Windows 11 睡眠（S0 现代待机）期间内核"非分页池"持续泄漏

Windows 11 睡眠（S0 现代待机）期间内核"非分页池"持续泄漏，
           一晚累积 6.2 GB，导致资源管理器崩溃、登录界面无法显示，需强制断电
一、问题概述
--------------------------------------------------------------------------------
系统进入「睡眠（S0 低电量待机 / Modern Standby）」后，Windows 内核
「非分页池（Nonpaged Pool）」会以约 650～1100 MB/小时 的速率持续增长，
且唤醒后不释放。连续睡眠 8～9 小时即可累积 6 GB 以上，
最终导致：
  · 资源管理器（explorer.exe）崩溃，桌面黑屏
  · 登录/锁屏界面（LogonUI / DWM）无法加载，无法输入密码、无法进入桌面
  · 系统彻底失去响应，必须长按电源键强制断电
关键特征：泄漏只发生在睡眠期间，正常使用（唤醒状态）时非分页池稳定不涨。
二、系统环境
--------------------------------------------------------------------------------
  操作系统      : Windows 11（内核 10.0.22631.3810，属性显示 Windows 10 Pro 为已知显示问题）
  机型          : HP OMEN by HP Gaming Laptop 16-wf0xxx（主板 8BAB）
  BIOS          : Insyde F.30（2026-03-30）
  CPU           : 13th Gen Intel Core i5-13500HX
  独立显卡      : NVIDIA GeForce RTX 4060 Laptop GPU，驱动 617.42
  核显          : Intel UHD Graphics，驱动 31.0.101.5382
  物理内存      : 16 GB（可用约 13.7 GB，硬件保留约 2 GB）
  待机模式      : S0 现代待机（该机型不支持 S3）
  360 安全卫士   : 12.0.0.2001
  360 相关服务   : 360rp（运行中，自动）、ZhuDongFangYu 主动防御（运行中，自动）
三、360 驱动清单（截至反馈时，全部已加载）
--------------------------------------------------------------------------------
驱动文件              大小     文件版本          日期
-------------------- -------- ----------------- ----------
360AntiAttack64.sys     78 KB  1.0.0.1051        2023-12-14
360AntiHacker64.sys    196 KB  1.0.0.1203        2024-04-16
360AntiHijack64.sys    110 KB  1.0.0.1107        2025-02-28
360AntiSteal64.sys      54 KB  1.0.0.1071        2025-02-28
360AvFlt.sys            98 KB  1.1.0.1078        2025-03-25
360Box64.sys           344 KB  2.1.0.1483        2025-02-28
360Camera64.sys         57 KB  1.0.0.1021        2020-07-08
360elam64.sys           18 KB  1.0.0.1040        2023-03-02
360FsFlt.sys           427 KB  53.0.0.56         2026-08-24
360LanProtect.sys       60 KB  2.0.0.1090        2021-03-01
360netmon.sys          108 KB  2.4.12.5310       2026-04-28
360Sensor64.sys         52 KB  1.0.0.1041        2022-02-15
四、核心证据：睡眠期间的实测泄漏数据
--------------------------------------------------------------------------------
测试方法：后台每 30 秒采样一次 Windows 性能计数器
          \Memory\Pool Nonpaged Bytes，同时记录系统睡眠/唤醒事件。
  时间节点              状态           非分页池      可用内存
  -------------------- -------------- ------------ -----------
  10-16 21:49:16       开机基线          602 MB      4941 MB
  10-16 21:57 → 22:19  睡眠 22 分钟      617 → 900 MB  5296 MB
  10-16 22:24 → 22:30  睡眠  6 分钟      893 → 1005 MB 5112 MB
  10-16 22:35 → 05:56  睡眠 441 分钟    1006 → 5817 MB  1074 MB
  10-17 06:12 → 07:33  睡眠 81 分钟     5824 → 6835 MB  1059 MB
单次睡眠的泄漏量与速率：
  睡眠时长      池增量        归一化速率
  ------------  -----------  -----------
    22 分钟      +283.3 MB    771 MB/小时
     6 分钟      +111.6 MB   1098 MB/小时
   441 分钟     +4810.4 MB    654 MB/小时
    81 分钟     +1010.7 MB    744 MB/小时
  --------------------------------------------
    合计 550 分钟  +6216 MB   678 MB/小时
三条关键判据：
  1. 泄漏量与睡眠时长严格成正比
     对上述 4 组数据做线性回归：R² = 0.9982
     （斜率约 10.9 MB/分钟，即约 653 MB/小时）
  2. 唤醒状态下非分页池稳定不涨
     例如 22:19 → 22:24 期间为 900 → 893 MB（略降）；
