一張進程清單，回答的是錯的問題

TaskExplorer 是 DavidXanatos 開發的開源 Windows 進程管理工具，它最核心的設計決定很小，後果卻很大：進程用樹狀呈現，而不是一張平鋪的清單。清單是一份戶口名簿，它告訴你有兩百四十個東西在跑、哪一個吃掉最多處理器時間，卻答不了人們在機器出狀況時真正會問的那些問題。

樹回答的是另一個問題：誰啟動了誰。幾乎所有診斷都是從這個關係開始的。一個應用變慢，因為它的輔助進程不停重啟；一個服務宿主悄悄累積了十幾個實例 —— 這些在一份排好序的清單裡都毫不起眼，而在層級一攤開的瞬間就全都清楚了。

四個數字，各自量的其實是什麼

處理器、記憶體、磁碟與網路活動都按進程顯示即時數值，而真正有用的本事，是知道哪一個會往哪個方向騙人。處理器使用率是一個速率，不是總量：一個跑到九成、只跑一秒的進程，跟一個跑到一成、跑了十秒的進程，做掉的工作一樣多，只有累積的處理器時間能分辨它們。看起來閒著、總時間卻很驚人的進程不是閒著，是已經做完了。

記憶體是這一組裡最含糊的詞。程式向系統要了多少、系統實際承諾了多少、當下真正駐留在實體記憶體裡的又有多少，是三個不同的數字。實務上的後果是：記憶體欄位裡最大的那個數字，通常不是問題所在；真正有意思的形狀，是承諾量穩定上升、駐留量卻幾乎不動的進程 —— 那就是從外面看進去的記憶體洩漏。

磁碟與網路把圖補完，而它們重要，是因為再新再快的儲存裝置，每秒能做的操作次數仍然有限。處理器只跑到一成、機器卻很鈍，通常是在等磁碟；而按進程分開的 I/O，就是把這個懷疑變成一個名字的東西。

執行緒與堆疊：忙與卡住的差別

執行緒堆疊檢視，是「監控工具」與「診斷工具」的分界線。一個進程裡可以有幾十個執行緒，而一個處理器使用率掛零的進程，可能仍在做事 —— 也可能正在永遠等待。堆疊會告訴你是哪一種：它是那個執行緒當下正卡在哪一段的清單，讀它，才分得出「閒置」與「卡死」。

兩種形態值得記住。死結長成兩三個執行緒各自在等對方手上的東西。瓶頸則長成一大堆執行緒堆在同一個位置上，那通常是一把鎖，或一段所有人都得排隊的單執行緒區段。兩者都不是圖表會顯示的那種效能問題，兩者都是結構問題，而兩者都只在你看得見執行緒站在哪裡時才顯形。

歷史圖表是同一個想法在時間軸上的版本。此刻的一個數字說明不了什麼；過去幾分鐘的形狀卻能說明很多，因為桌機上的問題大多不是穩態，而是事件 —— 開始建立索引時的一根尖峰、風扇剛開始轉的那一刻準時出現的高原。

控制代碼，才是洩漏真正住的地方

能看見一個進程開著哪些檔案、哪些登錄機碼、哪些網路連線，是這套工具最被低估的部分。記憶體洩漏是出名的那一種，但在現代系統上更常見的故障是控制代碼洩漏：程式開了一個檔案、一個機碼或一個通訊埠，然後永遠沒關，幾天後它什麼都開不起來。

這份清單讓洩漏變得看得見，更重要的是變得可以指名。如果一個進程握著四百條連線，問題就從「這台電腦為什麼慢」縮小成「這個程式為什麼一直開它從不關的連線」。它把一句模糊的抱怨，變成一個有主的具體缺陷。

記憶體檢視，以及老實的但書

能檢視並編輯另一個進程的記憶體，是一項除錯與逆向工程能力，而值得把它的用途講精確：它是用來理解一個程式在某個瞬間握著什麼 —— 一個資料結構、一塊解碼後的緩衝、一個不該出現在那裡的字串。而直接改動執行中的記憶體來改變行為，是一種半衰期極短的技巧：下一個版本一編譯，所有位址都搬家了。

更該講的但書是流程性的。一支能讀取任何進程記憶體的工具，就能讀到任何東西，包括剛好駐留在記憶體裡的憑證；而一支能終止或暫停任何進程的工具，也能暫停一個作業系統所依賴的進程。暫停一個進程不是給程式按暫停鍵，而是把它手上握著的一切一起凍住，而可能有別的東西正在等它。

多引擎掃描，以及它沒有承諾的事

把一個可疑進程送去一個線上服務、讓它一次跑過數十個病毒引擎，是真的有用，而該注意的詞是「可疑」。這項掃描是對一個檔案的第二意見，不是對一台機器的判決。結果乾淨，只代表那幾十個引擎在當時的特徵碼下什麼都沒找到；它不代表這個檔案安全，更不代表這個進程行為良好。結果命中是更強的證據，但單一引擎對一個小工具報警，是很常見的誤報。

這句話的另一半是隱私。送出一個檔案，意味著它的副本離開這台機器、抵達第三方。知道送出去的是雜湊還是整個檔案，以及在拿一份文稿（而不是一支程式）去送之前先想一下，就是「使用這個功能」與「被它使用」的差別。

便攜、可調、多視窗

三個小決定收尾。這支程式是便攜的，而這件事最有用之處，正好也是它最被需要之處：在一台不是你的機器上，那裡要嘛禁止安裝軟體，要嘛安裝軟體正是你想避免的事。欄位可以重排、排序可以改。多視窗則意味著兩個進程可以並排看 —— 而要比較它們，這正是必要條件。

它適合哪裡

這是診斷工具，不是清理工具，也不是加速工具。它不會讓電腦變快。它做的是把「現在到底在發生什麼」回答到足以行動的程度。對一個在追查卡死的開發者、一個要找出是誰佔住某個檔案的系統管理員，或任何一個想弄懂為什麼記憶體還很多、機器卻不回應的人來說，這就是全部的工作。