通过Windows日志查看开机关机记录
本文目录
通过事件查看器查看开关机记录
Windows 会在系统日志中记录启动、关机和异常重启等事件。通过事件查看器，可以查询电脑的开关机时间，以及哪个用户或程序发起了关机、重启。
以下步骤适用于 Windows 10、Windows 11，也可用于常见 Windows Server 系统。
- 按
Win + R，输入eventvwr.msc，按回车打开事件查看器。 - 在左侧依次展开“Windows 日志 → 系统”。
- 点击右侧的“筛选当前日志”。
- 根据需要选择时间范围，在“所有事件 ID”输入框中填入以下内容：
12,13,41,1074,6005,6006,6008- 点击“确定”，按“日期和时间”查看筛选结果。
- 双击某条事件，在“常规”选项卡中查看具体时间和说明。
常用事件 ID 对照
| 事件 ID | 事件来源 | 含义 |
|---|---|---|
| 12 | Kernel-General | 操作系统启动，消息中包含启动时间。 |
| 13 | Kernel-General | 操作系统正在关闭，消息中包含开始关闭的时间。 |
| 1074 | User32 | 用户或程序发起关机、重启请求，可查看发起进程、用户和操作类型。 |
| 6005 | EventLog | 事件日志服务已启动，可作为开机时间的参考。 |
| 6006 | EventLog | 事件日志服务已停止，可作为正常关机时间的参考。 |
| 6008 | EventLog | 上一次系统关闭属于异常关闭，具体时间见事件消息。 |
| 41 | Kernel-Power | 系统未正常关闭便重新启动，常见于断电、死机或强制关机等情况。 |
同一个事件 ID 可能对应不同来源，查看时应同时核对“来源”和事件消息。
如何判断开关机时间
- 查看开机时间：优先查看 Kernel-General 的事件 12，也可以结合事件 6005 判断。
- 查看正常关机：结合事件 1074、13 和 6006，了解关机请求和关闭过程的时间。
- 查看是谁发起重启：打开事件 1074，查看进程名称、用户、关机类型及原因。
- 查看异常关机：结合事件 6008 和 41。事件 6008 消息中记录的上次异常关闭时间，可能与该条日志的写入时间不同。
事件 6005 和 6006 记录的是事件日志服务启动、停止，并不等于电脑通电、断电的准确时刻。事件 41 只能说明上次未正常关闭，不能单凭这一条判断为电源故障。
睡眠、休眠和快速启动会影响记录的解读；如果较早的日志已被清除或覆盖，也可能无法查到完整历史。