nginx 的高稳定性源于“换”而非“修”的多进程设计：主进程轻量只调度，worker 进程隔离自治，崩溃后毫秒级自动拉起新进程，并通过 systemd 实现纵深防护。
快速进程重启和故障隔离不是靠“修”，而是靠“换”——Nginx 多进程架构把稳定性建立在轻量主进程 + 独立工作进程 + 自动补位的机制上，出问题不修复，直接换掉出问题的进程。
主进程只调度、不处理请求
主进程（master）以 root 权限运行，但仅做四件事：读取并校验配置、绑定监听端口、拉起/监控工作进程、响应信号（如 HUP、TERM）。它不解析 HTTP、不读文件、不建连接、不跑 Lua 脚本，代码路径极短，几乎不会崩溃。即使异常退出，重启开销极小，且不影响正在运行的 worker 进程。
Worker 进程彼此隔离、互不干扰
每个 worker 是操作系统级独立进程，拥有专属内存空间、连接队列、缓冲区、定时器和缓存索引。默认不共享可写状态，避免锁竞争与内存污染：
- 一个 worker 因正则回溯、后端超时或 OOM 被杀掉，其他 worker 继续正常接收和处理新请求
- 连接一旦被某个 worker 接收，整个生命周期（读、解析、转发、写回）都在该进程内闭环完成，不跨进程传递 socket
- 限流（limit_req）、缓存淘汰、连接超时等逻辑均在单进程内自治，无需加锁协调
崩溃后毫秒级自动拉起新进程
主进程持续调用 waitpid() 监听子进程退出状态。一旦发现 worker 非正常退出（如返回码非 0 或收到 SIGSEGV），立即执行以下动作：
- 记录日志，例如：worker process 12345 exited on signal 11
- 检查当前活跃 worker 数是否低于 worker_processes 配置值
- 若不足，调用 fork() 启动全新 worker，继承已有监听套接字和已解析配置，无缝加入服务队列
整个过程由 Nginx 内部完成，通常在 1 秒内结束，用户基本无感知。
配合 systemd 实现纵深防护
Nginx 自身机制已足够健壮，但生产环境需叠加系统级兜底：
- 设置 Restart=always 和 RestartSec=3，确保主进程意外退出后秒级自愈
- 添加 ExecStartPre=/usr/sbin/nginx -t，防止错误配置导致反复启动失败
- 限制资源：用 MemoryMax=1G、LimitNOFILE=65535 防止单个 worker 异常耗尽系统资源
