C:\Windows\Temp 是 Windows 操作系统中的临时文件夹，用于存储临时性的文件和数据。这些临时文件可能是由操作系统、应用程序或用户活动生成的，通常用于暂存数据、缓存文件或执行临时操作

Windows Health and Optimized Experiences（whesvc）完整拆解解构

基础信息

全称：Windows Health and Optimized Experiences

内部服务名：whesvc

工作目录：C:\Windows\Temp\DiagOutputDir\Whesvc

关键前置说明：

whesvc 并非传统内置常驻系统服务（不在 HKLM\SYSTEM\CurrentControlSet\Services 永久注册），属于按需启动、临时执行的诊断遥测辅助载体，由 DiagTrack、诊断框架动态调度；常被归类为现代 Windows 健康评估子模块，大量资料容易和 DeviceCensus、CompatTelRunner 混淆。

一、底层定位与核心职能

采集系统运行健康指标、性能基线、配置异常、驱动运行状态、存储 / 内存负载快照；
执行轻量自动化优化检测（休眠配置、页面文件、启动项、电源策略、磁盘健康）；
生成标准化健康事件，通过 ETW 送入 DiagTrack 遥测管线；
支撑云端侧 Windows 更新兼容性评估、系统故障趋势统计、优化建议推送；
输出诊断日志、快照存放路径固定：C:\Windows\Temp\DiagOutputDir\Whesvc。

重要边界：

whesvc 不具备独立 HTTPS 上传能力；采集产出数据依靠 ETW 事件交给 diagtrack.dll 上传至 vortex-win.data.microsoft.com；

无独立直报域名，不存在类似 setup360telemetry.dll 的旁路上报通道。

二、目录结构 & 依赖文件体系

工作目录

C:\Windows\Temp\DiagOutputDir\Whesvc

目录内一般包含：

*.etl：临时 ETW 捕获日志快照
*.log：whesvc 自身运行日志
config.xml：采集规则配置文件
snapshot.json：系统健康结构化快照

核心二进制依赖（系统目录加载）

diagtrack.dll：遥测消费对接层，接收 whesvc 输出事件
diagnosticpolicy.dll（DPS 承载）：遥测策略裁决、字段脱敏、GDID 过滤
windowscoredeviceinfo.dll：硬件信息标准化采集库
advapi32.dll / kernel32.dll：注册表、进程、系统信息查询
powrprof.dll：电源策略、休眠配置检测
cfgmgr32.dll：驱动、PnP 设备状态枚举
etwprov.dll：ETW 事件封装输出
winhttp.dll（间接依赖）：供上游 DiagTrack 执行网络上传

关键注册表控制点

reg

# 遥测总策略（控制whesvc产出事件过滤规则）
HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection
AllowTelemetry

# Windows诊断框架全局配置
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Diagnostics

三、底层运行原理

完整执行时序链路

plaintext

触发源（DiagTrack调度 / 计划任务 / 系统空闲触发器）
        ↓
启动whesvc执行实例
        ↓
加载内置采集规则config.xml
        ├─ 读取系统健康状态（内存、磁盘、电源、驱动、启动项）
        ├─ 检测系统常见性能配置缺陷
        ├─ 调用windowscoredeviceinfo读取硬件基线
        ├─ 尝试通过CDP接口读取已有GDID缓存（条件满足则附加）
        ↓
生成结构化健康快照，本地写入 Temp\DiagOutputDir\Whesvc
        ↓
通过EventWrite输出ETW事件（专属Provider：Microsoft-Windows-Whesvc）
        ↓
Diagtrack-Listener ETW会话捕获事件
        ↓
diagtrack.dll 调用 diagnosticpolicy.dll 策略校验
        ├─ 裁决放行 → 进入DiagTrack缓存队列，批量上传 vortex-win.data.microsoft.com
        └─ 裁决拦截 → 事件丢弃，仅本地临时快照保留（部分版本自动清理临时文件）

四大核心运行机制

机制 1：触发调度机制

三种启动方式：

DiagTrack 内部调度（系统空闲时段低频触发）
配套应用体验计划任务间接唤起
用户手动触发疑难解答时按需拉起

不属于开机自启常驻进程，执行完成后退出，临时目录文件会按老化策略自动清理。

机制 2：数据采集范围

系统基础信息：OS 版本、补丁安装状态、系统启动时长；
硬件健康：磁盘 SMART 基础状态、内存配置、CPU 负载基线；
性能配置：页面文件设置、休眠开启状态、电源计划；
驱动状态：驱动版本、异常驱动加载记录；
启动项、后台服务基础清单（不含用户进程完整路径）；
系统错误事件日志摘要（不采集完整崩溃 dump）。

机制 3：GDID 附加逻辑

whesvc 不会主动调用 wlidsvc 申领 GDID；
仅读取系统现存 GDID 缓存；
前置条件：CDPSvc 运行 + HKCU\IdentityCRL存在 PUID (LID)；
AllowTelemetry=1场景下，策略引擎可剥离数据包内 GDID 唯一标识。

机制 4：本地临时存储机制

所有中间快照落地目录：C:\Windows\Temp\DiagOutputDir\Whesvc

作用：ETW 事件丢失兜底缓存；
生命周期：默认数天自动清理；
风险点：临时目录留存硬件与系统快照，本地存在信息暴露面。

四、依赖关系梳理

硬性强制依赖

ETW 内核子系统：事件输出唯一载体；
RPCSs：DPS、CDPSvc、DiagTrack 跨进程通信；
DiagTrack 服务：唯一 ETW 事件消费者；关闭 DiagTrack，采集数据无法云端上报；
DPS（Diagnostic Policy Service）：提供diagnosticpolicy.dll策略过滤引擎。

可选依赖

CDPSvc：用于读取 GDID；禁用后上报载荷不再携带设备唯一标识；采集功能本身不受影响；
WMI：备选系统信息查询通道；
wlidsvc：无直接依赖；仅负责 GDID 生成源头，whesvc 只做读取。

完全无依赖

OOBE 相关组件（msoobe、oobeldr、BypassNRO）；
WER 崩溃报告（Watson）；
DeviceCensus 计划任务（并行采集，互相独立数据源）；
DoSvc 传递优化；

