Windows XP 查看電腦開關機記錄：事件檢視器實用技巧

原理

事件記錄服務隨系統啟動/關閉而啟動/停止，在「系統」日誌留下事件 ID：

• 6005：事件記錄服務啟動 → 代表開機/重開機時間。
• 6006：事件記錄服務停止 → 代表正常關機時間。若某日無 6006，表示非正常關機 (死當、強制斷電)。

操作步驟

1. 控制台 → 管理工具 →「事件檢視器」。
2. 左側選「系統」日誌。
3. 右鍵「系統」→「屬性」→「篩選」頁。
4. 「事件類型」勾選「資訊」；「事件來源」選「EventLog」。
5. 按「確定」，清單即只顯示 6005/6006 事件。
6. 雙擊事件，描述為「事件服務已啟動」= 開機，「事件服務已停止」= 關機。

進階應用

• 匯出日誌為 .evt 或 .txt，長期保存開關機報表。
• 搭配批次檔 + eventquery.vbs 自動化彙總。
• 若需記錄使用者登入/登出，改篩選來源為「Security」，事件 ID 528/538 (需啟用稽核原則)。

善用內建事件檢視器，無需第三方軟體即可完整掌握電腦開關機歷史。