直接用WMI事件订阅机制可实时捕获服务状态变化，核心是监听__InstanceModificationEvent并限定TargetInstance ISA 'Win32_Service'，通过TargetInstance.State != PreviousInstance.State精准触发真实启停事件。
直接用 wmi 事件订阅机制就能实时捕获服务状态变化，不需要轮询或定时脚本。核心是监听 __instancemodificationevent，并限定目标为 win32_service 类，同时过滤 state 属性的变更。
基础事件查询语法
WMI 事件查询使用 WQL（WMI Query Language），不是普通 SELECT 查询。监控服务启停的关键语句结构如下：
- SELECT * FROM __InstanceModificationEvent WITHIN 5 WHERE TargetInstance ISA "Win32_Service" AND TargetInstance.State != PreviousInstance.State
其中：
— WITHIN 5 表示每 5 秒检测一次变化（可调，建议 2–10 秒）
— TargetInstance ISA "Win32_Service" 锁定服务类实例
— TargetInstance.State != PreviousInstance.State 确保只触发真实的状态变更（如 Running ↔ Stopped），排除无意义刷新
PowerShell 实现方式
用 Register-WmiEvent 创建持久化事件订阅，配合 Action 脚本响应：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 运行以下命令即可监听并打印变更详情：
$event = $event.SourceEventArgs.NewEvent
$svc = $event.TargetInstance
Write-Host "$(Get-Date): Service '$($svc.Name)' changed to '$($svc.State)'" -ForegroundColor Green
}
- 后续可用
Unregister-Event -SourceIdentifier ServiceStateChange停止监听 - 若需长期运行，建议将 Action 内容写入独立 .ps1 文件，并在 -Action 中调用，便于日志记录与错误处理
精准过滤特定服务或状态
不必监听全部服务，可通过 WHERE 条件缩小范围：
- 只关注某服务（例如 Spooler）：
... WHERE TargetInstance ISA 'Win32_Service' AND TargetInstance.Name = 'Spooler' AND TargetInstance.State != PreviousInstance.State - 只捕获“启动成功”事件：
... AND TargetInstance.State = 'Running' AND PreviousInstance.State = 'Stopped' - 只捕获“意外停止”（非手动停止）：
可结合 StartMode 和 State 判断，例如TargetInstance.StartMode = 'Auto' AND TargetInstance.State = 'Stopped'
注意事项与排障要点
事件监听依赖 WMI 基础设施和权限，常见问题有：
- 必须以管理员权限运行 PowerShell，否则注册失败
- 确保 Winmgmt 服务正在运行：
Get-Service Winmgmt | Start-Service - 远程监控需开启 DCOM 和防火墙规则（TCP 135 + 动态端口 49152–65535）
- 若无输出，先用
Get-WmiObject Win32_Service -Filter "Name='Spooler'"验证 WMI 本身是否可查 - 避免 WITHIN 设置过小（如 1 秒），可能引发高 CPU 占用
