电脑关机查看事件命令

需借助事件查看器日志查关机事件：一、用事件ID 1074/6005/6006筛选系统日志；二、PowerShell执行Get-WinEvent命令导出关机记录；三、检查Windows Event Log服务状态及System.evtx文件；四、通过gpedit.msc启用“关机系统”审计策略。

如果您需要在电脑关机后查看系统关机过程中的相关事件记录，则需借助 Windows 事件查看器中已保存的日志信息。以下是获取关机事件的几种具体方法：

一、使用事件查看器筛选关机事件

Windows 系统会在“系统”日志中记录关机和启动事件，其中事件 ID 1074 表示用户主动发起关机或重启，事件 ID 6005 和 6006 分别标识事件日志服务的启动与关闭，可辅助判断关机时间点。

1、按 Win + R 键打开运行窗口，输入 eventvwr.msc 并回车，启动事件查看器。

2、在左窗格依次展开 Windows 日志 → 系统。

3、在右窗格点击 筛选当前日志。

4、在“事件ID”文本框中输入 1074,6005,6006，用英文逗号分隔，点击确定。

5、在结果列表中查找时间戳接近关机时刻的条目，双击查看详情，确认“任务类别”和“详细信息”字段中的操作者与原因。

二、通过 PowerShell 命令导出关机记录

PowerShell 可直接查询并导出指定事件 ID 的日志条目，支持按时间范围和关键词过滤，适合快速定位多次关机行为。

1、以管理员身份运行 PowerShell。

2、执行以下命令查询最近 7 天内所有关机事件（事件 ID 1074）：

Get-WinEvent -FilterHashtable @{LogName='System'; ID=1074; StartTime=(Get-Date).AddDays(-7)} | Select TimeCreated, Message | Format-List

3、如需将结果保存为文本文件，追加管道命令：

标签： windows 计算机 电脑 win