如何在驱动程序级别使用ETW事件？

Question

从我的Windows驱动程序内部，我想知道如何：

a）开启某些内置提供商

b）通过提供回调函数（我想做某事）实时消耗事件，这是我的驱动程序的一部分。

c）关闭提供商。

PS：我已经松散地使用了＆＃34;打开＆＃34;并且＆＃34;关闭＆＃34;。在Windows ETW中，我认为它被称为＆＃34;启用＆＃34;提供者。

到目前为止，我一直在网上搜索有关如何执行此操作的信息，但尚未发现任何内容。

Answer 1

驱动程序只能提供ETW事件 - 它们无法控制会话或使用事件。

对于a）＆amp; c）使用StartTrace（），然后使用EnableTraceEx2（）。这必须在用户模式下完成。

对于b）使用OpenTrace（），然后使用ProcessTrace（）。这必须在用户模式下完成。

驱动程序的ETW API：http://msdn.microsoft.com/en-us/library/windows/hardware/ff545707(v=vs.85).aspx

用户模式代码的ETW API：http://msdn.microsoft.com/en-us/library/aa363795(v=vs.85).aspx