Windows 11 睡眠（S0 现代待机）期间内核"非分页池"持续泄漏
Windows 11 睡眠（S0 现代待机）期间内核"非分页池"持续泄漏，一晚累积 6.2 GB，导致资源管理器崩溃、登录界面无法显示，需强制断电
一、问题概述
--------------------------------------------------------------------------------
系统进入「睡眠（S0 低电量待机 / Modern Standby）」后，Windows 内核
「非分页池（Nonpaged Pool）」会以约 650～1100 MB/小时 的速率持续增长，
且唤醒后不释放。连续睡眠 8～9 小时即可累积 6 GB 以上，
最终导致：
· 资源管理器（explorer.exe）崩溃，桌面黑屏
· 登录/锁屏界面（LogonUI / DWM）无法加载，无法输入密码、无法进入桌面
· 系统彻底失去响应，必须长按电源键强制断电
关键特征：泄漏只发生在睡眠期间，正常使用（唤醒状态）时非分页池稳定不涨。
二、系统环境
--------------------------------------------------------------------------------
操作系统 : Windows 11（内核 10.0.22631.3810，属性显示 Windows 10 Pro 为已知显示问题）
机型 : HP OMEN by HP Gaming Laptop 16-wf0xxx（主板 8BAB）
BIOS : Insyde F.30（2026-03-30）
CPU : 13th Gen Intel Core i5-13500HX
独立显卡 : NVIDIA GeForce RTX 4060 Laptop GPU，驱动 617.42
核显 : Intel UHD Graphics，驱动 31.0.101.5382
物理内存 : 16 GB（可用约 13.7 GB，硬件保留约 2 GB）
待机模式 : S0 现代待机（该机型不支持 S3）
360 安全卫士 : 12.0.0.2001
360 相关服务 : 360rp（运行中，自动）、ZhuDongFangYu 主动防御（运行中，自动）
三、360 驱动清单（截至反馈时，全部已加载）
--------------------------------------------------------------------------------
驱动文件 大小 文件版本 日期
-------------------- -------- ----------------- ----------
360AntiAttack64.sys 78 KB1.0.0.1051 2023-12-14
360AntiHacker64.sys 196 KB1.0.0.1203 2024-04-16
360AntiHijack64.sys 110 KB1.0.0.1107 2025-02-28
360AntiSteal64.sys 54 KB1.0.0.1071 2025-02-28
360AvFlt.sys 98 KB1.1.0.1078 2025-03-25
360Box64.sys 344 KB2.1.0.1483 2025-02-28
360Camera64.sys 57 KB1.0.0.1021 2020-07-08
360elam64.sys 18 KB1.0.0.1040 2023-03-02
360FsFlt.sys 427 KB53.0.0.56 2026-08-24
360LanProtect.sys 60 KB2.0.0.1090 2021-03-01
360netmon.sys 108 KB2.4.12.5310 2026-04-28
360Sensor64.sys 52 KB1.0.0.1041 2022-02-15
四、核心证据：睡眠期间的实测泄漏数据
--------------------------------------------------------------------------------
测试方法：后台每 30 秒采样一次 Windows 性能计数器
\Memory\Pool Nonpaged Bytes，同时记录系统睡眠/唤醒事件。
时间节点 状态 非分页池 可用内存
-------------------- -------------- ------------ -----------
10-16 21:49:16 开机基线 602 MB 4941 MB
10-16 21:57 → 22:19睡眠 22 分钟 617 → 900 MB5296 MB
10-16 22:24 → 22:30睡眠6 分钟 893 → 1005 MB 5112 MB
10-16 22:35 → 05:56睡眠 441 分钟 1006 → 5817 MB1074 MB
10-17 06:12 → 07:33睡眠 81 分钟 5824 → 6835 MB1059 MB
单次睡眠的泄漏量与速率：
睡眠时长 池增量 归一化速率
----------------------------------
22 分钟 +283.3 MB 771 MB/小时
6 分钟 +111.6 MB 1098 MB/小时
441 分钟 +4810.4 MB 654 MB/小时
81 分钟 +1010.7 MB 744 MB/小时
--------------------------------------------
合计 550 分钟+6216 MB 678 MB/小时