五、上下游配套链（并入你整套遥测生态体系）

上游（触发 / 数据生产者）

DiagTrack（utcsvc）
Windows 疑难解答框架
系统空闲监测触发器

下游（数据消费）

DiagTrack → vortex-win.data.microsoft.com
本地临时日志：C:\Windows\Temp\DiagOutputDir\Whesvc

同层级并行遥测采集器横向对比

采集程序	上报通道	独立直报	GDID 行为	管控策略	目标域名
whesvc	ETW→DiagTrack 主线	❌	读取已有缓存	AllowTelemetry+DPS	vortex-win.data.microsoft.com
DeviceCensus.exe	ETW→DiagTrack 主线	❌	读取已有缓存	AllowTelemetry+DPS	vortex-win.data.microsoft.com
UserOOBEBroker.exe	ETW 主线 + setup360telemetry 旁路	✅双链路	MSA 登录生成源头	主线受控，旁路策略盲区	vortex、sqm.microsoft.com
WerFault/WerSvc	WER 独立通道	✅独立通道	可选附加	WER 组策略	watson.microsoft.com

六、运维与安全加固手段

1. 阻断上报链路（推荐组合方案）

组策略：AllowTelemetry = 1（所需诊断数据，启用过滤规则）
防火墙域名阻断（复用 DiagTrack 阻断列表）

plaintext

vortex-win.data.microsoft.com
v10.events.data.microsoft.com
v10c.events.data.microsoft.com

2. 限制 whesvc 执行

权限 ACL 加固：限制进程启动权限；
定时清理 C:\Windows\Temp\DiagOutputDir\Whesvc 目录，消除本地快照残留；

3. 联动配套服务管控

CDPSvc、CDPUserSvc：禁用，阻止 GDID 注入遥测数据包；
平衡模式保留 DiagTrack，依靠策略过滤；严格隔离模式直接禁用 DiagTrack。

七、高频认知误区澄清

误区 1：whesvc 是独立 Windows 服务，可以在 services.msc 找到

❌

属于动态临时诊断任务，不在服务注册表永久注册，services.msc 无法直接查看；由诊断框架按需生成进程实例。

误区 2：目录`C:\Windows\Temp\DiagOutputDir\Whesvc`是程序安装目录

❌

这是输出日志与快照存放目录，不是二进制程序所在路径；whesvc 主体二进制位于系统 System32 诊断相关模块集合内。

误区 3：禁用 whesvc 就能阻止 GDID 生成

❌

GDID 由wlidsvc+login.live.com在 MSA/OOBE 阶段生成；whesvc 只是可选读取方，不是生成源头。

误区 4：whesvc 会上传进程 dump、故障完整日志

❌

仅上传摘要指标；完整日志仅临时保存在本地 Temp 目录，不会默认上传云端。

C:\Windows\SoftwareDistribution\Download 完整拆解解构

基础信息

路径：C:\Windows\SoftwareDistribution\Download

归属组件：Windows Update 客户端（wuauserv / UsoClient、DoSvc）

核心定位：Windows 更新临时载荷下载目录，存放系统更新补丁、累积更新、驱动更新、Feature 更新分块安装包。

关键区分：SoftwareDistribution 完整目录为 Windows Update 工作根目录；Download 是其中纯载荷存储子目录，不含数据库、状态缓存（数据库位于 C:\Windows\SoftwareDistribution\DataStore）。

一、底层原理

运行机制时序

plaintext

UsoClient / 设置-Windows更新 发起更新扫描
↓
wuauserv(Windows Update service) 向WSUS/MU服务器查询可用更新清单
↓
筛选需要下载的更新包，生成下载任务
↓
DoSvc(传递优化服务) / BITS后台智能传输服务执行文件下载
↓
更新分块文件、完整CAB/MSU包落地至 `SoftwareDistribution\Download\随机GUID子文件夹`
↓
下载校验哈希通过 → 调度TrustedInstaller启动更新安装
↓
安装成功后：系统不会立刻自动删除目录文件，等待自动清理维护任务；
安装失败：文件长期保留，等待重试安装；

目录文件命名规则

内部大量 GUID 命名子文件夹 {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}
文件夹内：.cab、.msu、更新清单 xml、校验文件、分块临时文件
存在临时 .tmp 后缀文件：正在下载未完成的更新载荷
旧版本更新包长期堆积，持续占用系统盘空间

生命周期规则

文件生命周期：下载完成 → 安装；
无强制即时自动清理；依靠「自动维护任务」、磁盘清理 (cleanmgr)、重置 Windows Update 触发删除；
手动删除目录内文件安全可行，不会破坏当前已安装系统；仅丢失未安装更新安装包，下次更新会重新下载。

二、依赖文件 & 关联系统组件

核心关联可执行程序

wuaueng.dll：Windows Update 服务核心逻辑（wuauserv 宿主）
UsoClient.exe：统一更新平台命令行控制程序
bitsadmin.exe / qmgr.dll：BITS 后台传输，负责下载文件写入该目录
dosvc.dll：传递优化，P2P 更新分发，同样写入此目录
wusa.exe：独立 MSU 更新安装器，读取该目录内更新包
TrustedInstaller.exe（tiworker.dll）：执行更新安装、文件替换
cleanmgr.exe：磁盘清理组件，识别并清理 Download 目录缓存

关键注册表控制点

reg

# Windows Update根路径配置
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate
CachePath    可修改SoftwareDistribution根目录位置

# BITS传输任务配置
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\BITS

配套服务清单

wuauserv（Windows Update）：更新扫描、任务调度核心
bits（Background Intelligent Transfer Service）：文件下载载体
DoSvc（Delivery Optimization）：传递优化 / P2P 下载
TrustedInstaller：受保护系统文件更新安装
UsoSvc（Update Orchestrator Service）：更新编排调度

三、完整逻辑链路

正常更新链路

plaintext

UsoClient.exe → UsoSvc → wuauserv
    ↓
查询微软更新服务器/本地WSUS
    ↓
下发更新任务 → BITS / DoSvc 启动下载
    ↓
文件写入 C:\Windows\SoftwareDistribution\Download\{GUID}\
    ↓
哈希校验 → 调用TrustedInstaller执行更新部署
    ↓
更新成功 → 文件等待系统维护任务延时清理
    ↓
更新失败 → 数据包保留，下次扫描尝试重新安装

