Протокол наблюдения для роста nonpaged pool: как отличить общий расход памяти, устойчивый тренд PoolMon-тега, сопоставление компонента и доказанную первопричину.
Разделите четыре уровня доказательств
Первый уровень — растёт общий объём nonpaged pool. Второй — один pool tag показывает устойчивое увеличение Bytes или разницы allocations и frees во времени. Третий — тег подтверждённо сопоставлен компоненту. Четвёртый — установлено, что именно этот компонент создаёт утечку в вашей ситуации. Microsoft описывает tag как путь к дальнейшему расследованию, а не как готовый приговор драйверу. Запишите эти уровни отдельными строками и не перескакивайте с первого или второго сразу на четвёртый. Случайное совпадение четырёх символов, запись из старого pooltag.txt или название в форуме не заменяют текущую атрибуцию.
Соберите временной ряд одинаковыми снимками
PoolMon полезен не одной фотографией, а сравнением. Microsoft рекомендует наблюдать рост Bytes или Diff, поэтому выберите одинаковый интервал и условия: например, начало обычной сессии, несколько последующих точек и состояние перед завершением работы. В каждой точке фиксируйте общий nonpaged pool, значения подозрительного тега, время и выполнявшуюся нагрузку без содержимого файлов. Не запускайте стресс-тест и не меняйте драйверы одновременно. После штатной перезагрузки начните отдельный ряд: обнуление расхода с повторным ростом является наблюдением, но ещё не доказывает конкретную причину. Если значения колеблются без направленного роста, один большой снимок недостаточен для вывода об утечке.
Проверьте сопоставление, сохранив неопределённость
Примеры Microsoft показывают сортировку nonpaged pool и поиск тега в pooltag.txt. Сопоставление полезно как гипотеза: оно подсказывает, документацию и версии какого компонента проверять дальше. Зафиксируйте точную сборку Windows, версии связанных драйверов из свойств подписанного файла и дату наблюдения. Не удаляйте системный драйвер по имени тега и не переносите вывод с другой машины. Если тег не находится или соответствует нескольким компонентам, так и запишите. Если находится, формулировка остаётся осторожной: «рост связан с allocations этого тега», а не «драйвер виновен». Для настоящей атрибуции могут потребоваться трассировка или дамп, которые лучше собирать по инструкции поддержки.
Не запускайте Driver Verifier на рабочем ПК
Microsoft прямо предупреждает, что Driver Verifier способен вызвать сбой компьютера и предназначен для тестирования и отладки. Поэтому это красная граница для обычной рабочей системы, а не следующий шаг после PoolMon. Остановитесь раньше и передайте специалисту временной ряд, версию Windows, подозрительный тег, подтверждённое сопоставление, список недавних официальных обновлений драйверов и время повторения после перезагрузки. Не публикуйте полный дамп памяти: он может содержать чувствительные данные. Критерий успеха диагностики — воспроизводимый тренд и суженный компонент для контролируемого теста, а не принудительно найденный «виновник» любой ценой.
Материал подготовлен редакцией VOne с применением ИИ для структурирования; технические утверждения вручную сверены с указанной официальной документацией, а форумная ветка использована только как обезличенный сигнал боли.
Источники и проверка
- Microsoft Learn — Finding a kernel-mode memory leak проверено 2026-07-31
- Microsoft Learn — Using PoolMon to find a kernel-mode leak проверено 2026-07-31
- Microsoft Learn — PoolMon examples проверено 2026-07-31
- Microsoft Learn — Driver Verifier проверено 2026-07-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.