三条关键判据：
1. 泄漏量与睡眠时长严格成正比
对上述 4 组数据做线性回归：R² = 0.9982
（斜率约 10.9 MB/分钟，即约 653 MB/小时）
2. 唤醒状态下非分页池稳定不涨
例如 22:19 → 22:24 期间为 900 → 893 MB（略降）；
06:12 前后连续采样均为 5824 MB 上下，无增长趋势。
3. 重启后基线正常
重启后非分页池回到 580～600 MB，说明不是开机加载即泄漏，
而是"睡眠期间被逐步累积、且从不释放"。
由此判断：泄漏不是发生在"唤醒恢复回调"里，而是
驱动在 S0 现代待机状态下存在周期性定时器/工作项持续申请内存，
且未在退出待机或下次进入待机时释放。
五、故障后果与系统日志
--------------------------------------------------------------------------------
随着非分页池增长，可用物理内存被压缩到约 1 GB，出现以下连锁故障：
· 约 23:02 起，系统日志密集出现服务启动失败，每 10 分钟一次直至凌晨：
- AppX Deployment Service (AppXSVC) 启动失败（Service Control Manager 7000）
- DCOM Server 无法启动（DistributedCOM 10001 / 10010）
判断为内存耗尽导致服务无法完成初始化。
· 夜间资源管理器崩溃，桌面黑屏（重启 explorer.exe 可临时恢复）。
· 07:31 左右，登录/锁屏界面无法显示，无法输入密码，系统彻底失去响应，
只能长按电源键强制断电。
· 重新开机后，系统日志记录：
- Event ID 6008：上一次系统关闭时间 07:31:09 属于意外关机
- Event ID 41 ：系统未正常关机即重启（Kernel-Power）
说明：全程未发生蓝屏，C:\Windows\Minidump 为空，也没有显卡驱动 TDR 记录
（Event ID 4101 为 0 次），排除了驱动崩溃与硬件致命故障。
六、已排除的干扰因素
--------------------------------------------------------------------------------
为便于定位，以下项已确认排除：
· 未发生过蓝屏（Minidump 目录为空，无 MEMORY.DMP）
· 无显卡驱动 TDR 超时恢复事件（Event ID 4101 = 0 次）
· 快速启动已禁用（HiberbootEnabled = 0）
· PCIe ASPM 已关闭（交流/直流均为「关闭」）
· 混合睡眠不可用（机型不支持 S3）
· NVIDIA 用户态与内核态驱动版本一致（nvml.dll 8.17.16.1742 = nvlddmkm.sys 32.0.16.1742）
· 核显驱动与 BIOS 均已升级至最新（泄漏现象升级前后均存在）
· 每次开机固定出现的 Kernel-PnP 219 事件为 Intel ME / 芯片组设备，与本次问题无关
七、怀疑方向与判断依据
--------------------------------------------------------------------------------
当前系统中共存在 12 个 360 内核驱动，其中以下特征与"睡眠期间周期性申请
内存且不释放"高度吻合，故作为首要排查方向：
1. 数量多、权限高
12 个驱动中 8 个为 Boot/System 启动（Start=1），加载最早、介入最深。
2. 存在周期性硬件监控组件
360Sensor64.sys 属传感器监控类驱动，典型实现会注册定时器/工作项
周期性采集数据，若申请非分页池后在睡眠状态下未释放，即会造成本现象。
3. 存在网络过滤与网络监控组件
360netmon.sys（2026-04-28 更新）、360LanProtect.sys 在网络过滤层工作。
S0 现代待机状态下网络仍保持连接（合盖后仍可接收网络事件），
此类驱动会持续处于活动状态。
4. 主动防御常驻运行
ZhuDongFangYu（主动防御）与 360rp 均为运行中的自动服务，
会注册系统回调与内核通知。
说明：以上为基于现象的怀疑方向，尚无直接证据确认具体是哪一个驱动。
若能提供定位方法或诊断工具，非常愿意配合做进一步测试与抓取。
八、复现步骤
--------------------------------------------------------------------------------
1. 系统正常开机，确认内核非分页池正常（我的机器约 580～600 MB）。
查看方法：任务管理器 → 性能 → 内存，或使用性能计数器
\Memory\Pool Nonpaged Bytes。
2. 让系统进入睡眠（S0 现代待机）。可合盖，或在开始菜单选择「睡眠」。
注意：需保持睡眠状态较长时间（建议 1 小时以上）现象才明显。
3. 唤醒系统，记录唤醒后的非分页池数值。
实测每次睡眠后都会增加，增量与睡眠时长成正比。
4. 重复多次（尤其连续睡眠数小时）后，非分页池会累积到数 GB，
可用内存降至 1 GB 左右，随后出现 explorer.exe 崩溃、
甚至登录界面无法加载、系统假死。
补充说明：我使用的采样脚本每 30 秒记录一次计数器数值，
可提供完整 CSV 原始数据（70 个采样点 / 覆盖 9.7 小时）。
九、希望得到的帮助
