如何通过命令查看Windows上次关机时间？

Question

如何通过命令行快速查看Windows系统上次关机时间？许多用户在排查系统异常或分析运行时长时，需要获取准确的关机时间记录。虽然事件查看器可手动查找相关日志，但效率较低。能否使用PowerShell或CMD命令直接提取该信息？常见问题包括：使用`eventvwr.msc`查找事件ID 1074或6006耗时较长；`wevtutil`命令输出格式不易读；PowerShell脚本筛选关机事件时权限不足导致数据缺失。如何通过简洁命令准确获取最近一次关机时间？

Answer 1

一、Windows系统关机时间记录的底层机制解析

在Windows操作系统中，关机事件被记录于系统日志（System Log）中，主要通过事件ID 6006 和 1074 标识。其中：

• 事件ID 6006：表示“事件日志服务已停止”，通常发生在正常关机过程中。
• 事件ID 1074：表示“计划关机”，通常由用户或应用程序发起关机操作时触发，并包含发起者信息（如用户名、原因）。

这些日志存储在Application and Services Logs > Microsoft > Windows > Diagnostics-Performance > Operational以及System日志通道中。理解其来源是实现高效提取的前提。

二、常见命令行工具对比分析

工具	语法简洁性	输出可读性	权限需求	适用场景
eventvwr.msc	低	高	标准用户	手动排查
wevtutil	中	低	管理员	脚本集成
PowerShell	高	高	推荐管理员	自动化与远程管理
CMD + WMIC	中	中	标准用户	快速运行时估算

三、基于PowerShell的精准提取方案

使用PowerShell结合Get-WinEvent cmdlet 可以高效筛选出最近一次关机事件。以下为推荐命令：

# 获取最近一条事件ID为1074或6006的关机记录
$shutdownEvents = Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    ID = @(1074, 6006)
} -MaxEvents 10 | Select-Object TimeCreated, Id, Message

# 输出最近一次关机时间
$latestShutdown = $shutdownEvents | Sort-Object TimeCreated -Descending | Select-Object -First 1
Write-Output "最近一次关机时间: $($latestShutdown.TimeCreated)"

该方法优势在于支持结构化输出、易于集成至监控脚本，且可通过-ComputerName参数实现远程查询。

四、解决权限不足导致的数据缺失问题

部分环境中，非管理员账户执行Get-WinEvent可能无法访问完整日志。解决方案包括：

1. 以管理员身份运行PowerShell；
2. 配置组策略允许特定用户读取安全相关事件日志；
3. 使用Start-Process powershell -Verb RunAs提升权限后执行脚本；
4. 部署集中式日志收集服务（如SIEM），避免本地权限限制。

此外，可通过wevtutil gl System检查日志状态是否启用归档和保留策略。

五、CMD环境下的替代方案与性能评估

对于不支持PowerShell的受限环境，可使用wevtutil结合XML解析获取数据：

wevtutil qe System /c:1 /f:text /q:"Event[System[(EventID=6006)]]"

或利用WMIC估算系统运行时长反推关机时间：

wmic os get LastBootUpTime

结合当前时间计算运行时长，可间接得出上次重启时间（适用于无异常断电场景）。

六、自动化流程设计与可视化呈现

graph TD A[启动诊断脚本] --> B{是否具备管理员权限?} B -- 是 --> C[执行Get-WinEvent查询ID 1074/6006] B -- 否 --> D[尝试WMIC获取启动时间] C --> E[格式化输出最近关机时间] D --> F[结合当前时间推算上一次重启] E --> G[写入日志或发送至监控平台] F --> G

该流程确保在不同权限环境下仍能获取有效信息，并支持扩展至批量主机巡检。