必须通过任务管理器启用“工作集（内存）”列并降序排序、资源监视器验证硬错误率是否持续高于5且可用内存低于500MB、PowerShell执行Get-Process命令导出带路径的前10高占用进程清单，三者结合才能精准锁定真实驻留物理内存的隐藏进程。
要快速掌握 Windows 11 当前物理内存被哪些程序实际驻留占用，必须绕过“已提交”“缓存”等虚拟层干扰，直击每个进程真实占用的物理页帧（Working Set）。任务管理器默认只显示简化视图，不显示关键列，不展开后台进程，容易漏掉 svchost.exe、rundll32.exe 等伪装成系统服务却长期霸占 1GB+ 物理内存的隐藏进程。
用任务管理器锁定真实物理内存占用最高的进程
第一步：按 Ctrl + Shift + Esc 直接唤出任务管理器，跳过右键开始菜单的多余步骤。
第二步：若右下角显示“更多详细信息”，立刻点击——否则你看到的只是前台应用列表，后台进程和工作集数据全被隐藏。
第三步：切换到顶部“进程”选项卡，鼠标右键任意列标题 → 选择“选择列” → 勾选【工作集（内存）】、PID、用户名、命令行——没勾“工作集”，你看到的“内存”其实是模糊估算值，误差可能达 40%。
第四步：单击“工作集（内存）”列标题，让进程按真实物理内存驻留量从高到低排列。排在最顶的 chrome.exe 或 Teams.exe 很可能是表象，真正危险的是第 5～8 名那些用户名为 SYSTEM、路径含 Temp 或 Roaming、名称带随机字符的进程。
用资源监视器验证是否发生硬错误级内存压力
方法一：Win + R → 输入 resmon → 回车启动资源监视器。
方法二：在任务管理器“性能”选项卡右下角，直接点击“打开资源监视器”链接——比手动输入更快，且确保是当前会话关联实例。
切换到“内存”选项卡 → 勾选右上角“显示所有用户” → 在下方“进程内存”列表中，按“工作集 (KB)”降序排列。
单击可疑进程左侧三角形展开详情 → 看底部“硬错误/秒”数值：【若持续高于 5，说明该进程正频繁触发磁盘页面交换，物理内存已严重不足】。此时即使“可用内存”显示还有 700MB，系统也已在喘息边缘。
同步扫一眼顶部“物理内存”区域里的“可用”数值——【低于 500 MB 是红色警戒线，不是建议重启，而是必须立即干预】。
用 PowerShell 提取带完整路径的前 10 高占用进程清单
右键“开始”按钮 → 选择“终端（管理员）”→ 粘贴执行以下命令：
Get-Process | Sort-Object -Property WS -Descending | Select-Object -First 10 Name, Id, WS, Path, UserName | Format-Table -AutoSize
WS 值单位是字节，除以 1024÷1024 可得 MB 数；Path 列暴露进程真实落盘位置，能一眼识别 C:\Users\XXX\AppData\Local\Temp\svch0st_8b3.exe 这类恶意伪装进程。
若某进程 Path 为空或显示“Access is denied”，说明它运行在内核态或受保护进程上下文，需重点怀疑——这类进程往往无法被任务管理器正常结束，必须结合资源监视器的“硬错误/秒”与“提交大小”交叉判断。