清理链路

方式 1：cleanmgr /sageset 勾选「Windows 更新清理」，扫描目录冗余补丁并删除

方式 2：停止 wuauserv + BITS，手动删除 Download 全部内容

方式 3：自动维护任务在系统空闲时段定期清理老旧更新缓存

四、依赖关系梳理

硬性依赖

BITS 服务：绝大多数更新文件写入该目录的传输载体；
wuauserv：更新任务管理，定义下载目标路径；
NTFS 文件系统：支持大文件、权限 ACL；
RPCSs：服务之间进程通信。

可选依赖

DoSvc（传递优化）：关闭后仅无法 P2P 下载，仍可直连微软服务器下载；
WSUS 组策略：内网环境定向更新源，互联网终端不需要；
TrustedInstaller：仅安装阶段依赖；仅下载不安装场景无依赖。

完全无依赖

OOBE 组件、BypassNRO、msoobe；
DiagTrack、DPS、whesvc、DeviceCensus 遥测采集链路；
WER 崩溃报告、GDID、wlidsvc、CDPSvc；

⚠️ 重要边界：该目录本身不产生任何遥测数据，不参与 GDID 上报流程；仅负责更新载荷存储，和设备遥测管线相互独立。

五、配套链（上下游）

上游（数据流入）

微软更新服务器 (dl.delivery.mp.microsoft.com)
内网 WSUS 服务器
DoSvc P2P 对等节点
BITS 后台传输任务

下游（数据消费）

TrustedInstaller（系统更新安装）
wusa.exe（手动离线安装 MSU）
cleanmgr（缓存清理）

六、风险、运维管控、常见操作

安全风险点

目录默认权限宽松，低权限用户可读缓存内更新包；
大量缓存长期堆积，消耗系统盘存储空间；
恶意程序若具备写入权限，可放置伪造更新包进行提权攻击（需要 TrustedInstaller 条件，攻击门槛高）；
企业终端大量终端重复下载相同补丁，占用出口带宽（推荐开启 WSUS / 传递优化）。

运维标准操作

1）安全清空缓存（标准脚本）

cmd

net stop wuauserv
net stop bits
rd /s /q C:\Windows\SoftwareDistribution\Download
net start bits
net start wuauserv

仅删除 Download；建议保留 DataStore 数据库，避免更新历史丢失。

2）组策略管控方向

配置 WSUS 服务器地址，统一内网更新；
配置传递优化模式，限制外网 P2P；
配置自动维护计划，定期清理更新缓存；
磁盘配额限制系统盘，防止缓存无限膨胀。

七、常见认知误区澄清

误区 1：删除 Download 目录会导致系统损坏

❌

目录仅存放尚未安装 / 已安装完成的更新安装包，不包含正在运行的系统文件；手动删除不会破坏现有系统。

误区 2：SoftwareDistribution\Download 存放更新数据库

❌

更新状态数据库在 DataStore；Download只存安装介质。

误区 3：修改此目录权限可以阻止 Windows 更新

❌

控制更新启用 / 禁用依靠 Windows Update 组策略，不能依靠目录权限拦截。

误区 4：该目录文件会自动上传遥测服务器

❌

目录仅作为下载存储；无任何上传逻辑，遥测由独立 DiagTrack 体系完成。

横向链路对照表（并入你的评估体系）

对象	核心职能	是否参与遥测 / GDID	管控手段	外部网络目标
SoftwareDistribution\Download	Windows 更新包本地缓存	❌ 不参与遥测	停止 wuauserv 手动清理、WSUS 组策略	dl.delivery.mp.microsoft.com
DeviceCensus.exe	硬件普查 ETW 采集	✅ 可附加 GDID	任务计划禁用、AllowTelemetry 策略	vortex-win.data.microsoft.com
whesvc	系统健康指标采集	✅ 可附加 GDID	DiagTrack 策略过滤	vortex-win.data.microsoft.com
OOBE UserOOBEBroker	开箱行为埋点	✅ 双上报通道	BypassNRO 规避 MSA 登录	vortex、sqm.microsoft.com

如果你需要，我可以把这条条目标准化格式，追加进你统一的资产风险 Markdown 总表格。

C:\Windows\SoftwareDistribution\Download\Install

C:\Windows\SoftwareDistribution\Download\SharedFileCache

完整拆解解构（统一格式，适配你的终端风险评估体系）

基础总览

父路径：C:\Windows\SoftwareDistribution\Download

归属组件：Windows Update 客户端栈（wuauserv、UsoSvc、BITS、DoSvc、TrustedInstaller）

二者是 Download 下二级子缓存目录，承担更新安装阶段临时文件隔离、共享更新资源复用，和顶层 Download 根目录分工明确。

一、C:\Windows\SoftwareDistribution\Download\Install

1. 底层定位

Install = 更新安装临时工作目录

作用：更新包解压、文件暂存、更新事务回滚快照、安装日志临时落地；

仅在 TrustedInstaller（tiworker）执行更新部署期间活跃。

2. 底层运行原理

plaintext

更新包下载至 Download\{GUID}\*.cab/*.msu
        ↓
启动TrustedInstaller部署任务
        ↓
将安装所需文件释放、中转复制到 Install 目录
        ├─ 存放待替换系统文件副本
        ├─ 生成更新事务回滚备份（更新失败用于撤销变更）
        ├─ 存放更新组件注册、权限配置临时脚本
        ↓
执行系统文件替换、注册表项更新
        ├─ 更新成功：标记目录内容为可清理
        └─ 更新失败：保留回滚快照，执行撤销操作
        ↓
系统自动维护任务 / cleanmgr 后期清理Install内残留文件

关键特性：

属于瞬时工作目录，不是长期包存储目录；
承载更新回滚能力核心；若强制删除正在使用的 Install 内文件，会导致更新无法卸载、回滚失效；
正常更新完成后不会立刻删除，等待系统空闲维护窗口清理。

3. 依赖文件

tiworker.dll（TrustedInstaller 宿主）：更新安装核心
wusa.exe：MSU 离线安装程序，同样使用 Install 临时目录
wuaueng.dll：Windows Update 服务调度
cbscore.dll：CBS（基于组件的安装服务），负责系统组件替换
poqexec.exe：预安装队列执行工具

4. 依赖关系

硬性依赖

TrustedInstaller / CBS（Component Based Servicing）
wuauserv + UsoSvc 更新编排服务
NTFS 权限（需要 SYSTEM、TrustedInstaller 高权限写入）
RPCSs 跨进程通信

