Linux如何查看僵尸进程并清理-linux运维-PHP中文网

僵尸进程是已终止但未被父进程回收的进程，可通过ps aux | grep Z识别，其本质不耗资源但反映父进程管理缺陷，清理需通过重启或终止父进程使其被init回收，预防应注重父进程正确处理子进程退出。

linux如何查看僵尸进程并清理

僵尸进程在Linux中，通常指的是一个已经完成了执行，但其父进程还没有调用

wait()

登录后复制

或

waitpid()

登录后复制

来获取其终止状态的进程。你可以通过

ps aux | grep Z

登录后复制

或在

top

登录后复制

命令中查看

STAT

登录后复制

列找到它们。清理僵尸进程的唯一有效方法是让其父进程正确地“收割”它，如果父进程本身有问题，通常需要重启父进程，或者在极端情况下，终止父进程，让

init

登录后复制

进程来处理。

解决方案

在我看来，处理僵尸进程首先要做的就是理解它，而不是盲目地去“杀”它，因为僵尸进程本身是无法被杀死的。它们已经死了，只是留了个“尸体”在进程表里。

1. 识别僵尸进程

最直接的方式就是使用

ps

登录后复制

命令：

ps aux | grep Z

登录后复制

这条命令会列出所有处于

登录后复制

状态（Zombie）的进程。输出中，你需要关注

PID

登录后复制

(进程ID)、

PPID

登录后复制

(父进程ID) 和

COMMAND

登录后复制

(命令)。

或者，你也可以在

top

登录后复制

命令的输出中留意

登录后复制

状态的进程。通常

top

登录后复制

会在顶部显示僵尸进程的数量，例如

Tasks: 200 total, 1 running, 198 sleeping, 0 stopped, 1 zombie

登录后复制

。

2. 理解僵尸进程的本质

僵尸进程本身几乎不占用系统资源，除了一个进程表条目。它不消耗CPU，不占用内存，也不持有文件句柄。所以，少数几个僵尸进程通常不是性能问题，但它们是父进程管理不当的信号。真正的“问题”在于那个没有正确处理子进程退出的父进程。

3. 清理僵尸进程的方法

既然僵尸进程不能被直接杀死，我们的目标就是让其父进程去收割它。

找到父进程： 一旦你识别出僵尸进程的PID，你需要找到它的父进程PID (PPID)。在
```
ps aux
```
登录后复制
的输出中通常就能看到，或者你可以用：
```
ps -o ppid= -p <僵尸进程PID>
```
登录后复制
例如，如果僵尸进程PID是
```
12345
```
登录后复制
，那么
```
ps -o ppid= -p 12345
```
登录后复制
就能得到它的父进程PID。
处理父进程：
- 重启父进程： 如果父进程是一个服务或应用程序，最温和且通常有效的方法是重启这个父进程对应的服务。比如，如果父进程是
```
apache
```
  登录后复制
  或
```
nginx
```
  登录后复制
  的某个 worker，你可以尝试重启整个
```
apache
```
  登录后复制
  或
```
nginx
```
  登录后复制
  服务。当父进程重启时，它通常会重新初始化并正确处理其子进程。
- 发送
  SIGCHLD
  登录后复制
  信号（不保证有效）：理论上，你可以尝试向父进程发送
```
SIGCHLD
```
  登录后复制
  信号，这可能会促使父进程去检查其子进程的状态。
```
kill -s SIGCHLD <父进程PID>
```
  登录后复制
  但说实话，如果父进程本身设计就有缺陷，没有正确处理
```
SIGCHLD
```
  登录后复制
  信号或没有调用
```
wait()
```
  登录后复制
  ，那么这个方法可能不会奏效。它只是一个尝试。
- 杀死父进程（最直接但可能中断服务）： 这是最直接，也往往是最有效的清理僵尸进程的方法。当你杀死父进程后，这些僵尸进程就会被
```
init
```
  登录后复制
  进程（PID 1）收养。
```
init
```
  登录后复制
  进程有一个特殊的能力，它会定期检查并收割所有被它收养的僵尸子进程。
```
kill -9 <父进程PID>
```
  登录后复制
  注意： 杀死父进程会导致该服务或应用程序中断。请确保你了解其影响，并在生产环境中谨慎操作。
特殊情况：
```
init
```
登录后复制
进程作为父进程 如果僵尸进程的PPID是
```
1
```
登录后复制
(也就是
```
init
```
登录后复制
或
```
systemd
```
登录后复制
进程)，这通常意味着父进程在创建子进程后，自身已经崩溃或异常退出，导致子进程成为孤儿进程，并被
```
init
```
登录后复制
收养。在这种情况下，
```
init
```
登录后复制
进程通常会自动清理这些僵尸。如果
```
init
```
登录后复制
的子进程仍然是僵尸，这可能指向更深层次的系统问题，比如内核错误或
```
init
```
登录后复制
进程本身的问题，这种情况非常罕见，需要更专业的诊断。

