Windows 操作系统深度梳理

Windows 是微软开发的图形化桌面操作系统，基于 Windows NT 内核架构。本文从行为到结构递进梳理：先通过行为图展示系统运作，再通过结构图分解系统组成，最后概述编程接口与关键子系统。

0. 总览

Windows 操作系统核心架构遵循分层设计，分为用户态（User Mode）和内核态（Kernel Mode）两大层级。用户态的应用程序通过子系统 DLL 与内核通信，内核态的核心组件包含执行体（Executive）、内核（Kernel）、硬件抽象层（HAL）以及各类驱动。

1. 行为图（系统"做什么"）

行为图描述系统的动态运行过程，从用户视角到内部调用逐步细化。

1.1 用例图 — Windows 用户交互场景

从用户角度描述 Windows 提供的核心功能及交互边界。

图 1-1：Windows 操作系统用例图

1.2 活动图 — Windows 启动流程

展示 Windows 从加电到桌面的完整启动过程，涉及固件、引导管理器、内核加载、服务启动、用户登录等多个阶段。

图 1-2：Windows 启动流程活动图（带泳道）

1.3 状态机图 — 线程状态转移

Windows 线程在其生命周期中经历多种状态，由调度器（Scheduler）控制状态转移。

图 1-3：Windows 线程生命周期状态机

1.4 序列图 — Win32 API 系统调用路径

一个 Win32 API 调用（如 CreateFile）如何穿越用户态到内核态的完整路径。

图 1-4：Win32 API (CreateFile) 到内核驱动的序列图

2. 结构图（系统"由什么组成"）

2.1 组件图 — Windows NT 架构总览

展示 Windows 系统的分层组件架构：用户态子系统、系统服务、执行体、内核、HAL。

图 2-1：Windows NT 分层架构组件图

2.2 包图 — 内核子系统依赖关系

内核态内部各个管理器（Object Manager、Process Manager、I/O Manager、Memory Manager、Security Reference Monitor 等）之间的依赖关系。

图 2-2：内核态子系统包图

2.3 类图 — 核心操作系统对象

展示 Windows 对象管理器统一管理的核心对象（文件对象、进程对象、线程对象、事件对象等）以及它们之间的关系。

图 2-3：Windows 核心内核对象类图

// 创建进程
STARTUPINFO si = { sizeof(si) };
PROCESS_INFORMATION pi;
CreateProcess(NULL, "notepad.exe", NULL, NULL, FALSE,
              0, NULL, NULL, &si, &pi);

// 创建文件对象
HANDLE hFile = CreateFile("test.txt", GENERIC_WRITE, 0, NULL,
                          CREATE_ALWAYS, FILE_ATTRIBUTE_NORMAL, NULL);

// 创建线程
HANDLE hThread = CreateThread(NULL, 0, MyThreadProc, NULL, 0, NULL);

// 创建互斥量 (同步对象)
HANDLE hMutex = CreateMutex(NULL, FALSE, "MyMutexName");

// 关闭句柄（释放对象引用）
CloseHandle(hFile);
CloseHandle(hThread);
CloseHandle(hMutex);
CloseHandle(pi.hProcess);
CloseHandle(pi.hThread);

2.4 部署图 — Windows 系统硬件拓扑

展示操作系统如何在多核 CPU、内存、磁盘、GPU、网络设备等硬件上部署核心组件。

图 2-4：Windows 硬件拓扑部署图

3. 编程接口概览

Windows 提供多层级的编程接口，覆盖用户界面、系统服务、网络、安全、图形等全方位功能。主要 API 家族：

4. 关键子系统详解

4.1 进程与线程管理

每个 Windows 进程至少包含：一个虚拟地址空间（VAD）、一个句柄表（Handle Table）、一个访问令牌（Access Token）、至少一个线程。进程间通过 IPC 机制通信（管道、邮槽、共享内存、RPC、COM）。

#include <windows.h>
int main() {
    STARTUPINFO si = { sizeof(STARTUPINFO) };
    PROCESS_INFORMATION pi;
    BOOL ok = CreateProcess(
        "C:\\Windows\\System32\\cmd.exe",
        "/c echo Hello World",
        NULL, NULL, FALSE, 0, NULL, NULL, &si, &pi
    );
    if (ok) {
        WaitForSingleObject(pi.hProcess, INFINITE);
        DWORD exitCode;
        GetExitCodeProcess(pi.hProcess, &exitCode);
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
    }
    return 0;
}

4.2 内存管理

Windows 内存管理器实现虚拟内存，提供按需换页（Demand Paging）、内存映射文件、写时复制（Copy-on-Write）、大页支持等机制。每个用户进程默认有 2 GB 虚拟地址空间（32 位，/LARGEADDRESSAWARE 可扩展到 3 GB 或 4 GB），64 位进程拥有 128 TB（用户态 8 TB 起步）。

#include <windows.h>
int main() {
    // 保留 + 提交 64 KB
    LPVOID p = VirtualAlloc(NULL, 65536,
        MEM_RESERVE | MEM_COMMIT, PAGE_READWRITE);
    if (p) {
        strcpy((char*)p, "Hello Virtual Memory!");
        VirtualFree(p, 0, MEM_RELEASE);
    }
    return 0;
}

4.3 I/O 系统

Windows I/O 子系统采用分层驱动模型，核心是 I/O 管理器（I/O Manager），负责将用户 I/O 请求打包为 IRP（I/O Request Packet），依次传递给设备栈中的各层驱动处理。支持同步/异步 I/O、IOCP（完成端口）、分散/聚集 I/O 等。

图 4-1：Windows I/O 请求处理流程（同步 vs 异步）

4.4 文件系统 (NTFS)

NTFS (New Technology File System) 是 Windows 的默认文件系统，支持最大卷 8 PB（Windows Server 2019+），特性包括：日志（Journaling）、硬链接/符号链接、压缩、加密（EFS）、稀疏文件、配额、卷影复制（VSS）、事务（TxF）。

4.5 安全子系统

Windows 安全基于三大组件：LSA (Local Security Authority)、SRM (Security Reference Monitor)、SAM (Security Account Manager)。每次访问对象时，SRM 根据安全描述符（SD）和访问令牌（Token）进行权限校验。

4.6 注册表（Registry）

注册表是 Windows 的配置数据库，以树状层次结构组织键（Key）和值（Value），替代了传统 .ini 文件。由 Configuration Manager 在内核态管理。

4.7 网络栈

Windows 网络栈遵循Winsock 2 SPI 模型，在应用层和协议栈之间提供标准服务提供者接口（SPI），使得同一套 API 可适配多种协议（TCP/IP、蓝牙、红外等）。核心组件包括：

图 4-2：Windows 网络栈分层结构

5. Windows 版本简史