--------------------------------------------------------------------------------
1. 请确认 360 的驱动（尤其是 360Sensor64.sys、360netmon.sys、
360LanProtect.sys、360FsFlt.sys、ZhuDongFangYu）是否存在
「在 S0 现代待机期间周期性申请非分页池且不释放」的问题。
2. 若有已知问题，请提供修复版本或临时规避方案（例如可安全禁用的
具体驱动/组件）。
3. 如需进一步定位，请告知：
a) 是否可提供专门的日志采集工具或诊断版本；
b) 需要开启哪些调试手段（如启用驱动验证、特定注册表开关）；
c) 是否可以提供 Pool Tag 级别信息供你们比对。
4. 我可以在你们的指导下，通过「禁用特定 360 驱动 → 睡眠测试 → 对比
泄漏速率」的 A/B 方式配合定位，并回传测试结果。
十、备注
--------------------------------------------------------------------------------
· 本文所有内存数值均来自 Windows 性能计数器实测，非估算。
· 该问题在升级 Intel 核显驱动（4502 → 5382）与 HP BIOS（→ F.30）
之后依然存在，可排除显示驱动与固件因素。 上面提交的问题，我再补充几点，方便你们快速定位。
一、问题的核心是一句话
--------------------------------------------------------------------------------
系统进入睡眠（S0 现代待机）后，内核「非分页池」按约 650～1100 MB/小时
持续增长，唤醒后不释放。睡一晚约 8 小时，就累积 6 GB 以上，
可用内存被压到 1 GB 左右，随后 explorer.exe 崩溃、登录界面加载不出来。
二、最关键的三个数据
--------------------------------------------------------------------------------
1. 睡眠 22 分钟→ 池增长 283 MB
睡眠6 分钟→ 池增长 112 MB
睡眠 441 分钟 → 池增长 4810 MB
睡眠 81 分钟→ 池增长 1011 MB
四组数据严格线性相关，R² = 0.9982，速率约 653 MB/小时。
泄漏量与睡眠时长成正比 —— 这说明不是一次性错误，而是
睡眠期间存在周期性分配。
2. 醒着的时候池完全不涨。
同一台机器、同一个测试脚本，唤醒状态下连续采样池值是平稳的
（例：900 → 893 → 892 MB）。
3. 重启后池立即回到 580～600 MB 的正常值。
也就是"运行期累积、重启回收"的典型形态，不是开机加载即泄漏。
三、为什么怀疑是 360 驱动
--------------------------------------------------------------------------------
我机器上装了 12 个 360 内核驱动。其中三个特征比较可疑：
· 360Sensor64.sys —— 传感器监控类驱动，通常会用定时器/工作项
周期性采集数据。如果它申请了非分页池，而睡眠状态下没有释放，
就完全符合"随时间线性增长"这个特征。
· 360netmon.sys（2026-04-28 版本）、360LanProtect.sys ——
在网络过滤层工作。S0 待机时网络保持连接（合盖后仍能收到网络事件），
这类驱动会一直处于活动状态，也就一直有机会申请内存。
· ZhuDongFangYu（主动防御）和 360rp 都是运行中的自动服务，
会注册系统回调和内核通知，介入睡眠/唤醒流程。
需要说明的是：我没有直接证据确定具体是哪一个驱动，
这只是一个基于现象特征的怀疑方向，所以想请你们帮忙确认。
四、我已经排除的因素
--------------------------------------------------------------------------------
为了少走弯路，以下我都验证过了，可以排除：
· 没有蓝屏（Minidump 目录是空的）
· 没有显卡驱动 TDR 记录（Event ID 4101 为 0 次）
· 快速启动已关闭、PCIe ASPM 已关闭、机型不支持 S3
· NVIDIA 用户态和内核态驱动版本一致（1742 = 1742）
· Intel 核显驱动从 2023 年的 4502 升到了 2024 年的 5382，
现象没有变化
· HP BIOS 也升到了最新的 F.30，现象没有变化
· 每次开机都会出现的 Kernel-PnP 219 是 Intel ME 的设备，跟这个问题无关
也就是说：显示驱动和固件都已经升级排除掉了，剩下的变量就是内核驱动。
五、我需要的帮助
--------------------------------------------------------------------------------
麻烦帮我确认一下：360 的驱动是否存在"在 S0 现代待机期间周期性
申请非分页池但不释放"的问题？
如果有已知问题，希望能给一个修复版本，或者告诉我哪个组件可以
临时禁用做验证。 您好，您直接先把安全卫士卸载了测试一下，这个问题是否还存在，如果还存在的话，那就和安全卫士无关，如果卸载卫士后就正常，您得加下我的微信，我抓个日志看看的：https://p0.ssl.qhmsg.com/t11098f6bcdeb986c4ad8c55100.png
页:
[1]