使用事件查看器中的事件ID 41、6005、6006和1074筛选系统日志，结合可靠性监视器与蓝屏分析工具，可准确区分正常重启与意外崩溃。
要查看Windows系统的重启日志，最直接且信息最丰富的途径就是使用“事件查看器”（Event Viewer）。它详细记录了系统启动、关机以及各种异常事件，是追踪系统何时开关机、是否发生意外重启的关键工具。
打开“事件查看器”是第一步。你可以在Windows搜索栏中输入“事件查看器”，或者按下
Win + R键，在运行对话框中输入
eventvwr.msc并回车。
进入事件查看器后，导航到左侧面板的“Windows 日志” -> “系统”。这里你会看到大量系统事件，我们需要通过筛选来定位重启相关的记录。
以下是一些关键的事件ID，它们对于理解系统重启行为至关重要：
- 事件ID 6005 (EventLog started): 表明事件日志服务已启动，通常意味着系统成功开机。
- 事件ID 6006 (EventLog stopped): 表明事件日志服务已停止，这通常是系统正常关机的标志。
- 事件ID 1074 (User initiated shutdown/restart): 这个事件会告诉你，是哪个用户或程序发起了关机或重启操作，以及可能的原因。
- 事件ID 41 (Kernel-Power): 这是最关键的一个。如果系统在没有正常关机流程的情况下意外重启或关机，你会看到这个事件。它通常指向系统突然断电、蓝屏死机（BSOD）或遇到其他严重错误而被迫重启的情况。
筛选步骤：
- 在“系统”日志的右侧操作栏中，点击“筛选当前日志...”。
- 在弹出的对话框中，找到“事件ID”字段，输入
41, 1074, 6005, 6006
。 - 点击“确定”。
现在，你就能看到一个更精简、更易于分析的事件列表，按时间排序，可以清晰地追踪系统的启动和关机历史。例如，如果你发现一个事件ID 41，而在此之前却没有对应的6006事件，那几乎可以断定是一次非正常关机或重启。
如何快速定位Windows意外重启的原因？
定位Windows意外重启的原因，确实是件让人头疼的事，特别是那些毫无征兆的蓝屏或突然断电式重启。我的经验是，首先要紧盯事件ID 41。这个“Kernel-Power”事件，虽然它本身只是个结果，告诉你系统意外关闭了，但它往往是深入调查的起点。
当看到事件ID 41时，别急着下结论。你需要做的是：
- 向上追溯时间线： 在事件ID 41发生之前的几秒到几分钟内，查看是否有其他“错误”或“警告”级别的事件。这些事件可能指向了导致崩溃的具体驱动程序问题、硬件故障，或者应用程序冲突。比如，某个驱动程序加载失败、硬盘出现坏道警告，或者某个关键服务崩溃。
-
检查蓝屏信息： 如果是蓝屏死机（BSOD）导致的重启，Windows通常会生成一个内存转储文件（minidump）。你可以用像 NirSoft 的
BlueScreenView
这样的第三方工具来分析这些文件。它能直观地显示蓝屏的错误代码、导致问题的驱动程序文件，这比在事件查看器里大海捞针要高效得多。通常这些文件位于C:\Windows\Minidump
目录下。 - 硬件排查： 有时候，事件日志里没有任何明显的软件错误，那很可能就是硬件问题了。电源供应不稳定、内存条故障、CPU过热、显卡驱动冲突甚至硬盘损坏都可能导致意外重启。这时候，就需要考虑跑一些硬件诊断工具，比如Windows自带的内存诊断工具（或者MemTest86）、硬盘健康检查工具（如CrystalDiskInfo），或者监控CPU/GPU温度。我个人就遇到过因为电源老化导致不定时重启的案例，日志里除了41之外，几乎一无所获。
除了事件查看器，还有哪些工具可以辅助分析重启日志？
虽然事件查看器是核心工具，但它有时候确实显得有点“硬核”，信息量大且分散。所以，我们还有一些更人性化或更专业的工具可以作为补充。
- 可靠性监视器 (Reliability Monitor)： 这是我个人非常喜欢的一个工具，因为它以图形化的方式呈现了系统稳定性的历史。你可以在搜索栏输入“可靠性历史记录”或“可靠性监视器”来打开它。它会用一个时间轴，清晰地标记出系统崩溃、应用程序故障、驱动安装失败等事件，并给出一个稳定性指数。点击某个特定的“X”或“警告”图标，就能看到更详细的事件描述，通常会直接链接到事件查看器中的相关日志。这对于快速概览系统健康状况，找出某个时间段内频繁发生问题的模式，非常有帮助。
-
系统信息 (System Information -
msinfo32.exe
)： 这个工具本身不直接分析重启日志，但它提供了一个“Windows 错误报告”部分，里面会列出所有收集到的错误报告，包括蓝屏死机的详细信息。虽然不如BlueScreenView直观，但它提供了一个官方的汇总视图。更重要的是，它能让你快速检查系统的硬件配置、驱动版本等信息，这些都是排查问题时不可或缺的背景资料。 -
PowerShell： 对于那些喜欢命令行，或者需要自动化脚本来处理大量日志的进阶用户，PowerShell 是个利器。你可以使用
Get-WinEvent
命令来查询事件日志，它的筛选能力比事件查看器更强大、更灵活。例如：Get-WinEvent -FilterHashtable @{LogName='System'; ID=41} | Format-List TimeCreated, Message这条命令就能帮你快速找出所有ID为41的系统事件，并以列表形式显示创建时间和消息内容。通过组合不同的参数和筛选条件，你可以实现非常精细的日志分析。当然，这需要一定的PowerShell基础。
如何区分是正常关机重启还是系统崩溃？
区分正常关机重启和系统崩溃，其实主要看事件日志的“上下文”和特定的事件ID序列。这就像侦探破案，不能只看一个证据，要看整个事件链。
最核心的区别在于，正常关机或重启会有一个“优雅”的日志关闭过程。你会看到：
- 事件ID 6006 (EventLog stopped): 这表示系统在尝试关机前，事件日志服务已经正常停止了。这是正常关机的标志。
- 紧接着，或者在几秒钟之后，系统会开始启动。
- 事件ID 6005 (EventLog started): 系统成功启动，事件日志服务再次开始记录。
而系统崩溃或意外重启，则完全没有这个“优雅”的过程。你会看到：
- 在某个时间点，系统突然停止运行，没有任何6006事件。
- 然后，在系统重新启动后，你会直接看到一个事件ID 41 (Kernel-Power)。这个事件会明确告诉你，系统在上次关机时没有正常关闭。通常它的描述会包含“系统已从一次不干净的关机中重新启动”或者“系统已重新启动，但未首先完全关闭”。
- 在事件ID 41之后，你会看到正常的6005事件，表明系统已启动。
所以，关键的判断依据就是：在一个6005事件之前，有没有一个对应的6006事件？ 如果没有，并且你看到了41，那几乎可以肯定是一次意外的、非正常的关机或重启。
有时候，即使是正常关机，如果某个应用程序阻止了关机，也可能会出现1074事件，表明关机被某个进程延迟。但只要最终出现了6006，那仍然属于正常范畴。真正需要警惕的，是那些“悄无声息”地消失，然后又“突然”出现，并伴随41事件的重启。这往往意味着硬件故障、驱动冲突或者系统核心层面的不稳定。
