win11怎么在事件查看器里找开关机记录_win11事件查看器查看开关机记录教程

通过事件查看器和PowerShell可查询Windows开关机历史：首先使用事件查看器筛选事件ID 6005（开机）、6006（正常关机）、6008（意外断电）、1074（重启或用户关机），或在PowerShell中执行Get-WinEvent命令导出系统日志，按时间倒序显示开关机记录，并可保存为文本文件；此外，通过筛选winlogon事件来源，查看用户登录、注销、锁定与解锁事件，进一步判断设备实际使用时段。

如果您需要了解计算机的开关机历史，可以通过系统内置的日志工具进行查询。以下是具体的排查和操作步骤：

本文运行环境：Dell XPS 13，Windows 11

一、使用事件查看器筛选关键事件ID

事件查看器通过记录系统核心活动来追踪开机与关机行为，不同状态对应特定的事件ID，通过筛选这些ID可精准定位记录。

1、按下 Win + R 组合键打开“运行”对话框，输入 eventvwr.msc 后按回车，启动事件查看器。

2、在左侧导航栏中，依次展开 Windows 日志 并点击 系统。

3、在右侧操作面板中，点击 筛选当前日志。

4、在弹出的窗口中，“事件ID”文本框内输入以下ID，用英文逗号分隔：6005,6006,6008,1074。

5、确认后点击“确定”，列表将仅显示相关事件：6005代表开机，6006代表正常关机，6008代表意外断电，1074代表由用户或程序发起的重启或关机。

6、双击任意一条日志可查看详细信息，包括发生时间、触发进程及用户账户等。

二、通过PowerShell快速导出日志

PowerShell允许批量查询和导出系统事件，适合需要分析长时间跨度或生成报告的场景。

1、右键点击“开始”菜单，选择 终端（管理员） 或 Windows PowerShell（管理员）。

2、在打开的命令行界面中，粘贴并执行以下命令：

Giiso写作机器人

Giiso写作机器人，让写作更简单

56

查看详情

Get-WinEvent -LogName System | Where-Object {$_.Id -eq 6005 -or $_.Id -eq 6006 -or $_.Id -eq 6008 -or $_.Id -eq 1074} | Select-Object TimeCreated, Id, Message | Sort-Object TimeCreated -Descending | Format-Table -AutoSize

3、执行后将按时间倒序列出所有匹配的开关机事件，便于快速浏览最新记录。

4、如需保存为文件，可使用输出重定向命令，例如：

Out-File "C:\Users\Public\Documents\ShutdownLog.txt"

三、利用事件来源筛选开机登录事件

winlogon进程负责处理用户会话的创建与销毁，其日志可反映用户级别的登录与注销时间，间接判断设备使用时段。

1、在事件查看器的“系统”日志页面，再次点击右侧的 筛选当前日志。

2、清空之前的事件ID，转而在“事件来源”下拉菜单中选择 winlogon。

3、将“记录时间”设置为“任何时间”，确保覆盖全部历史记录。

4、点击“确定”后，日志列表将显示与用户登录会话相关的事件，重点关注类型为“信息”的条目。

5、查找描述中包含“工作站已锁定”或“工作站已解锁”的事件，可辅助判断设备的实际使用起止时间。

以上就是win11怎么在事件查看器里找开关机记录_win11事件查看器查看开关机记录教程的详细内容，更多请关注php中文网其它相关文章！