Linux 进程管理全景图:ps / top / kill / 信号 / 僵尸孤儿 / 容器时代

一、3 个基础概念，先分清

补一个 2026 年常被混淆的：

• 线程（Thread）：进程里的"小弟"，共享同一份内存空间，调度单位是线程

• 容器（Container）：本质就是一组被 namespace / cgroups 隔离的进程，不是虚拟机

二、两种"异常"进程：僵尸 vs 孤儿

2.1 僵尸进程（Zombie）

子进程已经结束，但父进程没有调用 wait() 回收，于是子进程的 PCB 残留在内核里，状态变 Z。

特征：

• 不占 CPU、不占内存（已 free）

• 占着 PID（PID 总量有限，默认 32768）

• 数量爆炸会导致 fork 失败

排查：

ps aux | awk '$8 ~ /Z/ {print}'top -bn1 | awk 'NR==2'# Tasks 行直接告诉你 zombie 数

解决：

• 方案 1：找出僵尸的父进程，让父进程 wait() 或重启父进程

• 方案 2：父进程已经是 systemd（PID 1），那就升级 / 重启服务，必要时重启机器

# 找父进程ps -o ppid= -p <僵尸PID>kill -HUP <父进程PID>          # 通知父进程"清账"

2.2 孤儿进程（Orphan）

父进程先死了，子进程还在跑。这种进程会被 systemd（PID 1）领养，不算异常。

孤儿不是问题，僵尸才是。

2.3 工具提示

# 树形看父子关系（来自 psmisc 包）yum install psmisc -y# Rocky/RHELpstree -ppstree -p <pid>

三、ps —— 静态快照

3.1 两种"方言"

3.2 ps -ef

UID    PID  PPID  C STIME TTY      TIME CMD

3.3 ps aux 各列含义

3.4 进程状态（STAT）

基础状态：

附加修饰符：

💡 看到一堆 D 状态的进程还杀不掉？基本就是磁盘 hang 了（NFS 卡死、磁盘故障），看 dmesg 和 iostat。

四、top —— 动态监控

4.1 头部 5 行（一定要会读）

top - 10:23:45 up 12 days,  4:21,  3 users,  load average: 0.42, 0.55, 0.61Tasks: 198 total,   1 running, 197 sleeping,   0 stopped,   0 zombie%Cpu(s):  3.5 us,  1.2 sy,  0.0 ni, 95.1 id,  0.1 wa,  0.0 hi,  0.1 si,  0.0 stMiB Mem :  7820.5 total,  1290.3 free,  3950.4 used,  2579.8 buff/cacheMiB Swap:  2048.0 total,  2048.0 free,     0.0 used.  3650.1 avail Mem

重点指标：

• load average1/5/15 分钟平均负载，理想值 ≤ CPU 核数

• %Cpu 中的 wa：IO 等待，长期 > 10% 多半是磁盘瓶颈

• %Cpu 中的 st：被 hypervisor 偷走的时间（云主机被超卖）

• buff/cache：不是真正占用，可释放

• avail Mem：真正可用内存，比 free 更准确

• Tasks ... zombie：直接告诉你僵尸数

4.2 交互快捷键

4.3 非交互模式（脚本必备）

top -bn1 | head -20top -bn1 | awk 'NR==2 {print $(NF-1), $NF}'# 输出僵尸数top -bn1 -p <PID>                              # 只看某个 PID

4.4 进阶替代品（强烈推荐）

dnf install -y htop btop glances

五、原文没讲，但必须会：杀进程 + 信号

5.1 三把"杀刀"

kill-SIGNAL PID            # 按 PIDpkill   -SIGNAL  pattern        # 按名字 / 用户 / 终端kill all -SIGNAL  name           # 按精确名字pgrep   -l       pattern        # 只查不杀

5.2 常用信号

5.3 实战

kill 12345# 默认 SIGTERM，优雅kill -9 12345# 不响应？再上 SIGKILLpkill -9 -f 'python.*worker'# 按完整命令行匹配pkill -u user001                  # 杀掉某个用户所有进程kill all -HUP rsyslogd             # 让 rsyslog 重新加载配置

⚠️ kill -9 是最后手段，会让进程没机会做清理（关 fd、刷脏页），可能导致数据丢失、临时文件泄漏。

六、原文没讲：前后台 / 优先级 / 守护化

6.1 前后台与作业控制

sleep 1000 &              # 直接放后台jobs                      # 看当前 shell 的作业fg %1                     # 把作业 1 调回前台bg %1                     # 让被 Ctrl+Z 暂停的作业继续在后台跑Ctrl+Z                    # 暂停前台作业（变 T 状态）

6.2 退出终端不被杀

nohup ./long_job.sh > job.log 2>&1 &disown -h %1              # 给已在后台的作业"摘绑"setsid ./long_job.sh      # 直接新建会话

