如何調查不熟悉的 Mac 行程
「活動監視器」會列出應用程式、輔助程式、代理、守護行程和系統服務。行程名稱只能作為線索：不同軟體可能使用相似名稱，惡意軟體也可以偽裝。判斷時要結合所屬使用者、路徑、父行程、程式碼簽名、資源趨勢和觸發操作。
選擇「顯示 > 所有行程」，再加入使用者、CPU 時間、執行緒和種類等欄。按兩下行程可查看父行程、開啟的檔案與連接埠。Apple 的活動監視器說明還介紹了分層與系統行程檢視。行程疑似卡住時，先用「取樣行程」記錄一小段執行緒活動，不必立刻結束。
常見的高占用行程
- kernel_task： 反映 macOS 核心工作。高 CPU 可能與溫度控制有關，但不能只憑使用率判斷，見 kernel_task 高 CPU
- WindowServer： 負責合成螢幕，負載會隨顯示器、視窗和動畫增加，見 WindowServer 高 CPU
- mds、mds_stores、mdworker： 負責 Spotlight 索引，見 mds 與 mdworker 高 CPU
- Google Chrome Helper： 承載 Chrome 分頁、擴充功能和瀏覽器服務，見 Chrome Helper 高 CPU
常見的背景守護行程
- launchd： macOS 的第一個使用者空間行程（PID 1），管理許多系統服務，但不一定是每個服務的直接父行程。始終執行是正常行為
- trustd： 在應用程式啟動或建立安全連線時檢查憑證與簽名，短暫升高很常見
- nsurlsessiond： 處理 iCloud、應用程式下載和更新等背景網路傳輸
- cloudd、bird： 負責 iCloud 同步。剛登入或加入大量檔案後會較忙
- coreaudiod： 系統音訊引擎。持續高 CPU 可能與音訊應用程式或外掛有關
- photoanalysisd： 分析照片中的人物和物體，排程會受電源、溫度和圖庫變化影響
- backupd： Time Machine 備份行程，備份期間活躍很正常
- syspolicyd： 執行應用程式評估等系統安全策略，安裝或首次啟動應用程式時可能短暫升高
看變化模式，不看固定時長
行程在打開應用程式、接入磁碟或開始同步後升高，工作有進展並最終下降，通常不必處理。CPU 長期不退、記憶體快速成長、反覆當機，或每次同一操作都觸發異常峰值，才需要深入檢查。
強制結束前，查看行程取樣、開啟檔案和記錄。許多系統服務會自動重新啟動，因為請求它的應用程式或啟動策略還在。
第三方行程的路徑和簽名可以用來核對廠商身分。Apple 服務出現異常時，工作量通常來自某個應用程式、檔案、裝置或網路操作，直接修改系統啟動設定很少能解決源頭。
結束前先證明它屬於誰
活動監視器的檢查器最直觀。終端機裡從 PID 開始：
PID=1234
ps -p "$PID" -o pid=,ppid=,user=,etime=,comm=
lsof -p "$PID" | head
父行程與可執行檔路徑可用來查找輔助程式所屬的 App，開啟的檔案則有助於確認它正在處理哪個專案、圖庫、裝置或資料庫。如果路徑屬於第三方 App，可以唯讀檢查簽章：
codesign -dv --verbose=4 "/path/to/the/binary" 2>&1
熟悉名稱卻落在意外路徑或由陌生身分簽署，才值得繼續調查。陌生名稱位於簽章正常的 Apple 系統位置，不會因為名稱陌生就可疑。先退出所屬 App，再看 helper 是否安靜或自行結束，不要直接強制結束子行程。
為什麼背景行程會不斷變化
launchd 是 PID 1，負責註冊和按需啟動大多數服務。安全連線需要 trustd、檔案需要中繼資料匯入、應用程式送來 XPC 訊息時，對應服務才會啟動，工作結束後再回到閒置。
因此，行程列表會隨操作變化。強制結束某個服務後，下一次觸發條件出現，launchd 仍會把它重新啟動。某個名字是否存在並不重要，長期行為才是異常訊號。
解釋層的邊界
「活動監視器」提供權威的行程資料，Mole 的「狀態」頁可以補充通俗說明和趨勢。但按名稱給出的解釋只是起點，路徑、使用者、簽名和行為才能確認目前行程的身分。
一套可重複的行程檢查
遇到異常時，記錄名稱、使用者、路徑、父行程、簽名、CPU 與記憶體趨勢、開啟檔案和觸發條件。問題發生時取樣，再先停止發起請求的應用程式或輸入來源。這樣更容易分清正常背景工作、卡住的廠商輔助程式和冒用名稱的行程。