SRU 数据库是什么：Windows 偷偷记录的活动日志

Windows 会给你运行过的一切悄悄记日记：每个应用的 CPU 时间、磁盘流量和网络用量，一连几周都存放在 C:\Windows\System32\SRU 里。它不是间谍软件，也不会自己把数据发到任何地方，但它依然是磁盘上关于你个人习惯的最详细记录——弄清里面有什么、谁能读到它，对你没有坏处。

它住在哪里，都记些什么

这些记录都由 System Resource Usage Monitor 写入 SRUDB.dat——一个基于 Extensible Storage Engine 的数据库，与驱动 Exchange 和 Active Directory 的是同一个 Jet 家族引擎。对每个进程，Windows 都会记录 CPU 时间片段、读写的字节数、按网络接口统计的流量以及会话时间戳，并按小时和按天分桶存放。C:\Windows\System32\SRU 文件夹只对 SYSTEM 和管理员开放，普通程序和浏览器标签页根本看不到里面。历史大约滚动保留一个月，视版本和工作负载有时更长。这一切毫不神秘：它只是大多数人每周都会打开的那些屏幕的数据来源。

任务管理器的“应用历史记录”标签页、设置中的“数据使用量”页面、按应用统计的电池用量报告，读取的都是同一个数据库。如实定位的话：它首先是一套记账系统，其次才涉及隐私。Windows 需要用量统计才能告诉你是什么耗光了电池——SRU 只是这些数据的住所。

C:\Windows\System32\SRU 中的 SRUDB.dat——ESE 数据库，只有管理员权限才能读取
每个应用的 CPU 时间，按小时和按天切分
每个程序读取和写入的字节数
按应用和按网络接口统计的网络流量
带时间戳的应用会话事件，包括后来卸载的应用
典型系统上大约一个月的滚动历史

谁在读它——包括你没请来的人

对取证鉴定人员来说，SRU 是份大礼：拿到磁盘镜像，他们就能还原过去几周里哪些程序在运行、何时运行、强度多大。“数据留在本地”是真的，但说得不完整——本地文件恰恰是小偷、好奇心过剩的技术员、或者任何有五分钟和一枚Live USB的人想要的东西。恶意软件需要管理员权限才能读它，而像样的恶意软件往往就有。

删除它到底能换来什么

SRU 文件夹可以清空——最简单的办法是在恢复环境中操作，因为 Windows 运行时文件处于锁定状态——之后 Windows 会不慌不忙地重建数据库。回报是统计归零：“应用历史记录”和“数据使用量”从零开始，仅此而已。数据收集不会停止，电脑也不会变快，Windows 保存的其他几十处活动痕迹原封不动。要卖机器的话，唯一老实的答案是把磁盘清空并全新安装，而不是给数据库动手术。至于留在自己手里的机器，真正的保护是 BitLocker 这类全盘加密——它让整块磁盘（包括 SRU）在离线状态下无法读取。