Windows XP 查看電腦開關機記錄：事件檢視器 6005/6006 事件 ID 完整教學

想知道電腦何時開機、何時關機、是否正常關機？XP 事件檢視器記錄系統服務啟動/停止事件，透過事件 ID 6005 (服務啟動 = 開機) 與 6006 (服務停止 = 關機) 即可完整追蹤。本文圖文詳解篩選步驟。

核心事件 ID

• 6005 — 事件記錄服務已啟動： 代表系統開機或重新開機時間點。
• 6006 — 事件記錄服務已停止： 代表系統正常關機時間點。
  若某日無 6006 事件，表示當天非正常關機（強制斷電、死機、長按電源鍵）。

查看步驟

1. 控制台 → 管理工具 → 事件檢視器。
2. 左側選「系統」日誌。
3. 右鍵「系統」→ 「內容」→ 「篩選」分頁。
4. 「事件類型」勾選「資訊」；「事件來源」選「EventLog」。
5. 確定 → 清單僅顯示 6005/6006 等關鍵事件。
6. 雙擊單筆事件：「事件服務已啟動」= 開機；「事件服務已停止」= 關機。

應用場景

• 稽核員工電腦使用時間。
• 偵測非正常關機頻率，排查硬體/軟體穩定性。
• 配合安全性稽核，追蹤未授權開機操作。

善用內建稽核功能，無需第三方軟體即可掌握電腦開關機全紀錄。