| 目的 | 按 PID 聚合连接数找异常 |
|---|---|
| 解析 | 提取 users 字段中的 pid= 值 |
| 对比 | 与业务基线的正常连接数比对 |
| 动作 | 定位后看 cmdline 与父进程 |
按 PID 聚集连接
按 PID 聚集连接
ss -antp | grep -oE 'pid=[0-9]+' | sort | uniq -c | sort -rn | head -n 20
ps -p 1234 -o pid,ppid,user,lstart,cmd一个 socket 可能被多个进程引用，grep -o 会逐个计数，这恰好符合谁在忙的直觉。