需借助事件查看器日志查关机事件：一、用事件ID 1074/6005/6006筛选系统日志；二、PowerShell执行Get-WinEvent命令导出关机记录；三、检查Windows Event Log服务状态及System.evtx文件；四、通过gpedit.msc启用“关机系统”审计策略。
、通过gpedit.msc启用“关机系统”审计策略。如果您需要在电脑关机后查看系统关机过程中的相关事件记录，则需借助 Windows 事件查看器中已保存的日志信息。以下是获取关机事件的几种具体方法：
一、使用事件查看器筛选关机事件
Windows 系统会在“系统”日志中记录关机和启动事件，其中事件 ID 1074 表示用户主动发起关机或重启，事件 ID 6005 和 6006 分别标识事件日志服务的启动与关闭，可辅助判断关机时间点。
1、按 Win + R 键打开运行窗口，输入 eventvwr.msc 并回车，启动事件查看器。
2、在左窗格依次展开 Windows 日志 → 系统。
3、在右窗格点击 筛选当前日志。
4、在“事件ID”文本框中输入 1074,6005,6006，用英文逗号分隔，点击确定。
5、在结果列表中查找时间戳接近关机时刻的条目，双击查看详情，确认“任务类别”和“详细信息”字段中的操作者与原因。
二、通过 PowerShell 命令导出关机记录
PowerShell 可直接查询并导出指定事件 ID 的日志条目，支持按时间范围和关键词过滤，适合快速定位多次关机行为。
1、以管理员身份运行 PowerShell。
2、执行以下命令查询最近 7 天内所有关机事件（事件 ID 1074）：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=1074; StartTime=(Get-Date).AddDays(-7)} | Select TimeCreated, Message | Format-List
3、如需将结果保存为文本文件，追加管道命令：
... | Out-File -FilePath "$env:USERPROFILE\Desktop\ShutdownEvents.txt"
三、检查系统日志服务状态及日志文件位置
若事件查看器中缺失关机记录，可能因日志被覆盖、服务未运行或日志文件损坏。需验证日志服务是否启用，并确认日志存储路径是否可读写。
1、在运行窗口中输入 services.msc，回车打开服务管理器。
2、找到 Windows Event Log 服务，确认其“状态”为“正在运行”，“启动类型”为“自动”。
3、右键该服务 → 属性 → “恢复”选项卡，确认第一次失败操作设为“重新启动服务”。
4、系统日志文件默认位于：%SystemRoot%\System32\winevt\Logs\System.evtx，检查该路径下文件修改时间是否与关机时间吻合。
四、启用详细关机审计策略
默认情况下，部分关机动作（如强制断电、蓝屏崩溃）不会生成标准事件 ID。启用关机审计策略后，系统会记录更多上下文信息，包括调用进程与用户会话状态。
1、按 Win + R 输入 gpedit.msc 打开本地组策略编辑器（仅限专业版/企业版）。
2、导航至 计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审计策略 → 关机系统。
3、双击右侧的 关机系统，勾选 配置此策略设置，并启用 成功 和 失败。
4、执行 gpupdate /force 刷新策略，后续关机操作将生成更完整的审计日志条目。
