资源监视器是定位Windows内存占用进程最有效的原生工具，通过工作集排序、硬错误率与提交大小交叉验证、内核非分页池监控，精准识别真实内存消耗者及潜在泄漏源。资源监视器是定位 Windows 内存占用具体进程最有效的原生工具之一，它能穿透任务管理器的表层限制，显示工作集、提交大小、硬错误率、内核内存池等关键指标，帮你精准识别“真吃内存”的进程，尤其是那些在任务管理器里看起来不大、实则持续施压的隐藏消耗者。
一、打开并进入内存监控界面
按下 win + r 打开运行框，输入 resmon 后回车。启动后切换到顶部的 “内存”选项卡，再勾选左下角的 “显示所有用户” 复选框——这一步很关键，否则会漏掉系统服务和后台进程。
二、按工作集排序找出物理内存大户
在下方“进程内存”列表中，点击 “工作集(KB)”列标题两次，使其按降序排列。工作集代表当前实际驻留在物理内存中的字节数，是判断“此刻谁占着RAM”的最直接依据。
- 重点关注排在前5–10名的进程，如 chrome.exe、Teams.exe、AntimalwareServiceExecutable.exe、svchost.exe（带-k参数的）、dllhost.exe 等
- 若某个 svchost.exe 工作集长期高于800 MB，右键它 → “转到服务”，查看托管的具体服务项（例如 WSearch、DPS、SysMain）
- 名称含随机字符（如 svchost_abc123）或发布者为“未知”的进程，需高度警惕
三、结合硬错误率与提交大小交叉验证
单击可疑进程左侧的复选框，观察其右侧动态指标：
- 硬错误/秒 > 5：说明该进程频繁从页面文件读取数据，已因内存不足触发磁盘交换，属高优先级干预对象
- 提交(KB) ÷ 工作集(KB) > 3（例如提交6 GB但工作集仅1.5 GB）：表明它申请了大量虚拟地址空间却未全部加载，存在潜在泄漏风险
- 对比顶部“物理内存”区域：可用内存长期低于500 MB 或 已修改内存持续增长，都指向真实内存压力
四、留意内核级异常信号
滚动到顶部“物理内存”区域，关注以下两处不易被察觉但影响巨大的指标：
- 内核内存 → 非分页池（Nonpaged Pool）> 800 MB：大概率由驱动程序内存泄漏导致，常见于显卡、网卡或第三方安全软件驱动
- 驱动程序强制的内存保留（虽不在此界面直接显示，但若该值在任务管理器性能页中偏高，就说明资源监视器看到的“已用”内存其实已包含这部分不可释放区域）
