什么是Windows关机日志？
Windows关机日志是系统事件日志的一部分，记录了计算机每次关机、重启、休眠等电源状态变化的详细信息。这些日志对于排查系统异常关机、蓝屏死机、计划外重启等问题至关重要。
通过分析关机日志，您可以：
- 确认系统是否正常关机
- 发现异常关机的原因
- 追踪系统崩溃或蓝屏前的事件
- 验证计划任务或远程操作的执行情况
如何查看关机日志？
Windows提供了内置的"事件查看器"工具来查看系统日志。请按以下步骤操作：
- 按下 Win + R 键，打开"运行"对话框
- 输入 eventvwr.msc 并按回车
- 在事件查看器中，展开"Windows 日志"，然后选择"系统"
- 在右侧的"操作"面板中，点击"筛选当前日志..."
- 在"事件ID"框中输入 1074, 6006, 6008（用逗号分隔）
- 点击"确定"，即可看到相关的关机/重启事件
您也可以直接在搜索栏中输入"事件查看器"来打开该工具。
关键事件ID解析
事件ID 1074
表示计划内的关机或重启，通常由用户或程序发起。日志中会包含发起关机的用户账户和程序信息。
事件ID 6006
表示系统已成功关闭。如果看到这个事件，说明系统是正常关机的。
事件ID 6008
表示系统上次异常关闭。这是最重要的异常信号，表明系统可能遭遇了蓝屏、断电或强制关机。
事件ID 41
表示系统在没有先正常关机的情况下重新启动。通常与电源问题或系统崩溃有关。
分析异常关机
当您发现事件ID 6008（异常关机）时，应该：
- 查看该事件发生的时间点
- 在该时间点前后查找其他错误或警告事件
- 特别关注"系统"和"应用程序"日志中的错误事件
- 检查是否有驱动程序错误、硬件故障或软件崩溃的记录
如果频繁出现异常关机，建议：
- 检查电源和电池（笔记本）
- 运行内存诊断工具
- 更新驱动程序，特别是显卡和芯片组驱动
- 执行系统文件检查（sfc /scannow）
使用命令行查看日志
您也可以使用命令提示符快速查看关机事件：
wevtutil qe System /c:10 /f:text /q:"*[System[(EventID=1074 or EventID=6006 or EventID=6008)]]"
此命令将显示最近10条关机相关事件。您可以修改 /c:10 中的数字来调整显示数量。