在 Windows 11 的「事件查看器 → Windows 日志 → 系统」里看开关机，核心不是只看一个事件，而是按“开机 / 正常关机 / 主动重启 / 意外断电”分别筛不同事件 ID。下面把来源、任务类别、含义一次列清。

一、打开路径

  • Win+R → 输 eventvwr.msc 回车
  • 左侧：Windows 日志 → 系统
  • 右侧：筛选当前日志 → “事件 ID”填
    6005,6006,6008,1074,41,12,13,1
    （只看基础开关机可缩成 6005,6006,6008,1074；查意外重启加 41；查睡眠唤醒加 Power-Troubleshooter 的 1 或 42）
  • 确定后按时间排序，双击某条看“常规/详细信息”

二、系统日志里各开关机事件对照

事件ID 来源（Provider） 任务类别常见显示 含义 怎么用
6005 EventLog 无（或“无类别”） 事件日志服务启动 近似“开机”标记
6006 EventLog 无 事件日志服务停止 正常关机标记
6008 EventLog 无 上一次系统意外关闭 非正常断电/强关/崩溃，会带“上次关机时间”
1074 User32 无/“无”；属性里看关闭类型 某用户/进程/更新发起关机或重启 看谁点的、原因（如“安装更新后重启”）
41 Microsoft-Windows-Kernel-Power 常显示 (63)（不同语言包会翻译） 系统未正常关机就重启 断电、死机、蓝屏、长按电源；严重级别
12 Microsoft-Windows-Kernel-General 启动相关（中文常“无”或启动类） 操作系统启动 另一个开机确认点
13 Microsoft-Windows-Kernel-General 关闭相关 操作系统正在关闭 正常关闭过程
1 Microsoft-Windows-Power-Troubleshooter 电源状态/恢复唤醒类 从睡眠/休眠唤醒、电源状态变更 查“合盖再开”“自动睡眠后唤醒”用
42 Kernel-Power / Power-Troubleshooter（视版本） 睡眠/休眠进入或唤醒 睡眠、休眠转换 不想把睡眠当关机时查

说明：事件查看器列表里的“来源”列很准；但“任务类别”这一列很多 EventLog 事件就是“无”，Kernel-Power 41 常见是数字任务号如 63，不代表“没分类”，只是微软内部任务号。真要判定性质看“来源+事件ID+描述”比只看任务类别更可靠。

三、快速判断逻辑

  • 正常开机：有 6005（或 Kernel-General 12），之前若正常关机应有 6006/13
  • 正常关机：6006 +（若有人点关机）附近 1074；若启用完全关机流程还会见 13
  • 主动重启/更新重启：1074，进程常是 svchost、explorer、WindowsUpdate；随后 6006/13 再 6005
  • 意外断电/死机：下次启动出现 41（Kernel-Power，关键），有时补 6008（EventLog，错误）；若蓝屏还会伴随 BugCheck/1001
  • 睡眠不是关机：只看到 Power-Troubleshooter 1/42 或 Kernel-Power 睡眠事件，没有 6006/6005，不算开关机

四、筛选小技巧

  • 只查某段时间：筛选窗口“记录时间”选自定义范围
  • 按来源筛：筛选里“事件来源”可勾 EventLog、User32、Microsoft-Windows-Kernel-Power、Microsoft-Windows-Kernel-General、Microsoft-Windows-Power-Troubleshooter
  • 存成常用视图：系统节点右键 → 创建自定义视图 → 填上面 ID → 命名“开关机记录”，以后一点就出
  • PowerShell 快速导：
    1. Get-WinEvent -LogName System | Where-Object {$_.Id -in 6005,6006,6008,1074,41,12,13} |
    2.   Select TimeCreated,ProviderName,Id,Message | Sort TimeCreated -Descending
  • 只看本次开机时间：CMD 跑 systeminfo | find "系统启动时间"，或 PowerShell Get-CimInstance Win32_OperatingSystem | Select LastBootUpTime

linux 开机时间、开机时长：

  1. uptime

五、一个容易踩的坑

Win11 默认“快速启动”开启时，点“关机”实际会做类似休眠的电源动作，系统日志里不一定像纯关机那样规整出现 6006；想严格审计开关机，可临时关掉快速启动（控制面板→电源选项→选择电源按钮功能→关闭“启用快速启动”），再看 6006/6005 会更干净。