可选依赖

BITS/DoSvc：仅负责上游下载，不参与 Install 目录内部逻辑
cleanmgr.exe：后期清理载体

完全无依赖

遥测体系（DiagTrack、whesvc、DeviceCensus、GDID、OOBE 组件）

5. 完整逻辑链路

上游：Download\{GUID} 下载包 → 解压中转

中游：Install 目录 → CBS 执行系统文件更新

下游：更新完成 → 等待自动清理；更新失败 → 使用 Install 内快照回滚

6. 配套链上下游

上游：BITS/DoSvc 下载的更新安装包
中游：TrustedInstaller + CBS 组件服务
下游：磁盘清理、系统自动维护任务

7. 风险与运维要点

更新正在进行时严禁删除 Install 目录，极易引发系统组件损坏、更新卡死；
空闲状态下可安全删除残留文件；
目录膨胀多见于多次更新失败、更新中断场景；
目录内留存被替换的旧系统文件副本，存在本地敏感文件残留风险。

8. 常见误区

误区：Install 目录存放更新安装包

❌

安装包在顶层 Download {GUID}；Install 只存放解压后的临时工作文件与回滚备份。

二、C:\Windows\SoftwareDistribution\Download\SharedFileCache

1. 底层定位

SharedFileCache = 更新共享文件缓存

核心设计目标：多更新包共用组件复用，避免重复下载相同二进制文件

现代累积更新、.NET 更新、驱动更新大量存在共用基础组件，此目录作为全局共享资源池。

2. 底层运行原理

plaintext

wuauserv解析多个更新包清单
        ↓
识别不同更新中重复的文件有效载荷
        ↓
文件首次下载后存入 SharedFileCache 并建立哈希索引
        ↓
后续其他更新任务需要同一文件时，直接从SharedFileCache读取，不再重新联网下载
        ↓
更新安装时硬链接/复制文件至 Install 工作目录
        ↓
系统依据引用计数管理缓存：无任何更新任务引用该文件时，标记为待清理

关键特性：

使用文件哈希作为文件命名 / 索引依据；
引用计数机制：只要还有一个本地更新任务依赖，文件不会被删除；
同时被 BITS、DoSvc、UsoClient 共同调用；
传递优化（DoSvc）P2P 接收的共享组件也优先存入此缓存。

3. 依赖文件

wuaueng.dll：共享缓存索引管理逻辑
dosvc.dll：传递优化 P2P 载荷写入
qmgr.dll（BITS）：后台传输写入缓存
cbscore.dll：CBS 读取共享组件用于安装

4. 依赖关系

硬性依赖

wuauserv（维护共享缓存索引数据库）
NTFS 支持硬链接（提升文件复制性能）
RPCSs

可选依赖

DoSvc（传递优化 / P2P）；关闭后缓存依然工作，只是无法通过内网对等节点填充缓存
BITS

完全无依赖

遥测链路、OOBE、GDID 相关组件

5. 完整逻辑链路

plaintext

更新扫描 → 识别共用组件
首次下载 → SharedFileCache（哈希存储+引用计数+1）
后续更新需求 → 命中缓存，跳过下载
更新部署 → 从SharedFileCache供给Install目录
更新完成无引用 → 引用计数-1 → 计数=0 → 等待清理

6. 配套链上下游

上游：微软更新服务器 / WSUS / DoSvc P2P 节点
中游：供给 Install 安装目录作为文件源
下游：系统自动维护、cleanmgr 缓存回收

7. 风险与运维要点

SharedFileCache 极易持续占用大量磁盘空间；长期不清理可数个 GB；
手动删除目录会破坏引用计数，正在排队的更新会触发重新下载；
企业批量终端场景，配合 WSUS 可大幅降低公网流量，最大化发挥共享缓存价值。

8. 常见误区

误区：SharedFileCache 只是临时下载文件夹

❌

它是全局复用资源池，为多个更新任务提供共享二进制，是 Windows Update 带宽优化核心模块。

三、横向对比（可直接并入你的总 Markdown 表格）

路径名称	核心职能	是否参与系统遥测 / GDID	关键管控约束
SoftwareDistribution\Download	原始更新包（CAB/MSU）长期缓存	❌	空闲时可删除；更新进行中勿操作
SoftwareDistribution\Download\Install	更新安装临时目录 + 回滚快照	❌	更新运行期间禁止删除，防止更新损坏
SoftwareDistribution\Download\SharedFileCache	多更新共用组件共享缓存，节省带宽	❌	删除会导致共用文件重复下载

四、安全清理标准脚本（空闲窗口执行）

cmd

net stop wuauserv
net stop bits
net stop dosvc
:: 仅清理二级缓存，保留顶层Download GUID包（按需调整）
rd /s /q "C:\Windows\SoftwareDistribution\Download\Install"
rd /s /q "C:\Windows\SoftwareDistribution\Download\SharedFileCache"
net start dosvc
net start bits
net start wuauserv

建议：务必确认当前无正在运行的 Windows 更新任务再执行。

C:\Windows\SoftwareDistribution\Download 是一个 Windows 系统文件夹，用于存储 Windows 更新的下载文件。以下是关于这个文件夹的解释：

作用：
- 存储 Windows 更新的下载文件。当 Windows Update 服务检测到系统需要安装更新时，它会将更新文件下载到此文件夹中。
为什么存在：
- Windows 更新是确保系统安全性和性能的关键组成部分。为了安装最新的修复程序、安全更新和功能增强，Windows 操作系统会定期检查并下载更新文件。这些更新文件通常较大，因此需要一个专门的位置进行临时存储，以便在安装过程中使用。
如何使用：
- 用户一般不需要直接操作这个文件夹。Windows Update 服务会自动管理其中的内容。如果你需要清理磁盘空间，可以使用磁盘清理工具或手动删除这个文件夹中的内容，但在这样做之前，请确保你了解所采取的操作，以免影响系统的正常更新过程。

C:\Windows\SoftwareDistribution\Download 文件夹是 Windows 系统中负责存储更新文件的临时位置，它确保了系统可以及时获取并安装最新的修复程序和功能更新。

C:\Windows\SoftwareDistribution\Download\Install 和 C:\Windows\SoftwareDistribution\Download\SharedFileCache 这两个子文件夹是与 Windows 更新相关的临时存储目录。下面是对它们的解释：

