进程父子关系是什么
Windows 里每个进程都记录自己的进程 ID 与父进程 ID，据此构成一棵进程树。理解这棵树的价值在于定位来源：某个可疑进程是谁启动的？服务重启后子进程是否残留？父进程已经退出、子进程还活着（孤儿进程）时，任务管理器里看起来就是“没头没尾的一堆进程”。注意父进程 ID 是启动时的快照，父进程退出后这个值不会自动更新。
基本信息
| 适用平台 | Windows 全版本（CIM/WMI 查询） |
|---|---|
| 查询命令 | Get-CimInstance Win32_Process | Select-Object ProcessId, ParentProcessId, Name |
| 关键字段 | ProcessId、ParentProcessId、Name、CommandLine、CreationDate |
| 图形工具 | 任务管理器（详细信息视图中可加“父进程”列）、Process Explorer 树形视图 |
典型使用场景
- 可疑进程溯源：顺着 ParentProcessId 找到启动它的父进程与命令行
- 服务残留清理：服务停止后子进程仍在运行，需要按父进程筛选
- 资源异常定位：某个进程占用高，看它的子进程集合是否成片增长
- 脚本清理：批量结束某应用派生出来的全部子进程
- 排“句柄占用”：先定位进程，再结合句柄工具确认打开了哪个文件
常用示例
常用示例
# 列出全部进程及其父进程 ID，按父子关系排序
Get-CimInstance Win32_Process |
Select-Object ProcessId, ParentProcessId, Name, CommandLine | Sort-Object ParentProcessId
# 查某个进程的父进程是谁
(Get-CimInstance Win32_Process -Filter "ProcessId=4321").ParentProcessId
# 找出所有由指定父进程派生的子进程
$ppid = 4321
Get-CimInstance Win32_Process -Filter "ParentProcessId=$ppid" | Select-Object ProcessId, Name, CommandLine
# 按名称聚合看进程数量（成片增长往往是泄漏）
Get-Process | Group-Object ProcessName | Sort-Object Count -Descending | Select-Object -First 10 Count, Name关键字段读法
| 字段 | 含义 | 排查价值 |
|---|---|---|
| ProcessId | 进程 ID | 定位与操作的目标 |
| ParentProcessId | 父进程 ID（启动时快照） | 溯源启动者，注意可能已失效 |
| CommandLine | 完整命令行 | 看到启动参数与脚本路径 |
| CreationDate | 进程启动时间 | 与服务重启时间对齐判断残留 |
父进程退出后 ParentProcessId 仍保留为旧值，根据它去查可能得到一个已不存在的 PID（甚至被新进程复用）。判断“孤儿进程”时要结合启动时间与父子关系的变化。
命令行字段经常是最有信息量的地方：同一个程序名配上不同的启动参数，含义可能完全不同。排查服务相关进程时，先把 CommandLine 与服务配置里的可执行路径、参数对齐。
按名称批量结束进程风险很高：同名进程可能分属不同业务或不同用户会话。结束前先用 ProcessId 与 CommandLine 确认目标集合，必要时先导出清单。