Windows Server 服务崩溃默认不生成转储，需手动配置注册表启用：在 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps 下设置 DumpFolder（路径及权限）、DumpType（推荐2，完整转储）、DumpCount（建议≥10），支持全局或按服务名（如 MyService.exe）单独配置；配置后通过事件ID 1000/7031验证是否触发，并用 WinDbg 分析 .dmp 文件定位 FAULTING_MODULE 和异常堆栈。
服务崩溃时，windows server 默认不会自动生成转储文件，必须提前配置才能捕获现场。关键不是等崩溃发生后再找原因，而是让系统在进程终止前把内存快照存下来——这是定位根本原因最直接的证据。
确认是否已启用本地用户模式转储
Windows 错误报告（WER）支持为崩溃的服务自动创建用户模式转储，但默认关闭。需检查注册表路径：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps
重点确认以下三项值是否存在且配置合理：
-
DumpFolder：指定存储路径，如
%LOCALAPPDATA%\CrashDumps；确保服务运行账户（如NT AUTHORITY\SYSTEM）对该路径有写入权限 -
DumpType：推荐设为
2（完整转储），比小型转储包含更多堆栈、线程和模块上下文 -
DumpCount：建议设为
10或更高，避免旧转储被覆盖
若只为某项服务单独配置（例如 MyService.exe），可在 LocalDumps 下新建同名子项，并在其内设置上述值，优先级高于全局设置。
验证服务崩溃是否触发了转储生成
服务崩溃后，先查事件查看器中两个关键线索：
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
-
应用程序日志 → 事件 ID 1000：确认崩溃时间、故障模块（如
myservice.dll）、异常码（如0xc0000005）和进程路径 - 系统日志 → 事件 ID 7031：显示“服务意外终止”，并附带服务名和 PID；若同时出现 ID 1000，说明 WER 已介入
接着到 DumpFolder 指定路径下查找以服务名命名的 .dmp 文件（如 MyService.exe.1234.dmp）。没有文件，说明配置未生效或服务以非标准方式退出（如被 TerminateProcess 强杀）。
用 WinDbg 分析转储定位崩溃点
拿到 .dmp 文件后，用 WinDbg Preview（或旧版 WinDbg x64）打开：
- 加载符号：执行
.symfix c:\symbols并.reload，确保能解析系统和你的模块符号 - 查看主线程异常：输入
!analyze -v，重点关注 FAULTING_MODULE 和 STACK_TEXT 区域 - 若异常发生在第三方 DLL 中，用
lmvm yourmodule查版本和时间戳，再比对是否与已知缺陷匹配 - 检查堆损坏迹象：运行
!heap -p -a <address></address>（地址来自异常栈帧），看是否报corruption或invalid block
常见线索包括：空指针解引用（0xc0000005 + 偏移 0x0）、访问已释放内存（堆栈含 HeapFree 后调用）、DLL 初始化失败（DllMain 中抛异常）。
补充手段：对无响应服务强制抓取实时转储
有些服务不崩溃，只是卡死（Hang），此时 WER 不触发。可手动抓取：
- 用任务管理器右键目标服务进程 → “创建转储文件”（仅限 Windows Server 2012 R2+）
- 或使用
procdump.exe -ma <pid></pid>（需提前下载 Sysinternals 工具） - 分析时重点关注
~* kb查所有线程调用栈，找长时间阻塞在WaitForSingleObject、ntdll!NtWaitForWorkViaWorkerFactory等函数上的线程
若服务由 svchost 托管，先用 tasklist /svc 查 PID，再结合 sc queryex <servicename></servicename> 确认其所在组。
