเดิมเป็นส่วนประกอบของ Windows ที่ถูกต้องตามกฎหมาย เพื่อตรวจสอบกระบวนการ:

1. เปิด ตัวจัดการงาน และเข้าไปที่รายละเอียด.
2. บีม คลิกขวาที่ไฟล์ `WmiPrvSE.exe`.
3. เลือก เปิดตำแหน่งไฟล์.
4. ตรวจสอบให้แน่ใจว่าอยู่ในนั้น C:\Windows\System32\wbem.
5. เปิดดูคุณสมบัติของไฟล์และตรวจสอบว่าไฟล์นั้นมีลายเซ็นดิจิทัลของ Microsoft ที่ถูกต้องหรือไม่

หากตำแหน่งที่ตั้งหรือลายเซ็นไม่ตรงกัน ให้ทำการสแกนแบบเต็มรูปแบบด้วย Windows Security หากคุณพบอาการเพิ่มเติม เช่น กระบวนการที่ไม่รู้จัก การยกเว้นโปรแกรมป้องกันไวรัสที่คุณไม่ได้สร้างขึ้น หรือการเชื่อมต่อที่น่าสงสัย คุณสามารถใช้การสแกนแบบออฟไลน์ของ Microsoft Defender ได้เช่นกัน

การใช้งาน WMI อย่างถูกต้องตามกฎหมายโดยแอปพลิเคชันไม่ได้รับประกันว่าแอปพลิเคชันนั้นปลอดภัย แต่การใช้งาน WmiPrVSE.exe ในปริมาณมากก็ไม่ได้พิสูจน์ว่ามีการติดไวรัสเสมอไป

สิ่งที่คุณไม่ควรทำเพื่อลดการบริโภคของคุณ

เพื่อป้องกันไม่ให้วิธีแก้ปัญหาชั่วคราวนำไปสู่ปัญหาที่ใหญ่กว่าเดิม:

• อย่าปิดใช้งานบริการ Winmgmt อย่างถาวร.
• ห้ามลบหรือเปลี่ยนชื่อไฟล์ WmiPrvSE.exe.
• อย่าลบโฟลเดอร์ที่เก็บข้อมูล WMI ด้วยตนเอง.
• อย่าวิ่ง winmgmt /resetrepository เป็นวิธีแก้ปัญหาเบื้องต้น.
• อย่าปิดการทำงานของ WmiPrSE.exe ทุกอินสแตนซ์ โดยไม่ได้ระบุว่าสิ่งใดใช้ทรัพยากรมากที่สุด
• อย่าติดตั้งเครื่องมือซ่อมแซม WMI ที่อ้างว่าใช้งานได้จากเว็บไซต์ที่ไม่รู้จัก.

การยุติการทำงานของอินสแตนซ์ที่มีปัญหาอาจเป็นการแก้ไขปัญหาชั่วคราว แต่ Windows สามารถเริ่มต้นการทำงานใหม่ได้ หากไคลเอนต์ยังคงส่งคำขอเดิมซ้ำ ปัญหาก็จะกลับมาอีก

WMI ใน Enterprise Teams, Hyper-V และสภาพแวดล้อมเสมือนจริง

ในระบบที่มีการจัดการ WMI สามารถรับคำขอจากแพลตฟอร์มสินค้าคงคลัง การตรวจสอบ การรักษาความปลอดภัย หรือการจัดการระยะไกลได้ นอกจากนี้ Hyper-V ยังเปิดเผยข้อมูลการจัดการและการดำเนินงานผ่านทางผู้ให้บริการ WMI อีกด้วย

เมื่อพบการใช้ทรัพยากรบนเซิร์ฟเวอร์หรือคอมพิวเตอร์ของบริษัท ให้ตรวจสอบสิ่งต่อไปนี้เป็นพิเศษ:

• มีการติดตั้งโปรแกรมตรวจสอบการทำงานล่าสุดแล้ว
• การเปลี่ยนแปลงในนโยบายสินค้าคงคลังหรือนโยบายด้านความปลอดภัย
• สคริปต์ที่กำหนดเวลาไว้ซึ่งจะทำงานโดยใช้บัญชีบริการ
• ช่วงเวลาการตรวจสอบสั้นเกินไป
• ผู้ให้บริการที่เพิ่มเข้ามาโดยเครื่องมือเวอร์ชวลไลเซชันหรือเครื่องมือการจัดการ

