这是典型的 orphaned socket（孤儿套接字）现象：连接已断开但应用未调用 close()，内核无法回收，内存滞留在 sk_buff 和 socket 结构中，不计入进程 RSS，而归属内核 slab（如 skbuff_head_cache、tcp_sock）。
为什么 ss -m 显示 TCP 内存飙升但 ps/pmap 看不到对应 RSS 占用
这是典型的 orphaned socket（孤儿套接字）现象：连接已断开、应用层未调用 close()，且内核无法回收（比如 socket 处于 CLOSE_WAIT 但对方不发 FIN，或处于 FIN_WAIT2 且未设 tcp_fin_timeout），导致内存滞留在内核 sk_buff 和 socket 结构中，不计入进程 RSS——RSS 只统计用户态页，而 orphaned socket 的内存全在内核 slab（如 skbuff_head_cache、tcp_sock）里。
常见诱因包括：Nginx 后端超时未关连接、Java 应用未正确关闭 Socket 或 HttpClient、Go net.Conn 忘记 Close()、或进程崩溃前遗留的 fd。
如何用 ss 定位 orphaned socket 并确认内存归属
运行以下命令快速筛选高内存占用的 orphaned 连接：
ss -m state fin-wait-2,close-wait,fin-wait-1,time-wait | awk '$1 ~ /^(fin-wait|close-wait|time-wait)$/ && $NF ~ /mem:(\d+)/ { sum += $NF; print } END { print "Total mem:", sum }'
关键点：
-
ss -m输出末尾的mem:字段单位是字节，不是 KB；单个连接显示mem:123456表示该 socket 缓冲区总内存约 120KB - 真正 orphaned 的 socket 通常没有
uid或inode关联（ss -tuln看不到所属进程），ss -tulnp会报Permission denied或直接不显示 - 检查 slab 内存是否真被 socket 占满：
cat /proc/slabinfo | grep -E "(skbuff|tcp_sock|sock_inode)"，若num列远高于正常值（比如 >50k），基本可锁定
批量清理 orphaned socket 的安全方式
不能直接 kill 进程或重启服务——很多 orphaned socket 其实属于已退出但文件描述符未释放的僵尸进程（PID 已消失），kill 无意义。必须通过内核参数触发主动回收：
