Linux systemd 服务失败重启策略的配置

Linux 服务“挂了以后自动拉起”不能只写一行 Restart=always。更稳妥的组合是：长期运行进程通常使用 Restart=on-failure，用 RestartSec 拉开两次启动的间隔，再用 StartLimitIntervalSec 和 StartLimitBurst 限制时间窗口内的启动次数。这样，瞬时故障可以自动恢复，持续崩溃则会进入限流状态，给运维留下排查时间。

先把“失败”定义清楚

systemd 的重启策略不是按日志文字匹配，而是根据服务进程的退出方式、信号、超时和 watchdog 结果判断。on-failure 适合长期运行服务：进程以非零状态退出、被异常信号终止、启动或运行操作超时，通常都属于失败。管理员执行 systemctl stop 造成的正常停止，不应被当作故障循环。

如果程序会用某个非零码表示“配置错误、无需再次尝试”，就不能只看 on-failure。先约定退出码，再把它写入 unit 的排除列表，才能让重启策略和应用语义一致。

用三组参数控制重启节奏

下面是一个可作为起点的服务片段。RestartSec 负责两次启动之间等待多久；StartLimitIntervalSec 与 StartLimitBurst 放在 [Unit] 段，负责一个时间窗口允许多少次启动尝试。

[Unit]
Description=Demo worker service
After=network-online.target
Wants=network-online.target
# 60 秒内最多允许 5 次启动，避免持续崩溃形成重启风暴
StartLimitIntervalSec=60s
StartLimitBurst=5

[Service]
Type=simple
ExecStart=/usr/local/bin/demo-worker
# 失败后等待 5 秒再尝试，给依赖服务和日志落盘留时间
Restart=on-failure
RestartSec=5s
# 75 表示配置不可用，遇到它时不再自动重启
RestartPreventExitStatus=75

[Install]
WantedBy=multi-user.target

这里的“5 次”不要理解成只允许 5 次自动重启。手动启动、依赖触发和其他启动请求也会进入启动限流判断。达到限制后，systemd 会拒绝继续启动；间隔过去后，重启逻辑可以再次生效，管理员也可以用 systemctl reset-failed 清理失败状态和相关计数。

用退出码区分可恢复与不可恢复

应用退出码应该表达下一步动作，而不是随意返回一个数字。例如连接上游暂时失败可以返回非零码，让 on-failure 继续尝试；配置文件语法错误或缺少必需密钥则返回约定的 75，并由 RestartPreventExitStatus=75 终止重启。这样不会因为配置未修复而每隔几秒重复拉起进程。

如果服务有“正常完成”的退出路径，优先考虑 Restart=on-success 或不自动重启，而不是把一次性任务强行当作常驻服务。相反，常驻 worker 不要轻易用 Restart=always，否则程序主动退出和异常崩溃都会被重新启动，退出码就失去了运维含义。

用命令复查 unit 是否真的按预期工作

修改 unit 后先重新加载，再启动并读取状态。不要只看“服务正在运行”这一行，还要关注最近一次退出的 code、status、重启次数以及是否出现 start-limit-hit。

# 重新读取 unit 文件，避免继续使用旧配置
sudo systemctl daemon-reload
# 启用并立即启动服务
sudo systemctl enable --now demo-worker.service
# 查看退出码、重启原因和当前状态
systemctl status demo-worker.service --no-pager
# 打印 systemd 记录的关键属性
systemctl show demo-worker.service \
  -p ActiveState -p SubState -p Result \
  -p ExecMainCode -p ExecMainStatus -p NRestarts
# 只看本次启动以来的服务日志
journalctl -u demo-worker.service -b --no-pager -n 80

若看到 Result=exit-code，先对照 ExecMainStatus 判断应用返回了什么；若看到 Result=start-limit-hit，说明当前问题已经从“是否重启”转为“为什么反复启动失败”。修复配置或依赖后，再执行 systemctl reset-failed demo-worker.service 并重新启动，复查日志是否恢复为单次启动。

常见边界

为什么写了 Restart 还是不重启？ 可能是退出方式被视为成功、退出码被列入 RestartPreventExitStatus，或已经触发启动限流。先看 Result 和 ExecMainStatus，不要直接把 Burst 调大。

StartLimit 应该设置多大？ 它没有适用于所有服务的固定值。短任务要结合正常启动耗时，常驻服务要结合依赖恢复时间和故障排查窗口；先用有限次数保护系统，再根据日志中的失败间隔调整。