Windows XP 事件檢視器實戰：輕鬆查詢電腦開關機完整記錄

核心原理

Windows XP 的「事件記錄服務」會隨著系統啟動而開始運作，隨著系統關機而停止。這兩個動作分別在「系統記錄」中留下特定事件 ID，成為查詢開關機時間的鐵證：

圖文操作步驟

1. 開啟「控制台」→「系統管理工具」→「事件檢視器」
2. 左側樹狀目錄選擇「系統」
3. 滑鼠右鍵點選「系統」→ 選擇「內容」/「篩選」
4. 在「篩選」分頁設定條件：

5. 點選「確定」，右側即顯示經篩選的開關機事件記錄
6. 雙擊任一事件查看詳細說明：

• 顯示「事件服務已啟動」 → 該時間點為開機/重開機時間
• 顯示「事件服務已停止」 → 該時間點為正常關機時間

進階應用技巧

匯出記錄供長期保存或分析

• 右鍵「系統」記錄 → 「另存為」 → 選擇 .evt、.txt 或 .csv 格式
• .csv 可用 Excel 開啟，利用篩選、樞紐分析開關機模式

搭配事件 ID 6008、6009、6013 獲取更多資訊

命令列快速查詢

開啟 CMD 輸入：

wevtutil qe System /q:"*[System[Provider[@Name='EventLog'] and (EventID=6005 or EventID=6006)]]" /f:text /c:20

即可列出最近 20 筆開關機記錄（需 Vista 以上支援 wevtutil，XP 可使用 eventquery.vbs 腳本）。

實務應用場景

• 資安稽核：驗證伺服器/關鍵工作站是否依規定時間開關機
• 異常排查：發現不明關機時，交叉比對 6008、系統記錄其他錯誤事件、應用程式記錄
• 資產管理：統計電腦實際使用時長、待機時長
• 家長/企業監管：確認使用者實際使用電腦時間

注意事項

• 事件記錄服務若被手動停用或設為手動啟動，將無法記錄開關機事件
• 記錄檔大小有上限（預設 512 KB - 16 MB），舊事件會被覆寫；重要記錄請定期匯出備份
• 時間準確度取決於系統時鐘；若 BIOS 時間錯誤或未同步網路時間，記錄時間將有偏差