必须提前配置服务恢复选项才能实现自动记录与自愈：在“恢复”选项卡中设置三次失败均重启、重置计数为1小时，并通过eventcreate.exe在应用程序日志写入id998崩溃事件；依赖服务如rpc需确保自动运行。
关键服务异常停止后，系统不会自动记录或处理——必须提前配置，否则只能靠人工发现和干预。核心在于两件事：一是让服务崩溃时留下可查痕迹，二是让它能自我恢复或触发响应动作。
服务崩溃时自动记录日志
Windows 本身不默认记录“服务因崩溃停止”这类细节，需手动启用失败日志写入：
- 打开 services.msc → 右键目标服务（如 UsoSvc、W32Time）→ “属性” → “恢复”选项卡
- 在“如果服务无法启动，运行以下程序”中填入：
C:\Windows\System32\eventcreate.exe /t ERROR /id 998 /l APPLICATION /d "Service %1 crashed at %date% %time%"
（注意：实际使用时把 %1 替换为具体服务名，或改用 PowerShell 脚本获取动态名称） - 点击“应用”，之后该服务每次启动失败，都会在“应用程序”日志里生成一条 ID 998 的错误事件，含时间戳和上下文
配置自动重启防止长期中断
仅记录不够，得让服务自己拉起来。推荐统一设为“三次均重启”，避免误判抖动：
- “第一次失败”“第二次失败”“后续失败”全部选重新启动此服务
- “重置失败计数”设为 1 小时，防止短时高频崩溃被反复重试
- 若服务依赖其他组件（如 RPC、DCOM），务必先确认这些依赖已设为“自动”并处于运行状态，否则重启会失败并报错 1053 或 1068
批量检查与导出异常记录
人工翻日志效率低，可用命令快速定位近期崩溃痕迹：
- 管理员 PowerShell 中运行：
Get-WinEvent -FilterHashtable @{LogName='Application'; ID=998; Level=2; StartTime=(Get-Date).AddHours(-24)} -MaxEvents 50 | Select TimeCreated, Message - 结果直接显示过去24小时内所有自定义崩溃日志，含时间、服务名和触发时刻
- 想导出为表格分析？加一句 | Export-Csv .\crashlog.csv -NoTypeInformation 即可
补充：当服务连“恢复选项”都不可用时
某些系统服务（如 EventLog、RpcSs）自身异常会导致服务管理器失效，此时常规配置进不去。应优先进入安全模式或 WinRE：
- 用 services.msc 检查 Remote Procedure Call (RPC) 和 DCOM Server Process Launcher 是否运行；若禁用，需用 sc config RpcSs start= auto && net start RpcSs 强制启用
- 若桌面空白或服务列表为空，大概率是 PlugPlay 或 EventLog 出问题，必须通过 WinRE 命令提示符修改注册表 Start 值为 2（自动）
