若Win11内存持续增长且重启后快速回升，极可能是内存泄漏；需依次用任务管理器筛查高内存进程、资源监视器观察硬错误与备用内存、PowerShell比对WS增量、RamMap分析非分页池、PoolMon定位驱动级泄漏标签。
如果您发现Win11系统运行持续变慢、内存使用率无故攀升且重启后短期内再次飙升，则可能是存在内存泄漏现象。内存泄漏表现为某进程的物理内存驻留量（Working Set）随时间推移持续增长，不释放或仅极缓慢释放。以下是定位异常泄漏进程的具体操作步骤：
一、通过任务管理器识别长期增长型高内存进程
任务管理器提供实时内存快照与排序能力，可快速筛选出当前占用最高的进程，并结合观察其内存变化趋势判断是否具备泄漏特征。该方法适用于初步筛查和日常监控。
1、按下Ctrl + Shift + Esc组合键，直接启动任务管理器。
2、切换至“进程”选项卡，确保勾选右上角“显示所有用户”的复选框。
3、点击“内存”列标题进行降序排列，记录顶部进程名称及其“工作集（内存）”数值。
4、保持任务管理器窗口开启，间隔2–3分钟后再次观察同一进程的“工作集”值；若该值持续上升且增幅超过50 MB/分钟，需标记为可疑泄漏源。
二、利用资源监视器追踪硬错误与内存页交换行为
资源监视器可显示进程级“硬错误/秒”指标及内存状态分布，当某进程频繁触发页面交换（即从磁盘调入内存），往往伴随工作集异常膨胀，是内存泄漏的重要间接证据。
1、按下Win + R打开运行对话框，输入resmon并回车启动资源监视器。
2、切换到“内存”选项卡，在下方“进程内存”列表中勾选“显示所有用户”。
3、按“工作集(KB)”列排序，选中疑似泄漏进程，重点观察其硬错误/秒值；若该值稳定高于8，表明其正大量访问已换出的内存页。
4、同步查看右侧“物理内存”区域中的备用内存数值；若该值持续低于300 MB且“修改”内存持续升高，说明系统内存回收机制已严重受阻。
三、使用PowerShell命令提取历史增长趋势进程清单
PowerShell支持按内存驻留量精确排序并导出完整路径与PID，结合定时脚本可生成多时间点快照，从而比对同一进程在不同时刻的WS增量，精准识别泄漏源头。
1、右键点击“开始”按钮，选择Windows Terminal（管理员）。
2、执行以下命令获取当前内存占用前十进程的完整信息：
Get-Process | Sort-Object -Property WS -Descending | Select-Object -First 10 Name, Id, WS, Path
3、将输出结果复制保存为文本文件，命名为“mem_snapshot_01.txt”；10分钟后再次执行相同命令，保存为“mem_snapshot_02.txt”。
4、使用记事本或Excel比对两份文件中同一进程ID（Id）对应的WS值差异；若某进程WS增量超过200 MB，且Path指向非系统目录（如AppData、Temp等），应列为高优先级泄漏嫌疑对象。
四、借助RamMap工具分析非分页池与备用内存异常分布
RamMap可直观呈现系统内存各区域的分配状态，特别适用于排查驱动级或内核模式内存泄漏——此类泄漏通常体现为Nonpaged Pool或Driver Locked内存持续增长，而任务管理器无法显示对应进程名。
1、从Microsoft Sysinternals官网下载并解压RamMap工具（无需安装，绿色运行）。
2、以管理员身份运行RamMap.exe，等待其加载完成。
3、在左侧面板中依次点击“Use Counts”、“Physical Pages”，观察右侧“Nonpaged Pool”与“Driver Locked”两项数值是否随时间单向递增且不回落。
4、若上述两项之和超过1.5 GB，切换至“Processes”选项卡，查找“Private Bytes”列中数值异常偏高但未在任务管理器“进程”页显示的条目，其名称常为驱动服务缩写（如dxgkrnl、ndis.sys等）。
五、运行PoolMon定位内核模式内存分配热点
PoolMon专用于监控内核内存池（Paged/Nonpaged Pool）的标签级分配情况，可追溯到具体驱动模块的内存申请行为，是诊断底层内存泄漏的核心工具，尤其适用于dwm.exe、svchost.exe等系统进程背后的驱动问题。
1、确认已安装Windows Driver Kit（WDK），poolmon.exe通常位于路径：C:\Program Files (x86)\Windows Kits\10\Tools\bin\
2、以管理员身份运行CMD或PowerShell，进入上述目录后执行：poolmon -n -p（按非分页池排序并持续刷新）。
3、观察输出列表中“Allocs”与“Frees”列差值最大的前三个标签（Tag），例如“DXG”、“Ntfs”、“FLTM”等。
4、使用PowerShell命令解析标签对应驱动：
get-winevent -FilterHashtable @{LogName='System'; ID=2004} -MaxEvents 10 | Where-Object {$_.Message -match 'Tag值'} | Format-List
