Este é um serviço iniciado e interrompido "conforme necessário" pelo executável ngen
(Native Image Generator). De acordo com esta página do MSDN , o serviço geralmente é iniciado em conjunto com um programa de instalação (instalador) ou por interação direta com o ngen executável .
Até onde eu sei, o comportamento que você descreveu é o comportamento padrão / correto.