見慣れない Mac プロセスの調べ方

Activity Monitor にはアプリ、ヘルパー、エージェント、デーモン、システムサービスが表示されます。見慣れた名前や暗号めいた名前だけでは根拠が弱いです。ソフト同士が汎用的な名前を共有することもあり、マルウェアが名前を真似ることもあります。プロセスは、所有者、実行パス、親プロセス、コード署名、リソースの推移、そして何がきっかけで動いたかで判断してください。

表示 > すべてのプロセス を選び、自分のアカウントだけの一覧にしないでください。ユーザ、CPU 時間、スレッド、種類といった列を追加すると便利です。プロセスをダブルクリックすると、親プロセス、開いているファイルやポート、直近の統計を確認できます。Apple の Activity Monitor ガイド には、階層表示やシステムプロセス表示もあります。プロセスをサンプル は、すぐ終了させずに、止まったように見えるあいだスレッドが何をしているかを短時間記録します。

いちばん心配されがちなもの

• kernel_task はカーネルそのものです。ここからの高い CPU は、多くの場合 macOS が熱いチップを冷ましているサインで、kernel_task high CPU で扱っています。
• WindowServer は画面を描画します。ディスプレイやウィンドウが増えると負荷も上がります。WindowServer high CPU を参照してください。
• mds、mds_stores、mdworker は Spotlight がファイルをインデックスしているものです。mds and mdworker high CPU で扱っています。
• Google Chrome Helper プロセスは Chrome のタブや拡張機能です。Chrome Helper high CPU を参照してください。

自分では起動していないバックグラウンドデーモン

これらは自分で動かさなくても動き、ほぼいつも問題ありません。

• launchd は macOS が最初に起動するプロセスで、すべてのサービスの親です。常に動いているのが役目です。
• trustd は、アプリの起動時や安全な接続時に証明書とアプリ署名を確認します。アプリを開いたときの短いスパイクは正常です。
• nsurlsessiond はバックグラウンドのネットワーク転送を扱います。iCloud、アプリのダウンロード、アップデートなどです。同期やダウンロード中に上がり、終わると落ち着きます。
• cloudd と bird は iCloud 同期を動かします。サインイン直後や iCloud に大量のファイルを追加した直後は忙しく動き、その後静かになります。
• coreaudiod はシステムのオーディオエンジンです。軽いのが普通で、高い CPU が続くときは、不調なオーディオアプリやプラグインが原因のことがあります。
• photoanalysisd は、人物や物体などの機能向けに写真の内容を解析します。スケジューリングは機会的で、電源、温度状態、ライブラリの作業によって変わります。
• backupd は Time Machine がバックアップを実行している状態です。バックアップ中は忙しく動くのが想定どおりです。
• syspolicyd はアプリの評価を含む、システムのセキュリティ方針の適用を助けます。アプリのインストール中や初回起動時のスパイクには文脈があります。関係のない作業が続くときは、まだ計測する価値があります。

正常か固まったかは、タイマーではなくパターンです

相関と進捗を見てください。アプリを開いたあと、ドライブを接続したあと、同期を始めたあとに上がり、作業を進めて落ち着いていくプロセスは、妥当な振る舞いです。進捗のない高い CPU の継続、メモリの急増、繰り返しのクラッシュ、同じきっかけのあとに始まるスパイクは、調査の対象です。強制終了の前に、サンプル、開いているファイルの活動、ログを比べてください。多くのシステムサービスは、要求しているアプリや起動ポリシーがまだ必要としているため、再起動します。

サードパーティのソフトでは、実行パスが想定どおりのアプリやベンダーのサポート場所にあり、署名がそのベンダーのものであることを確認してください。Apple のサービスでは、起動設定を変更したり削除したりすることが正しい対処になることはほとんどありません。サービスに仕事を渡しているクライアント、ファイル群、デバイス、ネットワーク操作を特定してください。

仕組み： launchd とオンデマンドサービス

デーモンがこれほど多い理由は、macOS が最初に起動するプロセス（PID 1）であり、ほかすべての親でもある launchd にあります。それらのバックグラウンドプロセスの多くは常時稼働ではありません。launchd が登録し、一致するイベントが起きたときにオンデマンドで起動します。trustd が必要な安全な接続、インポーターに渡されたファイル、アプリからの XPC メッセージなどです。そのあとアイドルで抜けさせます。だから作業に合わせて一覧が変わり、1 つを強制終了しても何も起きないことが多いのです。次にトリガーが発火すると launchd が再起動するからです。これで一覧全体の見方が変わります。誰かが選んで動かしたプログラムではなく、仕事が来たときにシステムが起動・停止する小さなサービスのプールです。だから存在そのものではなく、時間を通じた振る舞いが、何かおかしいというシグナルになります。

説明レイヤーが役に立つところ

Activity Monitor が、プロセスとインスペクタの権威あるデータを提供します。Mole の Status 画面は、平易な言葉の文脈と推移を足せますが、名前だけに基づく説明は出発点の仮説にすぎません。今見ているプロセスが想定どおりかどうかは、パス、所有者、署名、振る舞いが決めます。

繰り返し使えるプロセス確認

プロセス名、ユーザ、パス、親、署名、CPU とメモリの推移、開いているファイル、きっかけを記録してください。問題が起きているあいだにサンプルし、デーモンに触る前に要求側のアプリや入力を止めてください。この方法は、普通のバックグラウンド作業、固まったベンダーヘルパー、なりすました名前を、プロセス定義の一覧だけよりはるかにうまく切り分けます。