Install 文件夹：
- 作用：Install 文件夹存储已下载但尚未安装的 Windows 更新文件。
- 为什么存在：当 Windows Update 服务下载更新时，它会将更新文件保存在 SoftwareDistribution\Download 文件夹中。这些文件在下载后待安装时会暂时存储在 Install 文件夹中。
- 如何使用：用户通常不需要直接操作这个文件夹。Windows Update 服务会自动管理其中的内容。在安装更新后，这些文件会从 Install 文件夹中移除。
SharedFileCache 文件夹：
- 作用：SharedFileCache 文件夹存储共享文件的缓存，这些文件可能被多个更新或组件所共享。
- 为什么存在：在 Windows 更新过程中，某些文件可能被多个更新或组件所需。为了避免重复下载和节省磁盘空间，这些共享文件会被缓存到 SharedFileCache 文件夹中。
- 如何使用：同样地，用户通常不需要直接操作这个文件夹。Windows Update 服务会自动管理其中的内容。这个缓存的目的是优化更新过程，确保共享文件可以被多个组件或更新共享，从而提高效率并节省资源。

这两个文件夹都是 Windows 更新过程中的临时存储位置，用于管理已下载但尚未安装的更新文件以及共享文件的缓存。它们的存在可以帮助优化更新过程，提高效率和节省资源。

C:\Windows\Logs文件夹中的名称代表了不同的日志和临时文件，用于记录系统操作、故障排除和维护信息。以下是对这些文件夹的简要解释：

BPA (Best Practices Analyzer):
- 作用：存储最佳实践分析器的日志文件，用于评估系统配置是否符合最佳实践。
CBS (Component-Based Servicing):
- 作用：存储组件基于的维护和更新操作的日志文件，与 Windows 组件的安装、卸载和修复有关。
DISM (Deployment Image Servicing and Management):
- 作用：存储部署映像服务和管理工具的日志文件，用于管理和维护 Windows 映像文件。
DPX (Data Protection Express):
- 作用：存储数据保护快速配置的日志文件，通常与 Windows Server Backup 有关。
MoSetup (Modern Setup):
- 作用：存储现代设置工具的日志文件，通常与 Windows 更新和安装过程有关。
NetSetup:
- 作用：存储网络设置的日志文件，通常与网络连接和配置有关。
RecoveryDrive:
- 作用：存储恢复驱动器创建和更新过程的日志文件，通常与系统恢复功能相关。
SetupCleanupTask:
- 作用：存储设置清理任务的日志文件，通常与系统安装和升级后的清理操作相关。
SIH (System Inventory Helper):
- 作用：存储系统清单助手的日志文件，用于生成系统硬件和软件清单。
StorGroupPolicy.log:
- 作用：存储存储组策略的日志文件，通常与存储管理和配置相关。
waasmedic (Windows as a Service Medic):
- 作用：存储 Windows 作为服务诊断工具的日志文件，用于诊断 Windows 更新和部署问题。
WindowsUpdate:
- 作用：存储 Windows 更新的日志文件，通常记录了更新的安装和状态信息。
WinREAgent (Windows Recovery Environment Agent):
- 作用：存储 Windows 恢复环境代理的日志文件，用于记录系统恢复过程中的操作和状态。

这些日志文件通常用于故障排除、系统维护和性能优化，提供了对系统操作和状态的详细记录，有助于管理员了解系统的运行情况并进行必要的调整和修复

Windows 操作系统中有多个临时文件夹，它们用于存储临时文件、缓存和其他临时性数据，以帮助系统和应用程序正常运行。以下是常见的 Windows 临时文件夹：

%TEMP% 或 %TMP%:
- 作用：存储用户级别的临时文件，通常由当前登录用户和应用程序使用。
- 默认路径：C:\Users\用户名\AppData\Local\Temp 或 C:\Windows\Temp（系统级别的临时文件夹）。
Prefetch:
- 作用：存储预取数据，用于加速应用程序的启动速度。
- 默认路径：C:\Windows\Prefetch。
Recent:
- 作用：存储最近访问的文件和文件夹的快捷方式。
- 默认路径：C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Recent。
Internet Explorer 缓存文件夹:
- 作用：存储 Internet Explorer 浏览器的临时文件和缓存数据。
- 默认路径：C:\Users\用户名\AppData\Local\Microsoft\Windows\INetCache。
Windows Installer 临时文件夹:
- 作用：存储 Windows 安装程序临时文件，用于安装、升级和修复程序。
- 默认路径：C:\Windows\Installer。
Windows.old:
- 作用：存储在进行 Windows 升级或重装时备份的旧 Windows 系统文件。
- 默认路径：C:\Windows.old。
SoftwareDistribution:
- 作用：存储 Windows 更新的临时文件和下载的更新安装程序。
- 默认路径：C:\Windows\SoftwareDistribution。
Temp Internet Files:
- 作用：存储 Internet Explorer 或 Microsoft Edge 浏览器的临时互联网文件和缓存。
- 默认路径：C:\Users\用户名\AppData\Local\Microsoft\Windows\INetCache\IE 或 C:\Users\用户名\AppData\Local\Microsoft\Edge\User Data\Default\Cache。

这些临时文件夹在 Windows 系统中起着不同的作用，但都是为了提供临时存储空间，帮助系统和应用程序正常运行。在一般情况下，用户不需要手动管理这些临时文件夹，系统会自动清理过期或不再需要的临时文件。

