Диагностика утечек памяти, выявление сбойных драйверов

@vavun · Регистрация: 07.04.2013

Если вы заметили ошибку или не точность, у вас есть важное дополнение или замечание - просьба об этом сообщить.

Инструкция по выявлению драйверов вызывающих чрезмерное использование оперативной памяти.

WikipediaУте́чка па́мяти (англ. memory leak) — процесс неконтролируемого уменьшения объёма свободной оперативной или виртуальной памяти компьютера, связанный с ошибками в работающих программах, вовремя не освобождающих ненужные уже участки памяти, или с ошибками системных служб контроля памяти.

0. Действительно ли происходит утечка памяти
1. Определение тегов расходующих память при помощи PoolMon
2. Поиск драйвера по тегу при помощи strings и sigcheck
3. Поиск тега системного драйвера в файле pooltag.txt
4. Общие рекомендации по устранению
5. Если самостоятельно определить причину не удалось
6. Необходимые программы и файлы

Данная инструкция предполагает, что очевидные причины излишнего потребления ОЗУ уже были исключены при помощи диспетчера задач и/или монитора ресурсов.
Чтобы убедиться, что проблема излишнего потребления оперативной памяти имеет отношение к драйверам и/или оборудованию
и сам факт утечки памяти вообще имеет место быть нужно запустить программу RAMMap.exe и открыть на дефолтной вкладке Use Counts:

Обращать внимание главным образом следует на Nonpaged Pool и Paged Pool
Вот пример того, как может выглядеть утечка памяти:
Так же следует обратить внимание на Driver Locked
Хотя утечкой это и не является, но такое "резервирование" ОЗУ далеко не всегда является нормой:

Чаще всего причиной оказываются RAM диски или виртуальные машины.
Описанный далее метод не подходит для выявления драйвера заблокировавшего таким способом участок памяти.

Если все прочие причины перерасхода ОЗУ исключены можно приступать к диагностике.

Запустите PoolMon.exe от имени администратора (для x86 систем нужно запускать версию x86, для x64 желательно x64)
И нажмите клавишу b, чтобы сортировка тегов производилась по использованию байтов от большего к меньшему (сверху вниз).
В результате должна получиться вот такая картина:

В данном конкретном случае утечек памяти нет, но больше всех остальных расходуют память области с тегами NVRM и ViMm.
Они и оказались в самом верху списка после сортировки:

Чтобы выяснить какому драйверу принадлежит тег создайте батник, который выполнит поиск потенциального виновника по тегу при помощи программы strings.exe среди всех загруженных в данный момент драйверов, и покажет краткую информацию о каждом найденном при помощи sigcheck:

Windows Batch file

@echo off
 
set TAG=????
 
for /f "delims=" %%a in ('wmic sysdriver get PathName /value') do (
    for /f "tokens=2,* delims==?" %%i in ("%%a") do (
        strings -q "%%i\%%j" | findstr /i "%TAG%">nul && (
        sigcheck -q "%%i\%%j"&echo.
)))
pause

Где вместо ???? нужно вписать интересующий нас тег.

Например один из тегов, который был получен в предыдущем пункте:

Windows Batch file

set TAG=NVRM

Файлы strings.exe и sigcheck положите в папку с батником или скопируйте в C:\Windows, без них поиск выполняться не будет.

В итоге должен получиться вот такой батник (пример: strings.exe и sigcheck находятся в той же папке):

Диагностика утечек памяти, выявление сбойных драйверов

Сохраните батник, запустите его двойным кликом и дождитесь завершения поиска. Обычно для этого не требуется много времени.

Выяснилось, что тег NVRM относится к драйверу nvlddmkm.sys

Принадлежность тега ViMm тем же способом выяснить не удалось:

Но на помощь приходит файл pooltag.txt.
Файл pooltag.txt содержит описание тегов пулов системных драйверов (поставляемых в составе ОС) и не содержит описания тегов сторонних драйверов.

Произведите поиск тега ViMm в файле pooltag.txt

dxgkrnl.sys - это еще один графический компонент, но на этот раз системный.
Рекомендации по устранению:
- nvlddmkm.sys - NVIDIA Windows Kernel Mode Driver
  
  Если сбойный драйвер оказался драйвером стороннего производителя, то нужно произвести обновление этого драйвера или откат к более ранней версии.
  Перед установкой нового драйвера настоятельно рекомендуется удалить старый драйвер и перезагрузиться.
  
