核心结论
定位异常进程不能依赖一个命令或一次采样。ps适合查看某一时刻的进程快照，pstree适合还原父子关系，top适合观察资源占用随时间的变化，ss或netstat可把监听端口和网络连接关联到进程。可靠流程是先确认异常资源及持续时间，再核对进程身份、启动参数和生命周期，随后沿进程树、线程、文件描述符、网络连接及系统调用继续验证，最终用多项证据区分计算过载、内存增长、输入输出阻塞、锁竞争和异常派生等原因。
底层机制
内核为进程维护进程标识、父进程标识、调度状态、地址空间、打开文件和累计资源统计等信息。ps -l偏向显示状态、优先级和父子关系，ps aux便于比较全部用户进程的处理器