Windows 系统中的特殊文件夹，它们在不同的 Windows 版本中可能有所不同。下面简要解释每个文件夹的作用：

AppData:
- 作用：存储应用程序特定的数据，包括配置文件、临时文件等。
- 为什么存在：为了将用户数据与程序文件分离，方便管理和维护。
- 如何使用：通常用于存储应用程序的设置、临时文件和缓存数据。
Application Data:
- 作用：与AppData相同，旧版Windows中的文件夹名称。
- 为什么存在：同样为了分离用户数据和程序文件，但是在早期Windows版本中使用的命名约定。
- 如何使用：与AppData文件夹功能相同，但在新版Windows系统中可能不再使用。
Cookies:
- 作用：存储浏览器中的 Cookie 文件，用于网站识别和用户身份验证等目的。
- 为什么存在：确保浏览器能够记住用户在网站上的登录状态和偏好设置。
- 如何使用：一般由浏览器自动管理，用户很少需要手动操作。
IntelGraphicsProfiles:
- 作用：存储英特尔集成显卡的配置文件和个性化设置。
- 为什么存在：方便用户自定义显卡的显示设置，如色彩校正、分辨率等。
- 如何使用：通常由英特尔显卡驱动程序自动管理，用户可以通过相关应用程序或控制面板进行调整。
Local Settings:
- 作用：存储与用户相关的临时文件和应用程序数据，通常只在本地计算机上可用。
- 为什么存在：避免将临时文件和个人数据保存到网络共享文件夹中，提高访问速度并减少网络流量。
- 如何使用：一般由操作系统或应用程序自动管理，用户很少需要手动操作。
My Documents:
- 作用：存储用户的文档、图片、音频、视频等个人文件。
- 为什么存在：提供一个集中管理用户个人文件的地方，方便用户查找和管理。
- 如何使用：用户通常会将自己的文档文件保存到这个文件夹中。
NetHood:
- 作用：存储网络资源的快捷方式，方便用户访问共享文件夹或网络打印机等资源。
- 为什么存在：方便用户快速访问网络资源，提高工作效率。
- 如何使用：当用户创建网络资源的快捷方式时，通常会保存到这个文件夹中。
PrintHood:
- 作用：存储打印机的快捷方式，方便用户管理和访问已安装的打印机。
- 为什么存在：提供一个集中管理打印机快捷方式的地方，方便用户管理和使用打印机。
- 如何使用：当用户创建打印机的快捷方式时，通常会保存到这个文件夹中。
Recent:
- 作用：存储最近访问的文件和文件夹的快捷方式，方便用户快速访问最近使用过的项目。
- 为什么存在：提供一个快速访问最近使用文件的方式，提高用户工作效率。
- 如何使用：系统会自动将最近使用的文件和文件夹的快捷方式保存到这个文件夹中。
SendTo:
- 作用：存储“发送到”菜单中的目标，用户可以将文件快速发送到指定的位置。
- 为什么存在：方便用户快速发送文件到特定的目标，如压缩文件、发送到桌面等。
- 如何使用：用户可以将自定义目标或文件夹快捷方式添加到这个文件夹中，以便在“发送到”菜单中使用。
Templates:
- 作用：存储用于创建新文件的模板文件，用户可以在创建新文件时选择使用这些模板。
- 为什么存在：方便用户根据预定义的模板创建新文件，提高工作效率。
- 如何使用：用户可以将常用的文件保存为模板，并将其放置在这个文件夹中，以便在创建新文件时使用。

这些文件夹的存在都是为了提高操作系统的易用性和用户体验，使用户能够更轻松地管理和访问他们的个人数据和系统资源。

这些文件都与 Windows 用户配置文件相关。让我逐个解释一下：

NTUSER.DAT:
- 作用：用户的注册表 hive 文件，包含了用户的配置信息和偏好设置。
- 为什么存在：用于存储用户的个性化设置，如桌面背景、浏览器首选项等。
- 如何使用：系统在用户登录时加载这个文件，以获取用户的配置信息和个性化设置。
NTUSER.DAT{ed272759-f976-11ee-9236-bc091bf4e543}.TM.blf:
- 作用：包含了 NTUSER.DAT 文件的事务元数据信息。
- 为什么存在：用于事务日志的管理和维护，确保注册表的完整性和一致性。
- 如何使用：系统在进行注册表操作时，会记录相关的事务信息到这个文件中。
ntuser.dat.LOG1 和 ntuser.dat.LOG2:
- 作用：也是注册表的事务日志文件，用于记录注册表的变更操作。
- 为什么存在：确保在系统崩溃或意外断电等情况下，可以通过事务日志文件还原注册表状态。
- 如何使用：系统会定期将注册表的变更操作记录到这些文件中，并在需要时使用它们进行恢复。
NTUSER.DAT{ed272759-f976-11ee-9236-bc091bf4e543}.TMContainer00000000000000000001.regtrans-ms 和 NTUSER.DAT{ed272759-f976-11ee-9236-bc091bf4e543}.TMContainer00000000000000000002.regtrans-ms:
- 作用：包含了注册表事务的转换信息。
- 为什么存在：用于管理注册表的事务操作，确保在系统异常情况下能够正确地提交或回滚注册表变更。
- 如何使用：系统在进行注册表事务操作时，会将相关的转换信息记录到这些文件中，以确保注册表操作的一致性和完整性。

这些文件都是 Windows 操作系统用于管理用户配置和注册表信息的重要组成部分。它们的存在确保了系统的稳定性和可靠性，同时也保证了用户的个性化设置能够得到正确地保存和恢复。

C:\Windows\Temp 是 Windows 操作系统中的临时文件夹，用于存储临时性的文件和数据。这些临时文件可能是由操作系统、应用程序或用户活动生成的，通常用于暂存数据、缓存文件或执行临时操作。

它的作用包括但不限于以下几点：

临时文件存储： 许多应用程序在运行过程中会生成临时文件，以便暂存数据或执行某些操作。这些文件通常存储在临时文件夹中，并在不再需要时被清理或删除。
系统临时数据： 操作系统本身也会生成临时数据，如日志文件、临时安装文件等。这些数据有助于系统运行时的各种操作，但在一定时间后可能会被删除以释放磁盘空间。
应用程序缓存： 某些应用程序可能会使用临时文件夹来存储缓存数据，以提高程序的性能或加快访问速度。这些缓存文件通常也可以被清理或重建。

关于这个临时文件夹，需要注意以下几点：

定期清理： 由于临时文件夹可能会积累大量临时文件，因此建议定期清理它以释放磁盘空间。可以使用操作系统提供的磁盘清理工具或手动删除不再需要的文件。
安全性考虑： 由于临时文件夹中可能包含敏感数据，如登录凭据、缓存文件等，因此需要确保在清理时不会删除重要的数据或文件。建议谨慎操作，并确保只删除不再需要的文件。
系统稳定性： 一些问题可能会与临时文件夹相关，例如磁盘空间不足导致系统性能下降或应用程序无法正常运行。定期清理临时文件夹可以有助于维护系统的稳定性和性能。

C:\Windows\Temp 是用于存储临时文件和数据的文件夹，它在操作系统和应用程序的正常运行中起着重要作用。然而，为了确保系统的稳定性和性能，建议定期清理临时文件夹，并谨慎处理其中的文件。

