知識マップ: Windowsアプリで子プロセスを安全に扱うチェックリスト

記事「Windowsアプリで子プロセスを安全に扱うチェックリスト」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

Windowsアプリで子プロセスを安全に扱う設計の基準点はJob Objectで、KILL_ON_JOB_CLOSEを付けることで親クラッシュ時にもプロセス木ごと自動回収でき、Process.Kill(entireProcessTree: true)だけでは代替できません。終了は協調終了(graceful shutdown)を依頼してから短いtimeoutで待ち、最後にJobごと強制終了する3段階が事故りにくく、console子への協調終了はprocess groupとconsole制御イベントで行います。stdoutとstderrを並列にdrainしないと、Windowsのpipeが有限バッファのために親子が読み待ち・書き待ちで固まるstdioデッドロックが起きます。watchdogは監視対象と同じJobに入れず外側に置き、heartbeatでハングを検知し、restart budgetでcrash loopを防ぐ設計が安定します。

flowchart LR
    accTitle: Windows子プロセス安全管理の知識マップ
    accDescr: Job Objectによるプロセス木の束ねと親クラッシュ時の自動回収、協調終了から強制終了までの終了手順、stdout/stderrの並列drainによるデッドロック回避、watchdogをJobの外に置きheartbeatとrestart budgetで監視する設計の関係を示す図。
    job_object["Job Object"]
    stdio_deadlock["標準入出力のデッドロック"]
    watchdog_process["監視プロセス(watchdog)"]
    kill_on_job_close["JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE"]
    orphaned_process["親を失った子プロセスの残存"]
    parent_crash_recovery["親クラッシュ時の自動回収"]
    entire_process_tree_kill["Process.Kill(entireProcessTree: true)"]
    proc_thread_attribute_job_list["PROC_THREAD_ATTRIBUTE_JOB_LIST"]
    process_group["プロセスグループ(コンソール)"]
    console_ctrl_event["コンソール制御イベント"]
    graceful_shutdown["graceful shutdown"]
    heartbeat_monitoring["heartbeatによる生存確認"]
    restart_budget["再起動予算(restart budget)"]
    crash_loop["crash loop"]
    parallel_stdio_drain["stdout/stderrの並列drain"]
    iocp["I/O完了ポート(IOCP)"]
    process_tree["プロセス木(process tree)"]
    breakaway_option["JOB_OBJECT_LIMIT_BREAKAWAY_OK"]
    job_object -->|"で構成できる"| kill_on_job_close
    kill_on_job_close -.->|"防止する"| orphaned_process
    job_object -->|"推奨される対応"| parent_crash_recovery
    entire_process_tree_kill -->|"用いるのは非推奨"| parent_crash_recovery
    proc_thread_attribute_job_list -->|"前提とする"| job_object
    process_group -->|"利用する"| console_ctrl_event
    console_ctrl_event -->|"前提とする"| process_group
    graceful_shutdown -->|"より先に行うべき"| entire_process_tree_kill
    graceful_shutdown -.->|"利用する"| console_ctrl_event
    watchdog_process -->|"用いるのは非推奨"| job_object
    watchdog_process -.->|"利用する"| heartbeat_monitoring
    watchdog_process -->|"自動化する"| restart_budget
    restart_budget -->|"防止する"| crash_loop
    parallel_stdio_drain -->|"防止する"| stdio_deadlock
    job_object -.->|"利用する"| iocp
    job_object -->|"実装を担う"| process_tree
    breakaway_option -.->|"原因になり得る"| orphaned_process