ห้ามถอนการติดตั้งเอเจนต์เหล่านี้โดยไม่ปรึกษาผู้ดูแลระบบก่อน สำหรับระบบประเภทนี้ การบันทึกชื่อผู้ใช้ กระบวนการไคลเอ็นต์ การสืบค้น และผู้ให้บริการโดยใช้ WMIMon หรือบันทึกการติดตาม (Trace log) จะมีประโยชน์อย่างยิ่ง

คำถามที่พบบ่อยเกี่ยวกับ WMI Provider Host

WMI Provider Host เป็นไวรัสหรือไม่?

ไม่ WMI Provider Host เป็นส่วนประกอบของ Windows ที่ถูกต้องตามกฎหมาย ไฟล์ต้นฉบับอยู่ที่ C:\Windows\System32\wbem และไฟล์นั้นได้รับการลงนามโดย Microsoft คุณควรสงสัยหากพบไฟล์ที่มีชื่อเดียวกันในโฟลเดอร์อื่น หรือไม่มีลายเซ็นที่ถูกต้อง

เป็นเรื่องปกติหรือไม่ที่จะมีกระบวนการ WmiPrvSE.exe หลายตัวพร้อมกัน?

ใช่แล้ว Windows สามารถเรียกใช้งานหลายอินสแตนซ์เพื่อรองรับผู้ให้บริการที่แตกต่างกัน หรือแยกการใช้งานตามบัญชีและระดับความปลอดภัย จำนวนกระบวนการเพียงอย่างเดียวไม่ได้เป็นตัวกำหนดว่าเกิดความล้มเหลวหรือไม่

ฉันสามารถยุติการทำงานของ WMI Provider Host จาก Task Manager ได้หรือไม่?

คุณสามารถยุติการทำงานของอินสแตนซ์เป็นการชั่วคราวได้ แต่การสืบค้นข้อมูลหรือแอปพลิเคชันบางอย่างอาจหยุดทำงาน และ Windows อาจเริ่มต้นการทำงานใหม่ วิธีที่ดีที่สุดคือตรวจสอบ PID และไคลเอ็นต์ที่สร้างกิจกรรมนั้นก่อน

ทำไมมันถึงเริ่มใช้ CPU อีกครั้งหลังจากรีสตาร์ท?

เนื่องจากการรีสตาร์ท WmiPrvSE.exe ไม่ได้แก้ไขปัญหาของแอปพลิเคชัน สคริปต์ หรือผู้ให้บริการที่ทำการสอบถาม เมื่อไคลเอนต์เชื่อมต่อใหม่ กระบวนการของโฮสต์จะต้องประมวลผลคำขอเหล่านั้นอีกครั้ง

ฉันควรรีเซ็ตที่เก็บข้อมูล WMI หรือไม่?

เฉพาะในกรณีที่ winmgmt /verifyrepository นี่แสดงให้เห็นว่าระบบมีความไม่สอดคล้องกัน และมาตรการที่ไม่รุนแรงไม่สามารถแก้ไขปัญหาได้ การใช้งาน CPU สูงไม่ได้หมายความว่าที่เก็บข้อมูลเสียหายเสมอไป

ฉันจะหาโปรแกรมที่กระตุ้นการใช้พลังงานได้อย่างไร?

โปรดสังเกต PID ของอินสแตนซ์ WmiPrvSE.exe ตรวจสอบกิจกรรม WMI ใน Event Viewer และใช้ Process Explorer เพื่อระบุผู้ให้บริการ หากคุณต้องการเชื่อมโยงการสืบค้นกับกระบวนการไคลเอ็นต์ ให้ใช้ WMIMon หรือเปิดใช้งานกิจกรรม/การติดตาม WMI ชั่วคราว

โดยส่วนใหญ่แล้ว ปัญหาจะได้รับการแก้ไขโดยการอัปเดต ซ่อมแซม หรือกำหนดค่าโปรแกรมที่ส่งคำขอมากเกินไปใหม่ โดยปกติแล้ว WMI Provider Host จะเป็นกระบวนการที่สะท้อนถึงภาระงาน ไม่ใช่ส่วนประกอบที่ก่อให้เกิดภาระงานนั้น