推荐用 tmux / screen 直接挂着，比 nohup 优雅。

6.3 调优先级：nice / renice

nice -n 10 ./batch.sh          # 启动时降优先级（值越大越"礼让"）renice -n -5 -p 12345# 调高已有进程的优先级（root 才行）chrt -f 50 ./realtime.bin      # 实时调度（FIFO 50 优先级）ionice -c 2 -n7 ./scan.sh       # 调 IO 优先级

七、原文没讲：/proc/<pid> 与现代调试工具

7.1 /proc/<pid> 信息金矿

ls /proc/$(pgrep -n nginx)/# cmdline   完整命令行# environ   环境变量# status    可读状态（含线程数、内存细节）# fd/       打开的文件描述符# maps      内存映射# limits    进程级 ulimit# cgroup    所属 cgroup

cat /proc/<pid>/status   | grep -E 'Vm|Threads|State'ls  /proc/<pid>/fd       | wc -l# 打开了多少 fd

7.2 必备排障工具

八、原文没讲：systemd 才是 PID 1

现代 RHEL 8/9/10、Ubuntu 22.04/24.04 都是 systemd，别再 kill -9 服务，应该：

systemctl start  nginxsystemctl reload nginx               # 等价 kill -HUPsystemctl restart nginxsystemctl status  nginx              # 看状态、最近日志、主进程 PIDsystemd-cgls                          # 树形看所有服务的 cgroupsystemd-cgtop                         # 类 top，按 cgroup 看 CPU/内存journalctl -u nginx -f# 跟踪服务日志

8.1 限制资源（替代手写 cgroup）

# 临时给某服务限内存systemctl set-property nginx.service MemoryMax=512Msystemctl set-property nginx.service CPUQuota=50%

8.2 一行命令开个临时受限"沙箱"

systemd -run --scope -p MemoryMax=200M -p CPUQuota=20% ./script.sh

九、案例集合（生产高频）

9.1 过滤指定进程

ps -ef | grep crond | grep -v grepps -ef | grep crond | grep -v grep | wc -lpgrep -a crond                       # 更现代的写法

9.2 树形看父子关系

pstree -ppstree -p $(pgrep -n sshd)ps auxf

9.3 只取需要的列

ps aux | awk '{print $1,$3}'ps axo user,%cpu,stat,cmdps --no-heading axo user,%cpu,stat

9.4 单独抓某个服务

ps --no-heading -o pid,%cpu,%mem,command -C crond

9.5 内存 / CPU Top 5

ps aux --sort=-%mem | head -6# 含表头ps aux --sort=-%cpu | head -6ps --no-headers aux | sort -rnk4 | head -5

9.6 用 awk 玩"最后一列"

echo 1 a b user001 996 | awk '{print $NF}'# 996echo 1 a b user001 996 | awk '{print $(NF-1)}'# user001echo 1 a b user001 996 | awk '{print $NF-1}'# 995（算术）

9.7 一行拿到僵尸数

top -bn1 | awk 'NR==2 {print $(NF-1), $NF}' # 输出例：0 zombie

十、容器 / K8s 时代的"进程观"

容器不是虚拟机，进程仍然跑在宿主机的内核上：

# 宿主机看，所有容器进程都是宿主机的进程ps -ef | grep -v grep | grep containerd-shim# 进容器 namespace 看，会觉得自己是 PID 1nsenter -t <宿主机PID> -a ps -ef# K8s 排障kubectl top pod -Akubectl exec -it <pod> --topcrictl pscrictl stats

容器里的"僵尸"特别常见，原因：

• 容器主进程通常不是 init，没人回收子进程

• 解决：用 tini / dumb-init 当 PID 1，或者镜像里 --init

docker run --init my-app

十一、避坑清单

1. ✅ kill 先发 15（SIGTERM），再不行才上 9（SIGKILL）

2. ✅ D 状态进程杀不掉是正常的，查磁盘 / NFS / 卷

3. ✅ 用 pgrep -f / pkill -f 时模式要精准，否则误杀自己当前 shell

4. ⚠️ grep 自己也会被 ps | grep xxx 抓到，记得加 grep -v grep

5. ⚠️ nohup 启动的进程退出终端后日志默认追加到 nohup.out，磁盘会被悄悄写满

6. ⚠️ 容器里跑长任务记得加 --init，否则子进程会变僵尸

7. ⚠️ top / ps 看到的 %MEM 不是真实独占，多进程共享内存会被重复计算（推荐 smem）

8. ⚠️ swap 用得多不代表内存不够，关键看 si/so（实时换入换出）

十二、一句话总结

看快照用 ps，盯实时用 top/htop/btop，杀进程先 15 后 9，父子关系看 pstree，深度排障靠 /proc + pidstat + strace + bpftrace，服务管理走 systemd，资源限制走 cgroups，容器时代别忘 --init。

如果觉得有用，欢迎点赞 / 在看 / 转发给身边正在和"OOM / CPU 100% / 僵尸进程"搏斗的同行