概念間の関係(全17件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• Job ObjectはJOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSEで構成できます。Job ObjectはJOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSEを付けることで、最後のjob handleが閉じられたときに全プロセスを終了させるよう構成できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSEは親を失った子プロセスの残存を防ぎます。KILL_ON_JOB_CLOSEにより、親の異常終了まで含めてcleanupを親の寿命へ寄せられるため、親を失った子プロセスの残存を防げる。ただしjob handleを別プロセスへ複製・継承させて最終所有者が曖昧になっている場合や、BREAKAWAY系のオプションで木の一部が離脱している場合は、この効果は成立しない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Job Objectは親クラッシュ時の自動回収に対する本記事の推奨です。親の生死と子プロセス木の寿命を結びつけたいなら、基準点はJob Objectであると本記事は結論づけている / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Process.Kill(entireProcessTree: true)を親クラッシュ時の自動回収に用いることは推奨されません。Kill(entireProcessTree: true)は明示的に止めるAPIとして便利だが、親クラッシュ時の自動回収やgraceful shutdownまで含む設計の代替にはならない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• PROC_THREAD_ATTRIBUTE_JOB_LISTはJob Objectを前提とします。PROC_THREAD_ATTRIBUTE_JOB_LISTで起動時点からJob所属にするには、あらかじめ作成したJob Objectのハンドルを渡す必要がある / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• プロセスグループ(コンソール)はコンソール制御イベントを利用します。process groupはCTRL_BREAK_EVENTなどのconsole制御イベントをどこへ送るかを決める仕組みである / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• コンソール制御イベントはプロセスグループ(コンソール)を前提とします。console signalを受け取れるのはconsoleを共有しているプロセスだけで、特定のgroupへ限定して送るにはCREATE_NEW_PROCESS_GROUPで作成したprocess groupが前提になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• graceful shutdownはProcess.Kill(entireProcessTree: true)より先に行うべきです。協調終了を依頼し、短いtimeoutで待ち、最後にJobごと強制終了する3段階の順番にすると、正常終了は保ちつつハング時も回収できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• graceful shutdownはコンソール制御イベントを利用します。console childへの協調終了は、CREATE_NEW_PROCESS_GROUPで起動しCTRL_BREAK_EVENTを送るという手段で行う / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• 監視プロセス(watchdog)をJob Objectに用いることは推奨されません。watchdogを監視対象と同じJobに入れると、監視対象を片づける際に再起動役まで一緒に消えるため、Jobの外に置くべきである / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 監視プロセス(watchdog)はheartbeatによる生存確認を利用します。プロセスが生きているかだけでは判定できないハングまで見たいwatchdogは、heartbeatなどアプリ層の生存確認を組み合わせる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• 監視プロセス(watchdog)は再起動予算(restart budget)を自動化します。watchdogはworker世代ごとにJobを作り直す再起動運用を、restart budgetの範囲内で自動化する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• 再起動予算(restart budget)はcrash loopを防ぎます。backoffや一定時間内の再起動回数上限、連続失敗時の停止・通知といったrestart budgetを持つことで、即再起動と即落ちを繰り返すcrash loopを避けられる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• stdout/stderrの並列drainは標準入出力のデッドロックを防ぎます。stdoutとstderrを独立したハンドラで並行して読み進めれば、片方が満杯になって親子が読み待ち・書き待ちで固まる状態は成立しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Job ObjectはI/O完了ポート(IOCP)を利用します。Job ObjectはI/O完了ポートを関連付けてプロセスの起動・終了通知を受け取れるが、その通知だけでcorrectnessを組むべきではなく監視・集計向けと位置付けられる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Job Objectはプロセス木(process tree)の実装を担います。Jobの境界がプロセス木の境界であり、誰の子かではなくどのJobに属するかでプロセス木を束ねる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• JOB_OBJECT_LIMIT_BREAKAWAY_OKは親を失った子プロセスの残存の原因になることがあります。JOB_OBJECT_LIMIT_BREAKAWAY_OKやSILENT_BREAKAWAY_OKを意図なく付けると、cleanupできるつもりだった木から一部のプロセスが抜けて残り得る / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典

主要概念の定義

Job Object

誰の子かではなくどのJobに属するかでプロセス群を束ね、制限やまとめての終了を行えるWindowsの仕組み。

標準入出力のデッドロック

Windowsのpipeが有限バッファであるため、片方の標準出力しか読まないと書き手が止まり、読み手も待ち続けて共倒れになる状態。

監視プロセス(watchdog)

本体プロセスの起動・終了・生存を外から見張り、exit codeや再起動回数を記録する別プロセス。

JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE

最後のjob handleが閉じられたときに、Jobに関連付けられた全プロセスを終了させるJob Objectの制限フラグ。

Process.Kill(entireProcessTree: true)

.NET Core 3.0以降で使える、指定プロセスとその子孫プロセスをまとめて強制終了する.NETのAPI。

PROC_THREAD_ATTRIBUTE_JOB_LIST

STARTUPINFOEXと組み合わせ、プロセスの起動時点からJobへ所属させるための属性。Windows 10/Windows Server 2016以降で使える。

プロセスグループ(コンソール)

console signalをどのプロセス群へ送るかを決める仕組み。親クラッシュ時のcleanupやGUI子プロセスの終了までは担わない。

コンソール制御イベント

console childへ協調終了を依頼するために送る、CTRL_BREAK_EVENTなどの制御イベント。

graceful shutdown

強制終了ではなく、止める合図を出して進行中の処理をなるべく整えてから終了させる終了方式。

再起動予算(restart budget)

一定時間内に何回まで再起動してよいかの上限で、backoffや連続失敗時の停止・通知と組み合わせて持つ運用ポリシー。

stdout/stderrの並列drain

標準出力と標準エラーを片方だけ読み切ってからもう片方を読むのではなく、それぞれ独立したハンドラで並行して読み進める実装。

JOB_OBJECT_LIMIT_BREAKAWAY_OK

子プロセスがJobから離脱(breakaway)することを許可するJob Objectの制限フラグ。意図なく付けると、cleanupできるつもりだった木から一部が抜ける原因になる。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。