僵尸进程对系统性能有何影响？它真的有害吗？

在我看来，这是很多人对僵尸进程最大的误解之一。从资源消耗的角度来看，僵尸进程几乎是无害的。它们已经完成了执行，不再占用CPU时间，也不再使用内存或文件句柄。它们仅仅在系统的进程表中保留了一个条目，用来存储其退出状态，以便父进程可以查询。

智谱清影

智谱清影是智谱AI最新推出的一款AI视频生成工具

查看详情

那么，它们真的有害吗？直接的回答是：通常情况下，少数僵尸进程本身并不会对系统性能造成实质性的影响。它们消耗的资源微乎其微。

然而，我更倾向于把僵尸进程看作是一种“症状”而非“疾病”本身。它们的存在，尤其是大量僵尸进程的出现，强烈暗示着其父进程存在问题。这个父进程可能：

编程错误： 没有正确地处理子进程的终止，比如忘记调用
```
wait()
```
登录后复制
或
```
waitpid()
```
登录后复制
。
资源泄漏： 父进程可能除了没有收割子进程外，还在其他方面存在资源泄漏（内存、文件句柄等），这才是真正可能导致系统不稳定的因素。
服务不稳定： 一个无法正确管理子进程的服务，其整体稳定性也值得怀疑。它可能在其他地方也存在缺陷，导致服务中断或行为异常。
PID耗尽（极端情况）： Linux系统对可以分配的PID数量有一个上限（由
```
/proc/sys/kernel/pid_max
```
登录后复制
控制，通常是32768或更高）。如果系统产生数万个僵尸进程，理论上可能会耗尽PID资源，导致新的进程无法创建。但这在实际应用中非常罕见，因为父进程在产生如此多僵尸之前，通常就已经崩溃或被管理员注意到了。

所以，当看到僵尸进程时，我的第一反应不是恐慌，而是把它当作一个信号，去检查其父进程的健康状况和代码逻辑。

为什么会出现僵尸进程？常见的生成原因有哪些？

要理解僵尸进程的产生，我们得从进程生命周期的角度来看待。一个进程在Linux中，从创建到结束，会经历一系列状态。当一个子进程完成其任务并退出时，它并没有立即从进程表中消失。它会进入“僵尸”状态，等待其父进程来读取它的退出状态。这个机制是为了让父进程能够知道子进程是成功完成还是失败退出，以及其具体的退出码。

那么，为什么父进程会“忘记”来收割它的子进程呢？常见的生成原因通常包括：

父进程编程缺陷： 这是最主要的原因。在多进程编程中，父进程需要显式地调用
```
wait()
```
登录后复制
或
```
waitpid()
```
登录后复制
系列函数来等待子进程终止并回收其资源。如果程序员忘记了这一步，或者在代码逻辑中没有妥善处理所有可能的子进程退出路径，那么子进程就会变成僵尸。
- 忽略
  SIGCHLD
  登录后复制
  信号：当子进程终止时，内核会向父进程发送
```
SIGCHLD
```
  登录后复制
  信号。如果父进程设置了忽略这个信号，或者没有为它编写一个合适的信号处理函数来调用
```
wait()
```
  登录后复制
  ，那么僵尸进程就可能产生。
- 没有在信号处理函数中循环调用
  waitpid()
  登录后复制
  ：一个常见的错误是，在
```
SIGCHLD
```
  登录后复制
  信号处理函数中只调用了一次
```
waitpid()
```
  登录后复制
  。但如果多个子进程几乎同时退出，可能只会收到一个
```
SIGCHLD
```
  登录后复制
  信号。正确的做法是在信号处理函数中循环调用
```
waitpid()
```
  登录后复制
  ，并带上
```
WNOHANG
```
  登录后复制
  选项，直到没有更多的子进程需要收割。
父进程在子进程退出前崩溃： 如果父进程在子进程退出之前就因为某种原因崩溃了，那么子进程会成为“孤儿进程”，并被
```
init
```
登录后复制
进程（PID 1）收养。
```
init
```
登录后复制
进程有责任定期收割其所有孤儿子进程。但如果子进程在成为孤儿后立即退出，并且
```
init
```
登录后复制
还没有来得及收割它，它可能会短暂地以僵尸状态存在，直到
```
init
```
登录后复制
下次扫描时将其清理。不过，这种情况下的僵尸通常是瞬时且无害的。
不恰当的进程管理： 有些应用程序或脚本可能会创建大量的子进程，但没有一个健全的机制来管理它们的生命周期。例如，一个Web服务器可能会为每个请求派生一个子进程，但如果请求处理完毕后，父进程没有及时回收这些子进程，就会累积僵尸进程。
死锁或挂起的父进程： 如果父进程因为死锁、无限循环或其他原因而挂起，无法执行到调用
```
wait()
```
登录后复制
的代码段，那么即使子进程退出了，父进程也无法及时收割它们。

