Win11如何查看电脑开关机记录时间？

Question

如何在Windows 11中通过事件查看器查看电脑的开关机记录时间？许多用户反映找不到准确的开机和关机时间日志，或无法区分相关事件ID（如事件ID 6005、6006、1074等），导致难以判断系统实际启停时间。此外，部分用户开启快速启动后，关机记录显示异常，该如何正确解读这些日志？

Answer 1

Windows 11中通过事件查看器查看开关机记录的深度解析

一、事件查看器基础入门：定位系统启停日志

在Windows 11中，事件查看器（Event Viewer）是诊断系统行为的核心工具。要访问开关机记录，需打开“事件查看器”>“Windows 日志”>“系统”。在此日志中，操作系统会记录关键服务的启动与停止事件。

常用快捷方式打开事件查看器：

• Win + R 输入 eventvwr.msc
• 任务管理器 → “性能”选项卡 → 打开资源监视器 → 工具栏点击“事件”
• 控制面板 → 管理工具 → 事件查看器

进入“系统”日志后，可通过筛选功能聚焦特定事件ID，从而提取开关机时间信息。

二、核心事件ID解析：识别开机与关机行为

准确判断开关机时间依赖于对以下关键事件ID的理解：

事件ID	描述	对应行为	来源服务
6005	事件日志服务已启动	系统开机	EventLog
6006	事件日志服务已停止	正常关机	EventLog
1074	用户请求关机或重启	主动重启/关机	User32
6008	上一次系统关闭异常	非正常断电或崩溃	EventLog
41	内核电源管理：系统未干净关机	强制断电或蓝屏	Kernal-Power
1	电源状态转变（S4/S5）	睡眠/休眠/唤醒	Kernal-Power
27	Boot Configuration Data 加载完成	启动早期阶段	Microsoft-Windows-BCD
12	系统首次启动（自上次清理后）	冷启动	DC=Diagnostics
13	系统恢复运行（从休眠）	从休眠唤醒	DC=Diagnostics
100	Windows启动过程完成	用户可登录	EventLog

三、高级筛选技巧：精准提取开关机时间

为避免海量日志干扰，建议使用XML筛选器或内置筛选功能聚焦目标事件。例如，筛选事件ID 6005和6006：

<QueryList>
  <Query Id="0" Path="System">
    <Select Path="System">
      *[System[(EventID=6005 or EventID=6006)]]
    </Select>
  </Query>
</QueryList>

将上述XML粘贴至“创建自定义视图”→“XML”选项卡，并勾选“编辑查询以在XML中使用”，即可生成专用视图。

此外，可通过PowerShell快速导出最近5次的开关机时间：

# 获取最近5次开机时间
Get-WinEvent -FilterHashtable @{LogName='System'; ID=6005} | Select-Object TimeCreated, Id, Message | Select -First 5

# 获取最近5次关机时间
Get-WinEvent -FilterHashtable @{LogName='System'; ID=6006} | Select-Object TimeCreated, Id, Message | Select -First 5

四、快速启动机制的影响与日志解读

Windows 11默认启用“快速启动”（Fast Startup），该功能结合休眠技术（Hybrid Shutdown），导致传统关机行为发生变化。此时，事件ID 6006可能不再出现，因为系统并未完全关闭会话管理器（smss）。

当快速启动开启时，关机流程如下：

1. 用户点击“关机”
2. 会话0保持挂起状态，保存到hiberfil.sys
3. 仅关闭用户会话（Session 1+）
4. 触发事件ID 42（Kernel-Power）表示进入休眠状态
5. 下次开机时，直接从休眠恢复核心组件，跳过完整启动流程

因此，在启用快速启动的系统中，应结合以下事件综合判断：

• 事件ID 42：系统进入休眠（代表“伪关机”）
• 事件ID 1074：若由用户发起，则仍有效
• 事件ID 6005：每次冷启动必现

五、综合分析流程图：判断真实启停状态

为应对复杂场景，设计如下决策流程图辅助分析：

graph TD
            A[开始分析日志] --> B{是否存在事件ID 6006?}
            B -- 是 --> C[标准正常关机]
            B -- 否 --> D{是否存在事件ID 42紧接着关机操作?}
            D -- 是 --> E[启用快速启动，属混合关机]
            D -- 否 --> F{是否存在事件ID 6008或41?}
            F -- 是 --> G[异常关机或断电]
            F -- 否 --> H[检查1074是否伴随重启请求]
            H --> I[结合时间戳推断实际行为]
            I --> J[输出结论：开机/关机/休眠/异常]

六、实践建议与运维优化

对于IT专业人员，在企业环境中进行批量审计时，可部署集中式日志收集策略，利用SIEM系统（如Splunk、ELK、Microsoft Sentinel）聚合多台设备的事件日志。

推荐配置：

• 禁用快速启动（适用于服务器或审计敏感环境）
• 启用详细电源事件记录（通过组策略：Computer Configuration → Administrative Templates → System → Power Management → Logging）
• 定期归档日志，防止环形缓冲区覆盖历史数据
• 使用WMI或PowerShell脚本自动化提取关键事件

示例脚本：批量获取域内计算机最近开机时间

$Computers = Get-ADComputer -Filter * | Select -ExpandProperty Name
foreach ($Comp in $Computers) {
    try {
        $BootEvent = Get-WinEvent -ComputerName $Comp -FilterHashtable @{
            LogName='System'; ID=6005
        } -MaxEvents 1 -ErrorAction SilentlyContinue
        [PSCustomObject]@{
            ComputerName = $Comp
            LastBootTime = $BootEvent.TimeCreated
        }
    } catch { Write-Warning "$Comp unreachable or no event found" }
}