电脑关机查看事件命令

需借助事件查看器日志查关机事件：一、用事件ID 1074/6005/6006筛选系统日志；二、PowerShell执行Get-WinEvent命令导出关机记录；三、检查Windows Event Log服务状态及System.evtx文件；四、通过gpedit.msc启用“关机系统”审计策略。

如果您需要在电脑关机后查看系统关机过程中的相关事件记录，则需借助 Windows 事件查看器中已保存的日志信息。以下是获取关机事件的几种具体方法：

一、使用事件查看器筛选关机事件

Windows 系统会在“系统”日志中记录关机和启动事件，其中事件 ID 1074 表示用户主动发起关机或重启，事件 ID 6005 和 6006 分别标识事件日志服务的启动与关闭，可辅助判断关机时间点。

1、按 Win + R 键打开运行窗口，输入 eventvwr.msc 并回车，启动事件查看器。

2、在左窗格依次展开 Windows 日志 → 系统。

3、在右窗格点击 筛选当前日志。

4、在“事件ID”文本框中输入 1074,6005,6006，用英文逗号分隔，点击确定。

5、在结果列表中查找时间戳接近关机时刻的条目，双击查看详情，确认“任务类别”和“详细信息”字段中的操作者与原因。

二、通过 PowerShell 命令导出关机记录

PowerShell 可直接查询并导出指定事件 ID 的日志条目，支持按时间范围和关键词过滤，适合快速定位多次关机行为。

1、以管理员身份运行 PowerShell。

2、执行以下命令查询最近 7 天内所有关机事件（事件 ID 1074）：

Get-WinEvent -FilterHashtable @{LogName='System'; ID=1074; StartTime=(Get-Date).AddDays(-7)} | Select TimeCreated, Message | Format-List

3、如需将结果保存为文本文件，追加管道命令：

CodeBuddy

腾讯云AI代码助手

805

查看详情

... | Out-File -FilePath "$env:USERPROFILE\Desktop\ShutdownEvents.txt"

三、检查系统日志服务状态及日志文件位置

若事件查看器中缺失关机记录，可能因日志被覆盖、服务未运行或日志文件损坏。需验证日志服务是否启用，并确认日志存储路径是否可读写。

1、在运行窗口中输入 services.msc，回车打开服务管理器。

2、找到 Windows Event Log 服务，确认其“状态”为“正在运行”，“启动类型”为“自动”。

3、右键该服务 → 属性 → “恢复”选项卡，确认第一次失败操作设为“重新启动服务”。

4、系统日志文件默认位于：%SystemRoot%\System32\winevt\Logs\System.evtx，检查该路径下文件修改时间是否与关机时间吻合。

四、启用详细关机审计策略

默认情况下，部分关机动作（如强制断电、蓝屏崩溃）不会生成标准事件 ID。启用关机审计策略后，系统会记录更多上下文信息，包括调用进程与用户会话状态。

1、按 Win + R 输入 gpedit.msc 打开本地组策略编辑器（仅限专业版/企业版）。

2、导航至 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审计策略 → 关机系统。

3、双击右侧的 关机系统，勾选 配置此策略设置，并启用 成功 和 失败。

4、执行 gpupdate /force 刷新策略，后续关机操作将生成更完整的审计日志条目。

以上就是电脑关机查看事件命令的详细内容，更多请关注php中文网其它相关文章！