Родители и потомки: PPID и дерево процессов

2.1 Как появляется новый процесс

Новый процесс в Linux создаёт только другой процесс. Когда вы вводите в терминале sleep 5, оболочка bash делает два шага. Сначала она создаёт свою копию — системный вызов fork: появляется второй процесс bash с новым PID и той же памятью. Затем копия заменяет свою программу на sleep — вызов exec: PID остаётся прежним, а код и данные загружаются из /usr/bin/sleep. Исходная оболочка в это время ждёт завершения потомка, а затем снова выводит приглашение.

fork и exec похожи на работу с бланком: сначала делают копию бланка со всеми заполненными полями, а потом на копии стирают содержимое и вписывают новое. Номер у копии свой, а исходный бланк остаётся нетронутым.

Поэтому процесс наследует от родителя окружение: текущий каталог, переменные окружения, маску umask, открытые файлы. Всё это было в памяти копии до вызова exec и после него сохранилось. Поэтому /proc/PID/status на прошлом снимке показал маску 0002 — ту же, что у оболочки.

На схеме ниже по шагам показан запуск команды из оболочки: создание копии, замена программы, ожидание и код завершения, который получает родитель.

2.2 Дерево процессов

Каждый процесс создан другим, поэтому все процессы системы образуют дерево. В корне — процесс с PID 1, который ядро запускает первым при загрузке. В Ubuntu это systemd: на снимке он виден как /sbin/init, это ссылка на systemd. Его PPID равен 0 — у первого процесса родителя нет.

Переменная $$ хранит PID текущей оболочки. Команда ps без выбора процессов показывает процессы текущего терминала, ключ -o задаёт столбцы. Команда pstree рисует дерево; ключ -p добавляет PID к каждому имени, а аргумент — с какого процесса начинать.

В опыте bash -c 'sleep 200; echo done' запускает отдельную оболочку, которая выполнит две команды по очереди. Она сама становится родителем sleep, поэтому в дереве появляется цепочка из трёх уровней: оболочка терминала → вложенная bash → sleep.

12345

1. 1PID оболочки терминала
2. 2оболочка: свой PID и PPID — окно терминала
3. 3вложенная bash 4230 — родитель sleep 200
4. 4pstree: цепочка оболочка → bash → sleep
5. 5PID 1: первый процесс системы, родителя нет

Весь снимок ↗

Процессы терминала, их родители и дерево от оболочки.

Что показывает снимок. У процессов терминала родитель — оболочка 3537; у sleep 200 родитель — вложенная bash 4230; pstree рисует цепочку из трёх уровней; PID 1 — /sbin/init, родителя у него нет.

Где это пригодится. Дерево показывает, кто запустил подозрительный процесс: по цепочке родителей видно, пришёл он из службы, из терминала или из другой программы.

2.3 Сироты

Если родитель завершается раньше потомка, потомок не исчезает. Его «усыновляет» другой процесс — PID 1 или служебный процесс systemd --user, который ведёт сеанс пользователя. PPID потомка меняется на номер нового родителя.

Сироты встречаются при завершении оболочки, из которой запускали фоновые задачи. Например, если в опыте выше завершить вложенную bash, sleep 200 продолжит работу, а в столбце PPID у него появится номер процесса-приёмника.