C:\Windows\Temp 文件夹的起源可以追溯到早期的 Microsoft Windows 操作系统版本。它是 Windows 操作系统中用于存储临时文件和数据的默认临时文件夹路径之一。

在 Windows 系统中，临时文件夹是一个常见的概念，用于存储临时生成的文件、缓存数据以及执行临时操作所需的数据。这些文件通常是由操作系统、应用程序或用户活动生成的，可能包括临时安装文件、日志文件、缓存文件等等。

C:\Windows\Temp 这个特定的路径在 Windows 中被指定为临时文件夹的默认路径之一。在早期的 Windows 版本中，如 Windows 95、Windows 98、Windows NT 等，这个路径就已经存在并被用作临时文件夹。

随着时间的推移，即使在较新的 Windows 版本中，例如 Windows 10 和 Windows 11，C:\Windows\Temp 仍然被保留为系统的临时文件夹之一。这是为了保持向后兼容性，并确保旧的应用程序和脚本能够继续正常工作，因为它们可能会依赖于这个特定的路径来访问临时文件。

因此，C:\Windows\Temp 文件夹的起源可以追溯到早期的 Windows 操作系统版本，并且在后续的 Windows 版本中仍然保留了其重要性和作用。

C:\Windows\Temp 文件夹的发展阶段主要可以从以下几个方面来描述：

早期阶段：
- 在早期版本的 Microsoft Windows 操作系统中，如 Windows 95、Windows 98 和 Windows NT，C:\Windows\Temp 文件夹已经存在，并被用作系统的临时文件夹之一。
- 在这个阶段，这个文件夹主要用于存储临时文件、缓存数据以及执行临时操作所需的数据。它为操作系统和应用程序提供了一个标准的临时存储位置。
持续存在：
- 随着 Windows 操作系统的演进，包括 Windows XP、Windows 7、Windows 10 等版本，C:\Windows\Temp 文件夹仍然持续存在，并继续作为系统的临时文件夹之一。
- 尽管 Windows 操作系统的功能和性能得到了显著改进，但为了保持向后兼容性，这个文件夹仍然保留了其重要性和作用。
安全性和管理改进：
- 随着对安全性和系统管理的日益重视，管理临时文件夹的策略和实践也得到了改进。
- Windows 系统提供了一些工具和功能，如磁盘清理工具、组策略设置等，帮助用户和管理员更有效地管理临时文件夹，并确保其中的文件不会对系统造成安全风险。
云存储和虚拟化的影响：
- 随着云存储和虚拟化技术的发展，一些临时文件和数据可能不再存储在本地的 C:\Windows\Temp 文件夹中，而是存储在云端或虚拟化环境中。
- 这些新的存储模式可能会改变临时文件夹的使用方式和需求，但 C:\Windows\Temp 文件夹仍然在本地系统中起着重要作用。

C:\Windows\Temp 文件夹经历了从早期版本的 Windows 操作系统到当前版本的演变过程，并且仍然在系统中扮演着重要的角色，尽管随着技术的发展和环境的变化，其具体的使用方式和管理方式可能有所改变。

C:\Windows\Temp 文件夹在 Windows 系统中有多种应用场景，其中一些包括：

临时文件存储：
- 这是最常见的用途。应用程序和系统进程通常会在 C:\Windows\Temp 文件夹中创建临时文件，用于存储临时数据、缓存文件或执行临时操作所需的文件。这些临时文件可能是安装文件、下载文件、日志文件、缓存文件等。
应用程序运行：
- 一些应用程序可能需要在运行过程中创建临时文件来存储中间结果、临时数据或其他运行所需的文件。这些应用程序通常会选择 C:\Windows\Temp 文件夹作为临时文件的存储位置。
系统操作：
- 操作系统本身也会使用 C:\Windows\Temp 文件夹来执行临时操作。例如，安装程序可能会在安装过程中将临时文件存储在这个文件夹中，然后在安装完成后清理这些文件。
软件更新和修复：
- 软件更新和修复过程中，临时文件的创建和使用也可能发生在 C:\Windows\Temp 文件夹中。例如，更新程序可能会在下载和解压更新文件时使用这个文件夹。
系统维护：
- 系统维护任务，如磁盘清理工具或系统备份工具，可能会将临时文件存储在 C:\Windows\Temp 文件夹中。这些工具通常会在任务完成后清理或删除这些临时文件，以释放磁盘空间。
应用程序调试：
- 开发人员在调试应用程序时可能会将临时文件存储在 C:\Windows\Temp 文件夹中，以便分析和调查问题。

C:\Windows\Temp 文件夹在 Windows 系统中扮演着重要的角色，提供了一个标准的临时文件存储位置，被系统和应用程序广泛使用。

C:\Windows\Temp 文件夹还可以用于一些高级应用场景，包括但不限于以下几个方面：

临时数据处理：
- 对于需要处理大量临时数据的任务，如数据分析、科学计算等，可以将临时数据存储在 C:\Windows\Temp 文件夹中。这样做可以将临时数据隔离在一个单独的文件夹中，避免与其他应用程序或系统文件混淆，并且通常可以获得较高的性能，因为 C:\Windows\Temp 文件夹通常位于本地磁盘上，访问速度较快。
服务运行支持：
- 一些服务或后台任务可能需要使用临时文件来存储状态信息、缓存数据或执行临时操作。将这些临时文件存储在 C:\Windows\Temp 文件夹中可以方便服务进程访问，并且可以利用操作系统提供的权限管理和安全策略来保护这些文件。
多用户环境支持：
- 在多用户环境下，C:\Windows\Temp 文件夹可以作为共享的临时文件存储位置。不同用户的应用程序和进程可以使用这个文件夹来存储临时文件，而不会干扰其他用户的操作。这在服务器环境或共享计算机上特别有用。
安全审计和监控：
- 一些安全审计和监控工具可能会监视 C:\Windows\Temp 文件夹以检测可疑的活动或异常行为。通过监视这个文件夹，可以及时发现恶意软件、未经授权的访问或其他安全问题，并采取相应的措施加以应对。
自动化任务支持：
- 自动化任务、脚本或批处理文件可能会使用 C:\Windows\Temp 文件夹来存储中间结果、临时文件或执行过程中的其他数据。这些任务可以利用这个文件夹来实现数据交换、临时存储和状态管理，从而更有效地完成任务。

