如何用 PowerShell 指令查看 Win10 系統關機類型（完整關機/快速啟動/休眠）

Win10 預設啟用「快速啟動」（混合關機），導致使用者以為關機實際進入休眠狀態。透過核心事件日誌可精確查詢上一次關機類型。

查詢指令

1. 右鍵「開始」按鈕 → 選擇「Windows PowerShell (系統管理員)」或「終端機 (系統管理員)」。
2. 複製貼上以下指令並按 Enter：

Get-WinEvent -ProviderName Microsoft-Windows-Kernel-Boot -MaxEvents 10 | Where-Object {$_.Id -eq 27} | Select-Object TimeCreated, Message

若為英文版系統，Message 關鍵字不同，改用：

Get-WinEvent -ProviderName Microsoft-Windows-Kernel-Boot -MaxEvents 10 | Where-Object {$_.Message -like "The boot type*"} | Select-Object TimeCreated, Message

結果解讀代碼表

實戰範例

輸出範例：

TimeCreated        Message
-----------        -------
2024/5/20 22:30:15 The boot type was 0x1.
2024/5/19 08:10:02 The boot type was 0x0.

表示最近一次為快速啟動（0x1），再上一次為完整關機（0x0）。

延伸應用

• 驗證「快速啟動」是否真正生效（群組原則/註冊表修改後）。
• 排查「關機後 USB 仍供電、風扇轉動」等異常現象是否為混合關機導致。
• 腳本化稽核企業電腦關機合規性。

提示：Event ID 27 為「開機類型」事件，僅在開機時記錄「上一次如何關機」。若需查詢關機事件本身，可篩選 Microsoft-Windows-Kernel-General 的 Event ID 12/13。

一條指令，精準掌握每一次關機真相，不再被「假關機」騙。