作者：声东
大家好，今天跟大家分享一例Windows云服务器CPU使用率高的问题。
客户购买了一台Windows 2016云服务器，登录之后发现这台服务器的CPU使用率一直保持在90%以上。
首先登录到服务器，打开任务管理器，切换到性能页面，确认问题确实存在。从下图可以看出，这台服务器有非常明显的CPU使用率高的症状。
然后，我们切换到任务管理器，详细信息页面，点击CPU使得进程以CPU使用率高低排序。我们看到CPU使用率最高的进程是svchost.exe。这个进程是Windows操作系统里的服务宿主进程，即service host进程。
接下来，我们打开资源管理器，切换到CPU页面，根据上边找到的进程PID，勾选对应的svchost.exe进程。我们发现使用CPU最高的服务是Schedule，也就是微软的计划任务服务。
总结上边发现的所有信息，我们可以确认，这台服务器中，计划任务这个服务，占用了系统大量的CPU资源，一般情况下，这是不合理的。进一步调试这个问题，我们需要抓取这个进程的转储文件。Windows里，转储文件可以简单分为两大类，一类是系统的转储文件，一类是某个进程的。系统的转储文件（有可能）包括整个系统的信息，而进程的转储文件，一般只包含这个特定进程的用户控件的信息。在Windows上，我们可以用任务管理器简单的抓取进程转储文件。
然后，我们用windbg打开转储文件。另外我这边推荐大家使用一个windbg的扩展，这个扩展在微软技术支持团队普遍使用，非常好用。这个扩展叫做mex。安装这个扩展很简单，只需要根据操作系统是x86或者amd64，把对应的dll拷贝到windbg安装目录下边winext子目录中即可。
我们使用!mex.us (unique stack)命令在命令行输出进程中所有的call stacks，发现正在运行的线程，基本都在处理 LRPC调用。LRPC调用在接到消息之后，唤起计划任务去查询某个任务相关的信息。
LRPC机制是一种客户端服务器机制，也就是说，为了理解为什么作为LRPC的服务器端，计划任务会接到LRPC消息。我们可以尝试找出发送消息的客户端进程。下边这个微软官方博客中，提到了怎么在LRPC堆栈上找出客户端进程PID的方法。
具体的原理和方法请参考这篇文章。我们用同样的方式，在不同的调用栈上去找出客户端进程的PID。发现这个进程的PID是一致的。
也就是说，LRPC客户端对应的进程PID是4424，可以看到它是客户在另外一个登录会话里的explorer进程。
为了了解explorer的行为，我们继续抓explorer的转储文件，我们发现所有与计划任务有关的线程，都来自msctf模块的调用，这个模块跟Text Framework Serivce相关。观察线程行为，可以大概看出，这个模块在通过task schedule去查询信息。
基于以上信息，很难在没有微软msctf模块private symbol和代码的情况下，进一步深入研究这个模块的行为，建议客户把系统升级到最新的Rollup，之后问题不能重现。
基本上来说，微软会很快修复Windows中明显的问题，所以强烈建议经常保持Windows系统安装了最新的补丁，这样可以避免很多问题。