Sinto muito, eu sei que isso soa como uma resposta irreverente ... mas a resposta para a pergunta em seu título é "porque eles não deveriam".
Ou, para ser mais educado: há muito uso de RAM que não está nos conjuntos de trabalho particulares dos processos. Parte disso está nos conjuntos de trabalho compartilhados dos processos - mas você não pode obter uma noção confiável do uso real por causa do compartilhamento; somar os números dos processos resultará em um resultado muito grande.
Outras coisas que ocupam RAM, como o pool não paginado, a parte residente do pool paginável e as partes residentes de outros usos do espaço do kernel, não aparecem na exibição de "processos" do Gerenciador de Tarefas.
Em relação ao seu problema específico:
Na tela do Gerenciador de tarefas, consulte a seção "memória do kernel"? Você tem 6 GB de "memória não paginada" (esse pool não paginado). Isso faz parte da seção "Em uso" no seu segundo gráfico. O pool não paginado não é cobrado em nenhum processo, e é por isso que a soma dos números por processo no gerenciador de tarefas não se aproxima do total em uso. Provavelmente, algum driver está sendo usado. Esta é uma quantidade totalmente excessiva; deve estar bem abaixo de 1 GB. qualquer driver que seja responsável pela parte excessiva do uso de pool não paginado é inquestionavelmente com erros.
O RAMmap pode confirmar isso (na guia "Usar contagens", veja o total de "Pool não paginado"), mas não pode ajudá-lo a descobrir qual driver está causando o problema.
Veja como encontrá-lo: Obtenha uma cópia da ferramenta Microsoft "poolmon". É uma ferramenta no modo de caractere (garoto, é alguma vez) distribuída com o Windows Driver Kit. Para o Windows 7, o WDK é um download gratuito . Você precisa baixar a coisa toda (é uma ISO) e instalá-la a partir disso, mas pode optar por instalar apenas as ferramentas, se isso é tudo o que você deseja.
Encontre poolmon nos diretórios WDK - escolha o caminho certo, 32 ou 64 bits - e execute-o em um prompt de comando do administrador. Você verá uma tela como esta:
Agora, pressione a tecla "p" (não, não estou brincando. Não há menus aqui!) Até a coluna "Tipo" mostrar apenas "Não". Em seguida, pressione "b" (duas vezes se necessário) para classificar a exibição em ordem decrescente pela coluna Bytes (que já foi feita na amostra aqui).
Então olhe a coluna "Tag" para a linha superior. No caso (obviamente artificial) mostrado aqui, é "Vazamento". (Este sistema está executando um driver que foi deliberadamente corrigido para causar esse problema - está "vazando" o pool não paginado.)
Aliás, as linhas destacadas foram as que foram alteradas desde a atualização anterior para esta tela arcaica.
Agora procure c: \ Windows \ System32 \ Drivers por um arquivo .sys que contenha essa sequência. Nesse caso, você procuraria "Leak", assim:
c:\windows\system32> findstr /s Leak *.sys
Em seguida, pesquise na web referências a essa sequência e / ou a esse nome de driver.
Voltar aqui e relatar o nome completo, o nome do fabricante etc. do arquivo .sys também seria útil.
(Minha aposta é que a tag encontrada será ECMC, o driver é intmsd.sys e está associado a um produto chamado ExpressCache ou IntelliMemory. Eu "desinstalaria" esse produto. Há uma atualização para corrigir o problema, mas até com a versão fixa, nunca vi o desempenho de um sistema melhorado por este produto; ele basicamente duplica a funcionalidade que já está no Windows.)
Se você não conseguir encontrar dessa maneira, o próximo passo é usar o "Windows Performance Toolkit". Pesquise neste fórum por essa sequência, com respostas de magicandre1981, para obter um tutorial. Ignore as respostas que mencionam o xperf - é uma versão mais antiga da ferramenta.
ATUALIZAÇÃO: Pelos comentários, o OP fez o acima e descobriu que, embora o poolmon tenha relatado que o tamanho total do pool não paginado era realmente enorme, todas as peças alocadas eram aparentemente pequenas. Minha conjectura (também nos comentários) é que isso se deve ao que chamarei de pool "inchado": o pool foi alocado e depois liberado, mas por algum motivo a quantidade de RAM alocada no pool não foi reduzida para refletir a "liberação" . Seguindo o procedimento descrito nesta resposta por magicandre, você pode identificar o culpado.
