先说几个核心判断：查进程启动时间跟运行时长，Linux里其实有非常明确的指导原则。很多人在这上面栽过跟头，要么用了错误的字段，要么对输出结果理解有误。今天就把这件事彻底讲清楚。
ps -o lstart= -p PID 是最准、最省事的启动时间获取方式；需要运行时长就用 etime，别碰 time 或 STIME——它们根本不是一回事。
直接查精确启动时间：优先用 lstart
lstart 输出完整时间戳，比如 Wed Jul 01 14:22:05 2026，带年份、星期、秒级精度，一眼就能判断是否跨月跨年。它不依赖 locale，英文系统下格式稳定，脚本解析也安全。
- 查单个进程：
ps -o lstart= -p 1234（注意=后不加空格，否则会多出表头） - 查所有进程并倒序：
ps -eo pid,lstart,comm --sort=-lstart | head -5 - 过滤特定命令：
ps -eo pid,lstart,cmd | grep nginx，但更干净的做法是ps -C nginx -o pid,lstart,cmd - 权限限制：普通用户只能看到自己启动的进程；要查全部需加
sudo - 坑点：
Alpine、BusyBox或旧容器中的ps不支持lstart，会报unknown sort key: lstart，此时必须采用 fallback 方案
算运行了多久：只信 etime，别被 TIME+ 或 time 带偏
etime 是进程自启动以来经过的整秒数（向下取整），含休眠时间，数值稳定、可脚本化。而 time 字段（ps aux 第10列）是 CPU 实际占用时间，单位是 1/100 秒，值通常远小于真实存活时间。
- 提取秒数：
ps -o etime= -p 1234 | xargs（xargs去首尾空格，防空格干扰） - 换算成可读时间：
date -d "@$(($(date +%s) - $(ps -o etime= -p 1234 | xargs)))" "+%Y-%m-%d %H:%M:%S" - 容器陷阱：Docker 19.03 之前版本中，
etime可能从容器启动起算，而非进程exec时间 - 异常值：
etime为负说明内核时间异常或进程刚fork尚未exec，应跳过该结果
旧系统 fallback：看 STIME 列，但得人工推断
ps -ef 的 STIME 列在 CentOS 6 或嵌入式系统中仍可用，但它格式模糊：显示 Jul01 表示本月 1 日，2025 表示去年，10:23 表示今天 10:23。无法自动化，仅适合人工排查。
- 先跑
date确认当前年月日 - 对关键服务，配合
ps -eo pid,user,tty,stime,cmd | grep postgres缩小范围 - 若
STIME显示Jan01而当前是 7 月，大概率是 2026-01-01；若显示2024，而系统是 2026 年，则已运行两年多 - 中文 locale 下
stime（ps aux第10列）可能输出“5月21日”，脚本解析极易崩，不如直接绕开
底层高精度来源：/proc/PID/stat 第22字段
这是内核级记录，第22字段是进程启动时刻距系统 boot time 的 jiffies 数（非秒），结合 /proc/stat 中的 btime 和 CLK_TCK 才能换算出绝对时间。精度最高，但写成一行易出错，且多数场景没必要。
- 读字段：
awk '{print $22}' /proc/1234/stat - 查频率：
getconf CLK_TCK（绝大多数系统返回100） - 查系统启动时间：
grep btime /proc/stat | awk '{print $2}' - 换算公式：
$(btime) + $(starttime) / $(CLK_TCK)，再传给date -d @... - 适用场景：调试 fork/exec 时间漂移、纳秒级对齐需求；日常运维直接用
lstart或etime更稳
lstart 和 etime 是两个不同维度的字段——一个回答“什么时候启的”，一个回答“跑了多久”。很多人混淆它们，或试图用 time、STIME 替代，结果查到的时间要么错年份，要么差几个数量级。真正要落地用，就得盯住这两个字段，其他全是干扰项。
