应立即用RAMMap穿透分析隐藏内存占用，重点关注Mapped File超2GB、Nonpaged Pool超800MB、Driver Locked异常及Standby挤占可用内存等关键指标，再通过Empty→Standby List快速释放可回收内存。
当你发现 Windows 系统内存占用异常偏高，任务管理器里所有进程加起来才占 3GB，但实际已用掉 8GB，剩余可用内存不足 500MB，系统卡顿、风扇狂转，却找不到元凶——这说明大量物理内存正被映射文件、驱动锁定区、内核缓存等隐藏主体占用，必须用 RAMMap 进行穿透式分析。
下载并以管理员身份运行 RAMMap
前往 Microsoft 官方 Sysinternals 页面 https://learn.microsoft.com/en-us/sysinternals/downloads/rammap 下载 RAMMap（719 KB），解压后直接双击 RamMap.exe 启动。
⚠️ 若运行后界面灰显或“Processes”页签为空，说明未获得完整权限——请右键 RamMap.exe → “以管理员身份运行”，否则无法读取内核级内存映射和驱动保留区域。
启动后无需安装，工具会自动扫描当前全部物理内存状态，首次加载约需 5～15 秒，取决于内存容量与 SSD 速度。
看懂 Use Counts 页签：一眼识别内存大类去向
这是 RAMMap 的核心总览页，左侧彩色条形图+右侧表格，按内存用途分类统计全部物理页。重点关注以下四类：
• 【Mapped File】：表示被映射进内存的文件（如 DLL、EXE、VHDX、日志、数据库页），值超 2GB 且长期不释放，极可能是某服务反复加载大模块未卸载；
• 【Nonpaged Pool】：驱动程序申请的不可换出内存，若持续高于 800MB，大概率存在驱动内存泄漏（尤其网卡、显卡、安全软件驱动）；
• 【Standby】：系统缓存，表面“已用”实则可随时回收，数值高属正常，但若伴随“Available”长期低于 300MB，则说明 Standby 已挤占真实可用空间；
• 【Driver Locked】：硬件驱动强制锁定的物理内存，常见于 GPU 显存预留、雷电/USB4 控制器缓冲区，该值在“Physical Ranges”页可精确定位起始地址。
定位具体吃内存文件：切换到 File Summary 页
方法一：按“Size”列降序排列，直接查看占用 RAM 最多的前 10 个文件。
方法二：右键任意文件行 → “Properties”，确认其是否属于系统组件（如 C:\Windows\System32\ntoskrnl.exe）、第三方驱动（如 C:\Program Files\AVAST\aswSnx.sys）或可疑临时路径（如 C:\Users\XXX\AppData\Local\Temp\*.tmp）。
注意：若看到大量 .vhdx、.vhd 或 SQL Server 的 .mdf/.ldf 文件排在前列，说明虚拟磁盘或数据库缓存正在驻留大量物理页，未必是故障，但需结合业务判断是否合理。
排查驱动级内存锁定：进入 Physical Ranges 页
第一步：点击顶部菜单栏“File”→“Refresh”确保数据最新；
第二步：在“Physical Ranges”页中，找到“Type”列为“Driver Locked”或“Hardware Reserved”的行；
第三步：记录其“Start”与“End”地址（例如 0x80000000–0x83FFFFFF），然后切换至“Physical Pages”页，用 Ctrl+F 搜索该地址范围，观察对应页的“Page Type”与“Owner”字段；
第四步：若 Owner 显示为未知驱动名（如 xxx64.sys）或无签名模块，可回到“Processes”页筛选该驱动对应的服务 PID，再用 PowerShell 查其路径：Get-Process -Id [PID] | Select-Object Path。
快速释放可回收内存：使用 Empty → Standby List 功能
点击顶部菜单栏“Empty”→“Standby List”，RAMMap 会立即将 Standby 缓存清空，这部分内存将转入 Available 状态。
这一步操作不会影响任何正在运行的程序，因为 Standby 本质就是“已缓存但未锁定”的内存，清空后仅导致下次读取相同文件时稍慢一次。
若清空后 Available 内存仍低于 400MB，且 Nonpaged Pool 或 Mapped File 无明显下降，则问题根源在驱动或内核级泄漏，需进一步排查驱动更新或禁用可疑服务。