总而言之，僵尸进程的出现，几乎总是提醒我们，在父进程的设计或实现上存在一些需要改进的地方。

如何预防僵尸进程的产生？有没有最佳实践？

预防僵尸进程的产生，核心在于父进程要妥善管理其子进程的生命周期。这不仅仅是技术问题，更是一种编程习惯和系统设计的考量。

正确使用
```
wait()
```
登录后复制
或
waitpid()
登录后复制
：这是最基本也是最重要的原则。当父进程创建子进程后，它应该在适当的时机调用
```
wait()
```
登录后复制
或
```
waitpid()
```
登录后复制
来等待子进程终止并回收其资源。
- ```
wait()
```
  登录后复制
  会阻塞父进程，直到一个子进程终止。
- ```
waitpid(pid, &status, options)
```
  登录后复制
  提供了更精细的控制，例如可以指定等待哪个子进程，或者使用
```
WNOHANG
```
  登录后复制
  选项使其非阻塞。

实现

SIGCHLD

登录后复制

信号处理函数： 这是处理异步子进程终止的最佳实践。当子进程终止时，内核会向父进程发送

SIGCHLD

登录后复制

信号。父进程应该捕获这个信号，并在信号处理函数中调用

waitpid()

登录后复制

来收割子进程。关键在于，

waitpid()

登录后复制

应该在循环中调用，并带上

WNOHANG

登录后复制

选项，以确保所有已终止的子进程都被收割，并且信号处理函数不会阻塞：

#include <signal.h>
#include <sys/wait.h>
#include <stdio.h>
#include <unistd.h> // for fork, sleep

void sigchld_handler(int signo) {
    // 使用循环和 WNOHANG 选项，确保回收所有已终止的子进程
    while (waitpid(-1, NULL, WNOHANG) > 0) {
        // 子进程被收割
        // fprintf(stderr, "Child reaped by signal handler.\n");
    }
}

int main() {
    struct sigaction sa;
    sa.sa_handler = sigchld_handler;
    sigemptyset(&sa.sa_mask);
    sa.sa_flags = SA_RESTART | SA_NOCLDSTOP; // SA_NOCLDSTOP 避免在子进程停止时发送信号
    if (sigaction(SIGCHLD, &sa, 0) == -1) {
        perror("sigaction");
        return 1;
    }

    pid_t pid = fork();
    if (pid == -1) {
        perror("fork");
        return 1;
    } else if (pid == 0) { // Child process
        printf("Child process %d running...\n", getpid());
        sleep(2); // Simulate some work
        printf("Child process %d exiting.\n", getpid());
        _exit(0); // Use _exit to avoid flushing parent's buffers
    } else { // Parent process
        printf("Parent process %d forked child %d.\n", getpid(), pid);
        // Parent does its own work, will be notified by SIGCHLD
        sleep(5);
        printf("Parent process exiting.\n");
    }
    return 0;
}

登录后复制

通过这种方式，即使父进程正在忙于其他任务，也能异步地处理子进程的终止。

双重 fork（Double-fork）技巧： 对于需要后台运行的守护进程（daemon），一个常见的技巧是使用双重
```
fork
```
登录后复制
。
- 父进程
```
fork
```
  登录后复制
  出第一个子进程。
- 父进程立即退出。这使得第一个子进程成为孤儿，并被
```
init
```
  登录后复制
  进程收养。
- 第一个子进程再
```
fork
```
  登录后复制
  出第二个子进程，并立即退出。
- 第二个子进程就是最终的守护进程。由于第一个子进程退出了，它会成为
```
init
```
  登录后复制
  的一个僵尸，但
```
init
```
  登录后复制
  会自动清理它。而最终的守护进程（第二个子进程）的父进程现在是
```
init
```
  登录后复制
  ，
```
init
```
  登录后复制
  会负责收割它，避免了原始父进程需要处理子进程的问题。
使用进程管理器： 在现代Linux系统中，我们很少直接编写复杂的
```
fork/wait
```
登录后复制
逻辑。更常见和推荐的做法是使用成熟的进程管理器，如
```
systemd
```
登录后复制
、
```
supervisord
```
登录后复制
、
```
pm2
```
登录后复制
(Node.js) 等。这些工具本身就设计用来管理服务的生命周期，包括启动、停止、重启，以及最重要的一点——它们会妥善处理其管理的进程的子进程，确保不会产生僵尸。
代码审查和测试： 定期对涉及进程创建和管理的应用程序代码进行审查，确保所有子进程的终止都被正确处理。进行充分的测试，模拟子进程正常退出、异常退出等各种场景，以验证代码的健壮性。