引言：为什么服务器会"越用越慢"？
在企业IT运维环境中，Windows服务器作为核心业务载体，其稳定性至关重要。许多IT管理员曾遇到一种令人头疼的现象：服务器刚重启时运行流畅，但随着时间推移（通常是数天甚至数周），系统响应逐渐变慢，应用程序加载迟缓，最终可能导致关键业务中断。重启后问题暂时消失，但不久后又重现。
这种现象通常被称为"内存泄漏"（Memory Leak）。它并非指物理内存真的"漏"了，而是指操作系统或应用程序未能正确释放不再使用的非分页池（Non-paged Pool）或分页内存（Paged Pool）资源。随着时间累积，可用内存耗尽，系统被迫频繁进行页面交换（Page Fault），从而导致性能急剧下降。本文将详细讲解如何精准定位并解决这一问题。
第一步：确认故障现象与初步判断
在深入排查之前，首先需要确认内存是否真的被"吃掉"且无法回收。普通的内存占用高并不一定是泄漏，因为Windows会将空闲内存用作缓存以加速访问。真正的泄漏特征是：可用内存持续单调上升，且重启前不会自动回落。
1. 使用任务管理器观察趋势
打开任务管理器（Ctrl+Shift+Esc），切换到"性能"选项卡，点击"内存"。观察"已提交"（Committed）内存与"可用"内存的变化。如果"已提交"内存接近物理内存加上页面文件大小之和，系统将开始出现严重的抖动现象。
2. 检查非分页池大小
大多数内核级驱动导致的内存泄漏发生在非分页池中，因为这部分内存不能被交换到磁盘。如果非分页池大小随时间持续增长，这往往是驱动程序问题的强烈信号。可以通过运行命令 netstat -aon | findstr ESTABLISHED 配合资源监视器，或直接关注任务管理器中的"系统"进程的内存占用变化来辅助判断。
第二步：使用性能监视器（PerfMon）深度分析
任务管理器仅提供概览，要获取精确的数据点，必须使用内置的性能监视器（Performance Monitor）。
1. 添加关键计数器
按 Win + R 输入 perfmon 打开性能监视器。右键点击图表区域，选择"添加计数器"（Add Counters）。我们需要关注以下核心指标：
- Memory\Available MBytes：可用内存字节数。监控其是否随时间呈线性下降趋势。
- Paging File(_Total)% Usage：页面文件使用率。如果此值长期接近100%，说明物理内存严重不足。
- Process\Pool Nonpaged Bytes：这是最关键的一步。在"选择计数器来源"中，选择"当前会话"或特定进程。展开"进程"对象，找到疑似高占用的进程（如System, svchost.exe, 或特定的应用程序），查看其"Pool Nonpaged Bytes"计数器的增长曲线。
专家提示：如果"System"进程的"Pool Nonpaged Bytes"持续增长，几乎可以确定是某个内核驱动程序存在缺陷。如果是特定应用进程（如sqlservr.exe），则可能是该应用本身的Bug。
2. 创建数据日志
为了后续分析，建议创建一个"数据收集器集"（Data Collector Set）。右键"数据收集器集" -> "新建" -> "数据收集器集"。设置采样间隔为5-15分钟，记录上述计数器。这样可以在问题复现时，回溯历史数据，确定泄漏开始的时间点和速率。
第三步：定位罪魁祸首——使用PoolMon工具
当确认是内核级内存泄漏（即System进程的非分页池在增长）时，我们需要知道是哪个驱动程序导致的。Windows SDK中自带的 PoolMon 工具是最佳选择。如果没有安装SDK，可以从微软官方下载独立版本的PoolMon.exe。
1. 运行与分析
以管理员身份运行PoolMon.exe。界面将显示所有正在占用非分页池的驱动程序标签（Tag）及其占用大小（Pool Type: Np 表示Non-paged Pool）。
- 点击表头"Size"排序，查看占用最大的标签。
- 注意观察这些标签的数值是否随时间持续增长。可以使用PoolMon的"Refresh"功能或定时截图对比。
2. 识别驱动标签
PoolMon列出的通常是4字符的标签（Tag），例如 Tcpip, ndis, storport 等。要找出这些标签对应的具体驱动文件，可以在命令提示符中运行：findstr /M /S "Tag" C:\Windows\System32\*.sys（此方法较繁琐），更简单的方法是查阅微软文档或使用在线标签查询数据库，或者在PoolMon中右键点击某一行，选择"Open Service Key"直接跳转到注册表中对应的服务名称，从而得知是哪个.sys文件。
例如，如果看到 NDIS 标签增长迅速，说明是网络相关的驱动程序有问题；如果是 USBX 或 usbxhci，则可能涉及USB控制器驱动。
第四步：排查日志与系统事件
除了性能数据，Windows事件查看器也能提供线索。
1. 检查System日志
打开事件查看器，展开"Windows日志" -> "System"。筛选事件源为 "PoolMonitor" 或 "BugCheck"。如果系统发生过蓝屏（BSOD），日志中会有详细信息，包括崩溃时的内存转储文件路径。即使没有蓝屏，某些驱动错误也会记录为警告或错误级别的事件。
2. 分析内存转储文件
如果服务器曾经蓝屏，检查C:\Windows\Minidump文件夹。使用Windbg等调试工具打开.dmp文件，输入 !pool 命令可以分析泄漏的内存块。这对于高级故障排查非常有效，但对于常规运维，前述的PerfMon和PoolMon步骤通常足以定位问题。
第五步：解决方案与预防措施
一旦锁定了有问题的驱动或服务，可以采取以下措施：
1. 更新或回滚驱动
访问硬件厂商官网，下载最新版本的网卡、存储控制器或芯片组驱动。如果问题是最近才出现的，尝试回滚到上一个稳定版本的驱动。
2. 禁用非必要服务
如果泄漏来自某个不常用的系统服务（如Print Spooler在某些无打印需求的服务器上），可以考虑将其启动类型改为"手动"或"禁用"，减少攻击面和潜在漏洞。
3. 实施定期重启计划
对于无法立即修复的遗留问题，制定严格的维护窗口，每周或每两周重启一次服务器以释放内存。但这只是权宜之计，根本解决仍需替换有缺陷的组件。
4. 启用内存诊断与监控告警
在监控系统中配置阈值告警。当"Available MBytes"低于设定值（如物理内存的10%）或非分页池增长超过正常范围时，发送警报给IT团队，以便在性能彻底恶化前介入处理。
结语
Windows服务器的内存泄漏问题虽然隐蔽，但通过科学的监控手段（PerfMon）、精准的定位工具（PoolMon）以及对日志的分析，是可以被有效解决的。关键在于建立常态化的性能基线，不要等到服务中断才开始排查。对于中小企业IT人员而言，掌握这套排查流程，能显著提升运维效率和服务可靠性，避免因小失大的业务损失。