Windows发生错误时是优雅停止还是强制终止服务？附服务实时监控方案问询

问题1解答 #

当服务遇到内存溢出、未处理运行时异常等崩溃场景时，系统会直接终止服务进程，效果和执行taskkill /f一致，不会走Stop-Service触发的优雅停止流程。
这里需要注意日志的来源差异：

• 如果你当前XML过滤器捕获的是服务自身代码在优雅停止时输出的自定义事件，崩溃场景下服务没有机会执行停止逻辑写日志，你的触发器不会被触发
• 如果你捕获的是系统服务控制管理器(SCM)输出的系统事件，SCM检测到服务进程意外退出后，一定会记录事件ID 7023（服务意外终止）、7024（服务多次崩溃已被暂停）等事件，不会丢失日志。
  你可以直接执行taskkill /f /pid <服务进程ID>手动模拟服务崩溃，验证你当前的过滤器是否能匹配到对应事件。

问题2解答 #

不需要定时轮询的实时监控方案有3种成熟可选：

• 方案1：优化你当前的计划任务触发规则，将XML过滤器的匹配范围从单一的服务正常停止事件，扩展到包含SCM输出的7023、7024、7036（服务进入停止状态）等所有服务退出相关事件，即可覆盖正常停止、异常崩溃所有场景，不需要调整现有架构
• 方案2：使用WMI事件订阅，通过PowerShell注册Win32_Service类的状态变更事件，服务状态一旦发生变动就会触发你绑定的脚本逻辑，示例注册命令如下：
  Register-WmiEvent -Query "SELECT * FROM __InstanceModificationEvent WHERE TargetInstance ISA 'Win32_Service' AND TargetInstance.Name='<你的服务名称>'" -Action { <你要执行的通知逻辑> }
• 方案3：使用Windows服务原生的失败恢复配置，直接在服务属性的「失败」选项卡中，配置服务崩溃后执行指定的PowerShell脚本，也可以通过sc failure命令行批量配置，这个方案是系统内核级触发，延迟最低，不需要依赖事件日志匹配。

内容的提问来源于stack exchange，提问作者Bardia Aminaí López。