     06:12 前后连续采样均为 5824 MB 上下，无增长趋势。
  3. 重启后基线正常
     重启后非分页池回到 580～600 MB，说明不是开机加载即泄漏，
     而是"睡眠期间被逐步累积、且从不释放"。
由此判断：泄漏不是发生在"唤醒恢复回调"里，而是
驱动在 S0 现代待机状态下存在周期性定时器/工作项持续申请内存，
且未在退出待机或下次进入待机时释放。
五、故障后果与系统日志
--------------------------------------------------------------------------------
随着非分页池增长，可用物理内存被压缩到约 1 GB，出现以下连锁故障：
  · 约 23:02 起，系统日志密集出现服务启动失败，每 10 分钟一次直至凌晨：
      - AppX Deployment Service (AppXSVC) 启动失败（Service Control Manager 7000）
      - DCOM Server 无法启动（DistributedCOM 10001 / 10010）
    判断为内存耗尽导致服务无法完成初始化。
  · 夜间资源管理器崩溃，桌面黑屏（重启 explorer.exe 可临时恢复）。
  · 07:31 左右，登录/锁屏界面无法显示，无法输入密码，系统彻底失去响应，
    只能长按电源键强制断电。
  · 重新开机后，系统日志记录：
      - Event ID 6008：上一次系统关闭时间 07:31:09 属于意外关机
      - Event ID 41 ：系统未正常关机即重启（Kernel-Power）
  说明：全程未发生蓝屏，C:\Windows\Minidump 为空，也没有显卡驱动 TDR 记录
        （Event ID 4101 为 0 次），排除了驱动崩溃与硬件致命故障。
六、已排除的干扰因素
--------------------------------------------------------------------------------
为便于定位，以下项已确认排除：
  · 未发生过蓝屏（Minidump 目录为空，无 MEMORY.DMP）
  · 无显卡驱动 TDR 超时恢复事件（Event ID 4101 = 0 次）
  · 快速启动已禁用（HiberbootEnabled = 0）
  · PCIe ASPM 已关闭（交流/直流均为「关闭」）
  · 混合睡眠不可用（机型不支持 S3）
  · NVIDIA 用户态与内核态驱动版本一致（nvml.dll 8.17.16.1742 = nvlddmkm.sys 32.0.16.1742）
  · 核显驱动与 BIOS 均已升级至最新（泄漏现象升级前后均存在）
  · 每次开机固定出现的 Kernel-PnP 219 事件为 Intel ME / 芯片组设备，与本次问题无关
七、怀疑方向与判断依据
--------------------------------------------------------------------------------
当前系统中共存在 12 个 360 内核驱动，其中以下特征与"睡眠期间周期性申请
内存且不释放"高度吻合，故作为首要排查方向：
  1. 数量多、权限高
     12 个驱动中 8 个为 Boot/System 启动（Start=1），加载最早、介入最深。
  2. 存在周期性硬件监控组件
     360Sensor64.sys 属传感器监控类驱动，典型实现会注册定时器/工作项
     周期性采集数据，若申请非分页池后在睡眠状态下未释放，即会造成本现象。
  3. 存在网络过滤与网络监控组件
     360netmon.sys（2026-04-28 更新）、360LanProtect.sys 在网络过滤层工作。
     S0 现代待机状态下网络仍保持连接（合盖后仍可接收网络事件），
     此类驱动会持续处于活动状态。
  4. 主动防御常驻运行
     ZhuDongFangYu（主动防御）与 360rp 均为运行中的自动服务，
     会注册系统回调与内核通知。
说明：以上为基于现象的怀疑方向，尚无直接证据确认具体是哪一个驱动。
     若能提供定位方法或诊断工具，非常愿意配合做进一步测试与抓取。
八、复现步骤
--------------------------------------------------------------------------------
  1. 系统正常开机，确认内核非分页池正常（我的机器约 580～600 MB）。
     查看方法：任务管理器 → 性能 → 内存，或使用性能计数器
               \Memory\Pool Nonpaged Bytes。
  2. 让系统进入睡眠（S0 现代待机）。可合盖，或在开始菜单选择「睡眠」。
     注意：需保持睡眠状态较长时间（建议 1 小时以上）现象才明显。
  3. 唤醒系统，记录唤醒后的非分页池数值。
     实测每次睡眠后都会增加，增量与睡眠时长成正比。
  4. 重复多次（尤其连续睡眠数小时）后，非分页池会累积到数 GB，
     可用内存降至 1 GB 左右，随后出现 explorer.exe 崩溃、
     甚至登录界面无法加载、系统假死。
  补充说明：我使用的采样脚本每 30 秒记录一次计数器数值，
           可提供完整 CSV 原始数据（70 个采样点 / 覆盖 9.7 小时）。
九、希望得到的帮助
--------------------------------------------------------------------------------
  1. 请确认 360 的驱动（尤其是 360Sensor64.sys、360netmon.sys、
     360LanProtect.sys、360FsFlt.sys、ZhuDongFangYu）是否存在
     「在 S0 现代待机期间周期性申请非分页池且不释放」的问题。
  2. 若有已知问题，请提供修复版本或临时规避方案（例如可安全禁用的
     具体驱动/组件）。
  3. 如需进一步定位，请告知：
     a) 是否可提供专门的日志采集工具或诊断版本；
     b) 需要开启哪些调试手段（如启用驱动验证、特定注册表开关）；
     c) 是否可以提供 Pool Tag 级别信息供你们比对。
  4. 我可以在你们的指导下，通过「禁用特定 360 驱动 → 睡眠测试 → 对比
     泄漏速率」的 A/B 方式配合定位，并回传测试结果。
十、备注
--------------------------------------------------------------------------------
  · 本文所有内存数值均来自 Windows 性能计数器实测，非估算。
  · 该问题在升级 Intel 核显驱动（4502 → 5382）与 HP BIOS（→ F.30）
    之后依然存在，可排除显示驱动与固件因素。

