Linux 内存占用排查实战：free、top、ps 找出异常进程

Linux 服务器出现内存告警时，很多人第一反应是“内存快没了”。但在 Linux 里，缓存、缓冲区、进程 RSS、交换分区都会影响观察结果。正确的排查顺序不是马上重启服务，而是先判断系统是否真的缺内存，再找出是哪类内存占用在增长。

适合人群：负责线上服务器、容器宿主机、后端服务运维的同学。本文用常见命令串起一条排查链路，帮助你快速判断是正常缓存、进程异常，还是已经接近 OOM 风险。

目录

• 内存告警先看什么
• 用 free 判断可用内存
• 用 top 和 ps 找高占用进程
• 区分文件缓存、进程增长和 OOM
• 处理建议和复盘清单

一、内存告警先看什么

收到内存告警后，先不要只盯着 used 字段。Linux 会把暂时不用的内存拿去做文件缓存，让磁盘读写更快，所以 used 高不一定代表危险。真正要看的是可用内存是否持续降低、交换分区是否被大量使用、是否出现进程被回收的线索。

建议先按这条链路排查：

• 看系统可用内存和交换分区使用量。
• 看是否有单个进程 RSS 异常高。
• 看缓存是否随着文件读写正常增长。
• 看内核日志里是否出现 OOM 相关记录。

二、用 free 判断可用内存

`free -h` 是排查内存的第一步。重点看 `available`，它比单纯的 `free` 更接近“系统还能拿出来给新进程使用的内存”。如果 available 很低，同时 swap 已经明显增长，就要继续往下查。

free -h

top

观察时不要只看一瞬间。可以隔几分钟重复执行，确认 available 是短暂波动还是持续下降。如果只是一次大文件读取后缓存上升，后续 available 仍然充足，通常不用紧张。

三、用 top 和 ps 找高占用进程

如果 available 持续下降，下一步要看进程。`top` 可以实时看总体情况，`ps` 适合按内存排序，快速找出占用最高的进程。

ps aux --sort=-%mem | head -10

ps -o pid,ppid,cmd,%mem,rss,vsz -p 12345

这里要注意 RSS 和 VSZ 的区别。RSS 更接近进程实际占用的物理内存，VSZ 包含虚拟地址空间，不一定真的占用了那么多内存。排查实际压力时，优先看 RSS。

四、区分文件缓存、进程增长和 OOM

内存问题常见有三种：文件缓存增长、单进程内存持续增长、内核已经开始回收进程。不同问题的处理方式完全不同。

1. 文件缓存增长

如果进程 RSS 不高，但 buff/cache 很高，通常是大量文件读写带来的缓存。只要 available 仍然够用，Linux 会在需要时回收缓存。

2. 单进程持续增长

如果某个服务 RSS 持续上升，并且和请求量、任务量不匹配，就要重点看内存泄漏、队列堆积、缓存没有淘汰、批量数据一次性加载等问题。

3. OOM 风险

如果系统日志里出现 OOM 记录，说明已经不是普通告警，而是内核开始回收进程。可以用下面的命令查看线索：

dmesg -T | grep -i oom

dmesg -T | grep -i "out of memory"

看到 OOM 记录后，先确认被回收的是哪个进程、当时占用多少内存、是否发生在定时任务或流量高峰。不要只重启服务，否则下一次高峰还会重现。

五、处理建议和复盘清单

1. 先止血，再定位根因

如果业务已经受影响，可以先临时扩容、降低并发、关闭非核心任务，或者重启异常进程。止血后要保留日志和指标快照，继续定位根因。

2. 给关键进程补监控

单看机器内存不够。建议同时监控进程 RSS、请求量、队列长度、缓存条目数、GC 次数等指标，这样才能把内存变化和业务行为关联起来。

3. 复盘时回答四个问题

• available 是突然降低还是持续下降？
• 是否有单个进程 RSS 明显高于平时？
• 是否出现 OOM 记录，被回收的是哪个进程？
• 内存增长是否和某次发布、批处理任务或流量高峰有关？

总结

Linux 内存排查可以按固定顺序来：先看 available 和 swap，确认是否真的紧张；再用 top、ps 找高占用进程；最后结合缓存、RSS 和 OOM 线索判断根因。只要顺序对了，很多看似复杂的内存告警都能快速缩小范围。