C:\Windows\Temp 文件夹在高级应用场景中仍然扮演着重要的角色，可以用于处理临时数据、支持服务运行、适应多用户环境、进行安全审计和监控，以及支持自动化任务等多种用途。

C:\Windows\Temp 目录是 Windows 操作系统中用于存储临时文件的默认目录。在这个目录下，系统和应用程序可能会创建、存储和临时使用各种文件。

临时文件通常是在程序运行期间产生的，用于存储临时数据、缓存数据或执行特定任务。它们可以包括但不限于以下类型的文件：

**安装程序临时文件**：当你运行软件安装程序时，它可能会解压一些文件到临时目录，以便进行安装过程。
**更新和修复临时文件**：当你下载并安装 Windows 更新或修复软件问题时，相关的文件可能会先被下载并保存到临时目录，然后进行相应的操作。
**应用程序缓存文件**：某些应用程序可能会使用临时文件来缓存数据，以提高性能或优化访问速度。
**系统临时文件**：操作系统本身也会创建和使用临时文件，例如在系统启动过程中生成的日志文件。

需要**注意**的是，C:\Windows\Temp 目录下的文件是可删除的，并且它们只是暂时的资源。然而，**在删除这些文件之前，请确保没有正在使用这些临时文件**，并且它们不会对系统和应用程序造成任何负面影响。

Windows 系统中管理 C:\Windows\Temp 文件夹的常用命令：

dir：
- 用于列出 C:\Windows\Temp 文件夹中的文件和子文件夹。
bashCopy Code
```
dir C:\Windows\Temp
```
del：
- 用于删除 C:\Windows\Temp 文件夹中的文件。
bashCopy Code
```
del C:\Windows\Temp\example.txt
```
rmdir /s /q：
- 用于删除 C:\Windows\Temp 文件夹中的子文件夹及其内容。
bashCopy Code
```
rmdir /s /q C:\Windows\Temp\subfolder
```
cleanmgr.exe：
- 使用 Windows 系统自带的磁盘清理工具，可以清理 C:\Windows\Temp 文件夹中的临时文件。
bashCopy Code
```
cleanmgr.exe
```

PowerShell 命令：

可以使用 PowerShell 进行更灵活和强大的文件操作。

bashCopy Code

# 列出临时文件夹中的文件和子文件夹
Get-ChildItem -Path "C:\Windows\Temp"

# 删除临时文件夹中的文件
Remove-Item -Path "C:\Windows\Temp\example.txt"

# 删除临时文件夹中的子文件夹及其内容
Remove-Item -Path "C:\Windows\Temp\subfolder" -Recurse -Force

attrib：
- 用于更改文件或文件夹的属性，可以用于设置临时文件夹中的文件的属性。
bashCopy Code
```
attrib +h C:\Windows\Temp\example.txt  # 将文件设置为隐藏属性
```
icacls：
- 用于更改文件或文件夹的访问控制列表 (ACL)，可以用于设置临时文件夹中的文件的权限。
bashCopy Code
```
icacls C:\Windows\Temp\example.txt /grant Users:(F)  # 授予用户完全控制权限
```
notepad：
- 用于在记事本中打开 C:\Windows\Temp 文件夹中的文件。
bashCopy Code
```
notepad C:\Windows\Temp\example.txt
```

posted @ 2023-06-23 12:22 suv789 阅读(5227) 评论(0) 收藏举报

刷新页面返回顶部

suv789

C:\Windows\Temp 是 Windows 操作系统中的临时文件夹，用于存储临时性的文件和数据。这些临时文件可能是由操作系统、应用程序或用户活动生成的，通常用于暂存数据、缓存文件或执行临时操作

Windows Health and Optimized Experiences（whesvc）完整拆解解构

基础信息

一、底层定位与核心职能

二、目录结构 & 依赖文件体系

工作目录

核心二进制依赖（系统目录加载）

关键注册表控制点

三、底层运行原理

完整执行时序链路

四大核心运行机制

机制 1：触发调度机制

机制 2：数据采集范围

机制 3：GDID 附加逻辑

机制 4：本地临时存储机制

四、依赖关系梳理

硬性强制依赖

可选依赖

完全无依赖

五、上下游配套链（并入你整套遥测生态体系）

上游（触发 / 数据生产者）

下游（数据消费）

同层级并行遥测采集器横向对比

六、运维与安全加固手段

1. 阻断上报链路（推荐组合方案）

2. 限制 whesvc 执行

3. 联动配套服务管控

七、高频认知误区澄清

误区 1：whesvc 是独立 Windows 服务，可以在 services.msc 找到

误区 2：目录C:\Windows\Temp\DiagOutputDir\Whesvc是程序安装目录

误区 3：禁用 whesvc 就能阻止 GDID 生成

误区 4：whesvc 会上传进程 dump、故障完整日志

C:\Windows\SoftwareDistribution\Download 完整拆解解构

基础信息

一、底层原理

运行机制时序

目录文件命名规则

生命周期规则

二、依赖文件 & 关联系统组件

核心关联可执行程序

关键注册表控制点

配套服务清单

三、完整逻辑链路

正常更新链路

清理链路

四、依赖关系梳理

硬性依赖

可选依赖

完全无依赖

五、配套链（上下游）

上游（数据流入）

下游（数据消费）

六、风险、运维管控、常见操作

安全风险点

运维标准操作

1）安全清空缓存（标准脚本）

2）组策略管控方向

七、常见认知误区澄清

误区 1：删除 Download 目录会导致系统损坏

误区 2：SoftwareDistribution\Download 存放更新数据库

误区 3：修改此目录权限可以阻止 Windows 更新

误区 4：该目录文件会自动上传遥测服务器

横向链路对照表（并入你的评估体系）

C:\Windows\SoftwareDistribution\Download\Install

C:\Windows\SoftwareDistribution\Download\SharedFileCache

基础总览

一、C:\Windows\SoftwareDistribution\Download\Install

1. 底层定位

2. 底层运行原理

3. 依赖文件

4. 依赖关系

硬性依赖

可选依赖

完全无依赖

5. 完整逻辑链路

6. 配套链上下游

7. 风险与运维要点

8. 常见误区

二、C:\Windows\SoftwareDistribution\Download\SharedFileCache

误区 2：目录`C:\Windows\Temp\DiagOutputDir\Whesvc`是程序安装目录