เผยแพร่เมื่อวันที่ 16 เมษายน 2569 เวลา 13:00 น. EDT
Afam มีประสบการณ์ในการเผยแพร่เทคโนโลยีตั้งแต่ปี 2561 เมื่อทำงานที่ Make Tech Easier ตลอดปี เขาสร้างชื่อเสียงจากการเผยแพร่คู่มือ รีวิว เคล็ดลับ และบทความอธิบายคุณภาพสูง ครอบคลุม Windows Linux และเครื่องมือโอเพนซอร์ส ผลงานของเขาปรากฏบนเว็บไซต์ชั้นนำ เช่น Technical Ustad Windows Report Guiding Tech Alphr และ Next of Windows
เขาถือปริญญาตรีด้านวิทยาการคอมพิวเตอร์ และเป็นผู้สนับสนุนความเป็นส่วนตัวและความปลอดภัยของข้อมูลอย่างแข็งขัน มีเคล็ดลับ วิดีโอ และบทแนะนำหลายชิ้นเกี่ยวกับหัวข้อนี้เผยแพร่บนช่อง YouTube Fuzo Tech
เวลาว่างเขาชอบใช้เวลากับครอบครัว ปั่นจักรยาน หรือดูแลสวน
ขณะใช้คอมพิวเตอร์ คุณอาจได้ยินพัดลมดังขึ้นกะทันหรือสังเกต CPU usage spike โดยไม่ได้เริ่มงานใหม่ บนโทรศัพท์ ง่ายกว่าที่จะเห็นว่าอะไร launch และเมื่อไหร่ แต Windows ไม่ให้ clean activity history
อย่างไรก็ตาม นี่ไม่ได้หมายความว่าข้อมูลเกี่ยวกับสิ่งที่รันไม่อยู่บนคอมพิวเตอร์ของคุณ Windows จริงๆ แล้วบันทึกและเก็บ executable activity ไว้ทั่วส่วนต่างๆ ของอุปกรณ์ หากคุณรู้ว่าจะมองที่ไหน คุณสามารถรวบรวมข้อมูลนี้เข้าด้วยกัน และข้อมูลนั้นกลายเป็นประโยชน์มากในการจัดการหรือ troubleshooting คอมพิวเตอร์ของคุณ
Windows เก็บบันทึกสิ่งที่รันอยู่แล้ว
ข้อมูลมีอยู่ — แค่กระจายอยู่ทั่วระบบ
Application activity ผูกมัดกับ performance optimization, security logging และ compatibility tracking นั่นคือเหตุผลที่ Windows บันทึกมันไว้
อย่างไรก็ตาม จุดมุ่งหมายของ OS มีแค่สามแหล่งหลักสำหรับข้อมูลนี้ แหล่งแรกคือ Prefetch ซึ่ง log execution เพื่อเร่งการ launch ในอนาคต ต่อไปคือ Event Viewer ซึ่งอาจมีประโยชน์สำหรับดู processes ที่ก่อให้เกิด crashes แตสำคัญกว่านั้น ถ้า auditing เปิดอยู่ มัน log process creation events สุดท้ายคือ AmCache ซึ่งทำหน้าที่เป็น repository สำหรับ metadata ของ applications ที่เคยรันหรือมีอยู่
สามบริการนี้แยกกันจับ segments ของ app activity บนคอมพิวเตอร์ของคุณ ดังนั้นแยกกันแล้วคุณไม่ได้รับ timeline ครบถ้วนเสมอไป อย่างไรก็ตาม Prefetch เป็นจุดเริ่มต้นที่เข้าถึงง่ายที่สุด เพราะคุณไม่ต้องการ extra configuration ใดๆ เพื่อเข้าถึงข้อมูลที่รออยู่ให้อ่าน
Prefetch คือสิ่งที่ใกล้เคียง app activity history มากที่สุด
มัน log สิ่งที่รันเป็น side effect ของการเร่งความเร็ว
ตอน app launch ระบบปฏิบัติการติดตามไฟล์ที่มันใช้ เพื่อให้สามารถ preload ได้ในครั้งถัดไป นี่คือวิธี optimize ความเร็วที่ฉลาด อย่างไรก็ตาม มันก็มี side effect คือ บันทึกทุก execution
Execution records ทั้งหมดเก็บอยู่ที่ path: C:\Windows\Prefetch การรัน application ทำให้ Windows สร้างไฟล์ .pf ไฟล์นี้ชื่อตาม executable และรวม hash ที่ generate จาก location ที่แอปถูก launch จาก นั่นหมายความว่าโปรแกรมหนึ่งอาจมีหลาย .pf files หากรันจาก locations ต่างกัน
อย่างไรก็ตาม ไฟล์เหล่านี้เก็บรายละเอียดน่าสนใจมาก ก่อนอื่นคือ executable name, full path, run count, last launch time และ (บน Windows ใหม่) จนถึงแปด recent timestamps
