火绒进程和服务没分家，我拿procexp追了一下午才看明白

事情是这样的，前几天我不是发了个帖说火绒弹窗拦截关了三天又冒出来吗？当时我就觉得不对劲，主程序明明退了，托盘图标都没了，结果弹窗照弹不误。我就寻思这玩意是不是进程和服务压根没分家。

于是昨天下午我啥也没干，开着procexp跟火绒死磕了一下午。先说结论：火绒的进程和服务确实是分开的，但它的服务带自愈机制，而且扫描周期策略藏得贼深。

我先打开procexp，把进程树展开。火绒主界面进程是HipsTray.exe对吧，我手动结束它，托盘图标秒没。但是！HipsDaemon.exe还在后台跑着，而且它的父进程不是HipsTray，是services.exe。也就是说，这玩意是以服务形式启动的，你关掉UI根本不影响它干活。

然后我又去看服务列表，找到火绒的服务，右键属性，发现它的启动类型是自动。我尝试手动停止这个服务，结果过了大概十几秒吧，它自己又起来了。我当时就：？？？

后来我翻了半天注册表，在HKLM\SYSTEM\CurrentControlSet\Services下面找到火绒的服务项，里面有个FailureActions，大概意思就是服务挂了之后系统会自动重启它。这就能解释为啥我停了它又自己活过来。

但真正让我较真的是扫描周期这个事。我看网上有人说可以把火绒的扫描周期改成手动，按需扫描就行。我试了一下，在设置里确实能找到扫描频率的选项，但那个是文件实时监控的扫描周期，不是服务本身的运行周期。

这里就有个逻辑陷阱了：把扫描周期改长，跟手动改成按需，完全是两码事。 扫描周期是它定时去扫的间隔，按需是你叫它扫它才扫。有些人混为一谈，说“你把周期改长就等于按需了”，这不对啊。服务还在跑，只是扫得懒了点，它该占的内存一点没少。

我还发现一个细节，火绒的服务下面挂了好几个svchost，具体哪个是干啥的我还没完全搞明白。我猜可能是不同模块分开跑的？比如网络监控一个、文件监控一个？有懂哥知道的话求科普。

最后说个翻车经历。我为了测试服务自愈，把FailureActions里的重启延迟改成了0，想看看它是不是秒起。结果改完忘了改回来，后来电脑蓝屏了一次，火绒服务疯狂重启，CPU直接飙到30%。我赶紧进安全模式把注册表改回去，折腾到凌晨三点。

所以我现在的问题是：火绒的服务自愈机制，到底是靠Windows的FailureActions，还是它自己内部也有个守护进程？如果是前者，那我把FailureActions清了是不是就能彻底关掉它？有没有人实测过？