Win11内存泄漏排查方法及进程定位教程

如果你正遭遇Windows 11系统越用越卡、内存使用率无声无息地狂飙、重启后短短几分钟又迅速“回血”到高位——别急着换电脑，这很可能是隐蔽而顽固的内存泄漏在作祟；本文手把手教你五步精准定位：从任务管理器快速筛查异常增长进程，到资源监视器捕捉硬错误线索，再用PowerShell比对内存增量锁定可疑程序，进而借助RamMap深挖驱动级非分页池膨胀，最终通过PoolMon直击内核内存分配热点，层层递进，帮你把藏在系统底层的“内存吞噬者”揪出来。

如果您发现Win11系统运行持续变慢、内存使用率无故攀升且重启后短期内再次飙升，则可能是存在内存泄漏现象。内存泄漏表现为某进程的物理内存驻留量（Working Set）随时间推移持续增长，不释放或仅极缓慢释放。以下是定位异常泄漏进程的具体操作步骤：

一、通过任务管理器识别长期增长型高内存进程

任务管理器提供实时内存快照与排序能力，可快速筛选出当前占用最高的进程，并结合观察其内存变化趋势判断是否具备泄漏特征。该方法适用于初步筛查和日常监控。

1、按下Ctrl + Shift + Esc组合键，直接启动任务管理器。

2、切换至“进程”选项卡，确保勾选右上角“显示所有用户”的复选框。

3、点击“内存”列标题进行降序排列，记录顶部进程名称及其“工作集（内存）”数值。

4、保持任务管理器窗口开启，间隔2–3分钟后再次观察同一进程的“工作集”值；若该值持续上升且增幅超过50 MB/分钟，需标记为可疑泄漏源。

二、利用资源监视器追踪硬错误与内存页交换行为

资源监视器可显示进程级“硬错误/秒”指标及内存状态分布，当某进程频繁触发页面交换（即从磁盘调入内存），往往伴随工作集异常膨胀，是内存泄漏的重要间接证据。

1、按下Win + R打开运行对话框，输入resmon并回车启动资源监视器。

2、切换到“内存”选项卡，在下方“进程内存”列表中勾选“显示所有用户”。

3、按“工作集(KB)”列排序，选中疑似泄漏进程，重点观察其硬错误/秒值；若该值稳定高于8，表明其正大量访问已换出的内存页。

4、同步查看右侧“物理内存”区域中的备用内存数值；若该值持续低于300 MB且“修改”内存持续升高，说明系统内存回收机制已严重受阻。

三、使用PowerShell命令提取历史增长趋势进程清单

PowerShell支持按内存驻留量精确排序并导出完整路径与PID，结合定时脚本可生成多时间点快照，从而比对同一进程在不同时刻的WS增量，精准识别泄漏源头。

1、右键点击“开始”按钮，选择Windows Terminal（管理员）。

2、执行以下命令获取当前内存占用前十进程的完整信息：
Get-Process | Sort-Object -Property WS -Descending | Select-Object -First 10 Name, Id, WS, Path

3、将输出结果复制保存为文本文件，命名为“mem_snapshot_01.txt”；10分钟后再次执行相同命令，保存为“mem_snapshot_02.txt”。

4、使用记事本或Excel比对两份文件中同一进程ID（Id）对应的WS值差异；若某进程WS增量超过200 MB，且Path指向非系统目录（如AppData、Temp等），应列为高优先级泄漏嫌疑对象。

四、借助RamMap工具分析非分页池与备用内存异常分布

RamMap可直观呈现系统内存各区域的分配状态，特别适用于排查驱动级或内核模式内存泄漏——此类泄漏通常体现为Nonpaged Pool或Driver Locked内存持续增长，而任务管理器无法显示对应进程名。

1、从Microsoft Sysinternals官网下载并解压RamMap工具（无需安装，绿色运行）。

2、以管理员身份运行RamMap.exe，等待其加载完成。

3、在左侧面板中依次点击“Use Counts”、“Physical Pages”，观察右侧“Nonpaged Pool”与“Driver Locked”两项数值是否随时间单向递增且不回落。

4、若上述两项之和超过1.5 GB，切换至“Processes”选项卡，查找“Private Bytes”列中数值异常偏高但未在任务管理器“进程”页显示的条目，其名称常为驱动服务缩写（如dxgkrnl、ndis.sys等）。

五、运行PoolMon定位内核模式内存分配热点

PoolMon专用于监控内核内存池（Paged/Nonpaged Pool）的标签级分配情况，可追溯到具体驱动模块的内存申请行为，是诊断底层内存泄漏的核心工具，尤其适用于dwm.exe、svchost.exe等系统进程背后的驱动问题。

1、确认已安装Windows Driver Kit（WDK），poolmon.exe通常位于路径：C:\Program Files (x86)\Windows Kits\10\Tools\bin\\poolmon.exe。

2、以管理员身份运行CMD或PowerShell，进入上述目录后执行：poolmon -n -p（按非分页池排序并持续刷新）。

3、观察输出列表中“Allocs”与“Frees”列差值最大的前三个标签（Tag），例如“DXG”、“Ntfs”、“FLTM”等。

4、使用PowerShell命令解析标签对应驱动：
get-winevent -FilterHashtable @{LogName='System'; ID=2004} -MaxEvents 10 | Where-Object {$_.Message -match 'Tag值'} | Format-List

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《Win11内存泄漏排查方法及进程定位教程》文章吧，也可关注golang学习网公众号了解相关技术文章。