สิ่งที่ทำให้ log นี้มีค่ามากขึ้นบนระบบสมัยใหม่คือ มันเก็บประมาณ 1,024 Prefetch entries ก่อนที่จะถูก overwrite นี่คือ activity range ที่ดีพอสำหรับ use cases ส่วนใหญ่ ดีกว่านั้น แม้หลัง uninstall แอป entries เหล่านี้ก็ไม่ถูกลบอัตโนมัติ พวกมันยังคงเป็น footprint ที่แข็งแกร่งจากกิจกรรมอดีต
บนระบบสมัยใหม่ที่รันบน SSDs ฟีเจอร์ Prefetch อาจถูก disable เนื่องจากไม่ได้ประโยชน์ด้าน performance มาก ดังนั้นถ้าโฟลเดอร์ว่าง หมายความว่า Prefetch ถูก disable หรือไม่ได้ใช้ โชคดีที่ยังมีตัวเลือกอื่น
WinPrefetchView ทำให้ raw system data อ่านง่าย
Prefetch files เป็น binary และไม่ได้ human-readable (คุณเปิดใน text editor ไม่ได้) นี่คือที่ที่ tool เรียบง่ายอย่าง WinPrefetchView จาก NirSoft เข้ามาช่วย Tool นี้ officially support Windows XP ถึง Windows 10 แตทำงานบน Windows 11 ได้เช่นกัน ทุกอย่างที่ tool นี้ทำคืออ่าน static system data
เมื่อคุณ download และ extract มันจะสแกนคอมพิวเตอร์อัตโนมัติและเติม interface ด้วย .pf files มันแสดง executable name รวมถึงจำนวนครั้งที่รัน พร้อม run times และเมื่อถูกบันทึกครั้งแรก มันยังแสดง location ของโปรแกรมบนดิสก์
ผมชอบ sort by recent activity เพื่อสร้าง timeline และทำให้ข้อมูลเข้าใจง่ายขึ้น นอกจากนี้ ภายใต้ tab Options คุณสามารถใช้ Hide Programs Under Windows Folder option เพื่อลบ system-level processes ออกจากมุมมอง
| คอลัมน์ | บอกอะไร | ควรมองหาอะไร |
|---|---|---|
| Run Counter | แอปรันบ่อยแค่ไหน | ค่าสูงสำหรับแอปไม่รู้จัก |
| Last Run Time | การ execute ล่าสุด | กิจกรรมเวลาผิดปกติ |
| Created Time | การ execute ครั้งแรกที่บันทึก | แอปที่เพิ่งเข้ามา |
| File Path | แอปอยู่ที่ไหน | Temporary folders หรือ directories แปลกๆ |
ขณะคัดแยกข้อมูล จุดสำคัญเหล่านี้มีความสำคัญเพื่อทำความเข้าใจ:
- Unknown executable names คุ้มค่าที่จะดูใกล้ชิด
- High run counts อาจบ่งชี้ background activity
- File paths ชี้ไป temporary folders ควรให้ความสนใจ
- Timestamps ที่ไม่ตรงกับ usage patterns ของคุณอาจเปิดเผย automation
ขณะตีความข้อมูล จำไว้ว่ามันแสดงแค่ว่าอะไร ran ไม่ใช่ว่ามันทำอะไร ดังนั้นพยายามอย่า over-interpret สิ่งที่คุณเห็น
เมื่อ Prefetch ไม่แสดงอะไรเลย
หากคุณไม่มีข้อมูลใน Prefetch ของคอมพิวเตอร์ คุณมีตัวเลือกอื่น แรกคือ AmCache อยู่ที่ path: C:\Windows\AppCompat\Programs\Amcache.hve ในไฟล์นี้คุณเห็น metadata สำหรับ apps ที่รัน รวมถึง paths และ identifiers แม้จะ detailed กว่า Prefetch บางด้าน แตไม่ได้ confirm execution ด้วยความมั่นใจเสมอไป
ใน Event Viewer processes ที่ผูกกับ Event ID 4688 มักมีรายละเอียดว่าอะไร ran และเมื่อไหร่ อย่างไรก็ตาม นี่ไม่ได้ log โดยค่าเริ่มต้นบน Windows และคุณต้อง enable process auditing เอง ทำให้เป็นตัวเลือกที่เหมาะกับ advanced users มากกว่า
เมื่อ Prefetch มีข้อมูล มันคือตัวเลือกที่ง่ายที่สุด AmCache สามารถเติมช่องว่างได้เมื่อ Prefetch ว่าง
