Как узнать, что вызывает определённый процесс?

Посмотри в мане своего пакетного менеджера.

Добавь в настройках htop колонку PPID, там будет PID родительского процесса. Или включи отображение процессов в виде дерева.

я перенес gnome-keyring и кое что от dbus в директорию /root/.deleted/usr/bin и из процессов исчез polkit* и at-spi*.

ppid будет единицей, очевидно же. Как и у всех демонов, родительская запускалка форкается и умирает, а демон переносится к init-у.

Кстати у меня идея появилась, как раз для упрощения таких вещей. При умирании процесса его child-ов переносить не в init-у а в parent-у умершего процесса (но ставить им какой-нить флаг что не надо их обрабатывать в wait() и не надо от них слать новому родителю SIGCHLD). Разумеется, не дефолтно а по какому-нить sysctl-у. Интересно, сломается ли что-нить от этого?

А, или даже так: ввести новый стат «preserved ppid» с логикой как описано выше, чтобы по нему можно было следить за тем кто кого вызвал, а обычный ppid пусть остаётся как был.

Тоже таким занимался, но потом понял что проще снести гном целиком.

ppid будет единицей, очевидно же.

$ ps -o pid,ppid,comm -C at-spi2-registry 
    PID    PPID COMMAND
   2624    2430 at-spi2-registr

такой команды у меня нет)

мнээээ. первый раз слышу о такой мудрениях с PPID.
хотя мож потому что у меня демоны не форкаются….

Хм, ну ладно.

На самом деле его запускает dbus, а по чьему запросу, можно посмотреть в общем логе, у меня его тянет firefox, но может быть кто угодно.