如何在事件檢視器中查看 Windows 啟動和關閉時間

使用事件檢視器檢查 Windows 的啟動和關機時間。為系統日誌建立自訂視圖，並篩選事件 ID 為 12、13、6005、6006、6008 和 1074 的事件。 Windows 會自動記錄這些事件，因此無需安裝單獨的日誌記錄器。這些條目描述了作業系統和事件服務活動；它們並不總是標記使用者按下電源按鈕的確切時間。

哪些 Windows 事件會顯示啟動和關閉訊息？

篩選“Windows 日誌”>“系統日誌”，然後檢查每個事件的來源及其 ID。微軟提醒，同一個事件 ID 可能被不同的來源使用，因此僅憑 ID 不足以識別事件。

事件 ID	來源	它告訴你什麼
12	核心通用	作業系統已啟動。
13	核心通用	作業系統正在關閉。
6005	事件日誌	事件日誌服務已啟動，通常在啟動過程中啟動。
6006	事件日誌	事件日誌服務已停止，通常是在有序關機期間。
6008	事件日誌	上次關機是意外的；Windows 會在重新啟動後記錄此資訊。
1074	用戶32	進程或用戶請求關閉或重新啟動；訊息可以包含進程和原因。

對於乾淨重啟，事件 1074 和 13 可以幫助顯示請求和關機順序。來自 Kernel-Power 的事件 41 和事件 6008 可能指向未正常完成的關機，例如當機或斷電後。這些記錄有助於建立時間線，但它們本身並不能提供完整的診斷資訊。

建立用於顯示啟動和關閉記錄的自訂視圖

事件檢視器將系統日誌保存在一個清單中，其中包含許多不相關的條目。自訂視圖可以儲存篩選條件，以便您無需重複設定即可返回相關事件。

Windows 開始搜尋顯示「事件檢視器」為最佳符合項，並顯示「開啟」操作。 — 從「開始」功能表搜尋「事件檢視器」以開啟內建日誌檢視器。

開啟「開始」功能表，輸入「事件檢視器」，然後按 Enter 鍵。在左側窗格中，展開「Windows 日誌」，然後選擇「系統」。

開啟事件檢視器，進入 Windows 日誌，選擇系統日誌，並顯示啟動和關閉條目。 — 系統日誌是此檢視中使用的啟動和關閉記錄的來源。

右鍵點選「自訂檢視」，然後選擇「建立自訂檢視」。如果事件檢視器的「動作」窗格中提供了「建立自訂檢視」指令，您也可以使用該指令。
在「已記錄日誌」功能表中，選擇「任何時間」以包含所有保留的事件，或選擇較短的時間段或自訂範圍。在「按日誌」下，選擇「Windows 日誌」，然後選擇「系統」。

開啟「已登入」功能表並選取「自訂範圍」的「自訂檢視」對話方塊。 — 選擇時間範圍以限制檢視範圍，或選擇「任何時間」以包含所有保留記錄。

在事件 ID 欄位中，輸入12,13,6005,6006,6008,1074。請勿選取事件層級複選框，以免按嚴重性縮小篩選範圍。除非您的報表需要特定帳戶，否則請將「使用者」設定保留為預設值，以包含所有使用者。按一下“確定”。

建立自訂檢視篩選器，設定為 Windows 日誌和系統，事件 ID 為 12、13、6005、6006、6008 和 1074。 — 將事件 ID 新增為逗號分隔的列表，除非需要更具體的報告，否則請保持其他篩選條件較寬泛。

給視圖一個清晰的名稱，例如「啟動和關閉」，也可以選擇新增描述。再次按一下「確定」。儲存的視圖將顯示在「自訂視圖」下。

儲存自訂視圖對話框，並將“啟動”和“關閉”作為視圖名稱輸入。 — 為篩選器命名，以便可以輕鬆地從自訂視圖重新開啟。

查看時間戳並調查缺失的條目

選擇已儲存的視圖，並查看「日期和時間」、「來源」和「事件 ID」欄位。按時間排序以建立序列。雙擊條目以開啟其屬性並閱讀完整訊息；例如，核心-常規事件 12 描述了作業系統啟動。將來源和訊息與事件 ID 進行比較，而不是假設每個具有匹配編號的結果都表示相同的含義。

已儲存的啟動和關閉自訂視圖，顯示日期和時間、來源和事件 ID 列。 — 讀取篩選結果時，請同時檢查事件 ID 及其來源。

核心常規事件 ID 12 的事件屬性窗口，顯示作業系統啟動訊息和記錄時間。 — 事件屬性顯示所選記錄的提供者、ID、記錄時間和完整訊息。

如果您看到事件 6008 或 41，請查看附近的條目，例如 1074、13 和 1001，以獲取有關下次啟動或可能發生的崩潰的更多資訊。缺少事件 6006 並不能證明 Windows 從未關閉；中斷的關機、重新啟動方式或系統日誌被覆蓋都可能改變剩餘的可用資訊。 Windows 僅在日誌達到其配置的大小和保留策略之前保留事件，因此較早的記錄可能不再存在。

將事件記錄匯出為 CSV 或 XML 格式

選取自訂檢視後，在「動作」窗格中選擇「將自訂檢視中的所有事件儲存為」（或從檢視的上下文功能表中選取對應的指令）。選擇CSV 格式儲存為電子表格，選擇XML 格式儲存為結構化事件數據，或選擇EVTX格式儲存為原始事件日誌檔案以供日後檢視。將檔案儲存為描述性名稱，例如startup-shutdown.csv。

在「自訂檢視」對話方塊中，選擇 CSV 作為檔案類型，並將所有事件儲存為。 — 當您需要在電子表格中對事件記錄進行排序或繪製圖表時，請選擇 CSV 格式。

還有一個名稱類似的指令叫做「匯出自訂視圖」。它會將篩選器定義儲存為 XML 文件，以便將該視圖匯入其他位置；但它不會匯出符合的事件記錄。若要匯出記錄，請使用「將自訂檢視中的所有事件儲存為」。在 Excel 或其他電子表格中，請在排序或計算時間間隔之前，確認日期和時間列已正確匯入為日期格式。