上面提交的问题，我再补充几点，方便你们快速定位。

一、问题的核心是一句话
--------------------------------------------------------------------------------
系统进入睡眠（S0 现代待机）后，内核「非分页池」按约 650～1100 MB/小时
持续增长，唤醒后不释放。睡一晚约 8 小时，就累积 6 GB 以上，
可用内存被压到 1 GB 左右，随后 explorer.exe 崩溃、登录界面加载不出来。

二、最关键的三个数据
--------------------------------------------------------------------------------
  1. 睡眠 22 分钟  → 池增长 283 MB
     睡眠  6 分钟  → 池增长 112 MB
     睡眠 441 分钟 → 池增长 4810 MB
     睡眠 81 分钟  → 池增长 1011 MB

     四组数据严格线性相关，R² = 0.9982，速率约 653 MB/小时。
     泄漏量与睡眠时长成正比 —— 这说明不是一次性错误，而是
     睡眠期间存在周期性分配。

  2. 醒着的时候池完全不涨。
     同一台机器、同一个测试脚本，唤醒状态下连续采样池值是平稳的
     （例：900 → 893 → 892 MB）。

  3. 重启后池立即回到 580～600 MB 的正常值。
     也就是"运行期累积、重启回收"的典型形态，不是开机加载即泄漏。

三、为什么怀疑是 360 驱动
--------------------------------------------------------------------------------
我机器上装了 12 个 360 内核驱动。其中三个特征比较可疑：

  · 360Sensor64.sys —— 传感器监控类驱动，通常会用定时器/工作项
    周期性采集数据。如果它申请了非分页池，而睡眠状态下没有释放，
    就完全符合"随时间线性增长"这个特征。

  · 360netmon.sys（2026-04-28 版本）、360LanProtect.sys ——
    在网络过滤层工作。S0 待机时网络保持连接（合盖后仍能收到网络事件），
    这类驱动会一直处于活动状态，也就一直有机会申请内存。

  · ZhuDongFangYu（主动防御）和 360rp 都是运行中的自动服务，
    会注册系统回调和内核通知，介入睡眠/唤醒流程。

需要说明的是：我没有直接证据确定具体是哪一个驱动，
这只是一个基于现象特征的怀疑方向，所以想请你们帮忙确认。

四、我已经排除的因素
--------------------------------------------------------------------------------
为了少走弯路，以下我都验证过了，可以排除：

  · 没有蓝屏（Minidump 目录是空的）
  · 没有显卡驱动 TDR 记录（Event ID 4101 为 0 次）
  · 快速启动已关闭、PCIe ASPM 已关闭、机型不支持 S3
  · NVIDIA 用户态和内核态驱动版本一致（1742 = 1742）
  · Intel 核显驱动从 2023 年的 4502 升到了 2024 年的 5382，
    现象没有变化
  · HP BIOS 也升到了最新的 F.30，现象没有变化
  · 每次开机都会出现的 Kernel-PnP 219 是 Intel ME 的设备，跟这个问题无关

也就是说：显示驱动和固件都已经升级排除掉了，剩下的变量就是内核驱动。

五、我需要的帮助
--------------------------------------------------------------------------------
麻烦帮我确认一下：360 的驱动是否存在"在 S0 现代待机期间周期性
申请非分页池但不释放"的问题？

如果有已知问题，希望能给一个修复版本，或者告诉我哪个组件可以
临时禁用做验证。

您好，您直接先把安全卫士卸载了测试一下，这个问题是否还存在，如果还存在的话，那就和安全卫士无关，如果卸载卫士后就正常，您得加下我的微信，我抓个日志看看的：