  Не вдаваясь в подробности, если этого не сделать, то, в некоторых случаях, система продолжает использовать старый драйвер даже после установки нового.
  Проверяйте и сравнивайте версию драйвера до и после обновления/отката.
  Если драйвер продолжает "течь" и после обновления/отката, то это может указывать на аппаратные проблемы.
- dxgkrnl.sys - DirectX Graphics Kernel
  
  Если диагностика указывает на системный драйвер, скорее всего настоящей причиной является не он.
  В этом случае рекомендуется обновить ОС и проверить актуальность драйверов сторонних производителей.
  Может косвенно указывать на аппаратные проблемы.
Если самостоятельно определить причину не удалось:
- Создайте свою отдельную тему в разделе соответствующем вашей ОС
- Подробно опишите при каких обстоятельствах наблюдается проблема
- Предоставьте скриншот программы RAMMap с открытой вкладкой Use Counts
- Предоставьте скриншот программы PoolMon с сортировкой по bytes (кнопка b )
- Подготовьте отчет AIDA 64:
  Запускаете программу, жмете на кнопку "Отчет" --> выбираете профиль отчета "Все разделы" --> Формат отчета "html" --> Готово
  Файл Report.htm запаковываете в архив и выкладываете в своей теме
  
  Файлы и изображения загружайте на форум

Полезные ссылкиРуссинович:
Физическая память
Выгружаемый и невыгружаемый пулы
Мониторинг использования пулов

Разрешение проблем с утечками памяти режима ядра
Using PoolMon to Find a Kernel-Mode Memory Leak

Ссылки на актуальные версии программ: RAMMap, Sigcheck, Strings.
PoolMon.exe и pooltag.txt входят в состав Windows Driver Kit (WDK) 10

Файлы в архиве: BadPool.bat, poolmon.exe, pooltag.exe, RAMMap.exe, sigcheck.exe, strings.exe

@Turok123 · 02.01.2017, 18:56

vavun, можно ещё добавить инструкции о том,что делать если утечка происходит в Page Table.
Как по мне,тут всё хорошо расписано How to find source of memory leak in Windows 7?.

@vavun · 13.01.2017, 10:43 **[ТС]**

Turok123, я пока что "в отпуске" и на форуме появляюсь крайне редко и времени на это, к сожалению, нет.
Если хотите можете сами красиво оформить инструкцию прямо тут следующим сообщением или отдельной темой по желанию.

@Turok123 · 13.01.2017, 19:24

vavun, С новым годом !!! Не .... много, побереги здоровье, а то с белкой встретишься ( шутка ).

@Mage · 10.07.2018, 00:44

Я очень извиняюсь, но кто-нибудь может написать как создать бат файл через notepad++? Или есть другой способ?

@gnom_from91 · 26.11.2020, 12:45

друзья. очень нужна ваша помощь в определении и устранении утечки оперативной памяти, за вознаграждение.
помогите - не разбираюсь в windows.
mem reduct запускаю каждый час

windows 7 prof лицензия.
последнее время за 1 час система съедает 8 гб.

gecata · 26.11.2020, 13:37

Комментарий модератора

Сообщение от gnom_from91

за вознаграждение

Если так - могу перенести ваш пост в раздел фриланса

@Turok123 4137 / 1649 / 240 Регистрация: 01.05.2013 Сообщений: 7,236
	02.01.2017, 18:56	2
	vavun, можно ещё добавить инструкции о том,что делать если утечка происходит в Page Table. Как по мне,тут всё хорошо расписано How to find source of memory leak in Windows 7?. 0

@vavun 10528 / 5490 / 863 Регистрация: 07.04.2013 Сообщений: 15,661
	13.01.2017, 10:43 [ТС]	3
	Turok123, я пока что "в отпуске" и на форуме появляюсь крайне редко и времени на это, к сожалению, нет. Если хотите можете сами красиво оформить инструкцию прямо тут следующим сообщением или отдельной темой по желанию. 0

@Turok123 4137 / 1649 / 240 Регистрация: 01.05.2013 Сообщений: 7,236
	13.01.2017, 19:24	4
	vavun, С новым годом !!! Не .... много, побереги здоровье, а то с белкой встретишься ( шутка ). 0

@Mage Ученик. 0 / 6 / 0 Регистрация: 01.06.2015 Сообщений: 220
	10.07.2018, 00:44	5
	Я очень извиняюсь, но кто-нибудь может написать как создать бат файл через notepad++? Или есть другой способ? 0

	26.11.2020, 13:37

Опции темы