| 关键 ID | 1074 计划关机/重启（含发起进程与用户）、6005 事件日志启动、6006 日志停止（干净）、6008 意外关机、41 内核电源（未干净关闭） |
|---|---|
| 查询 | System 通道按时间窗过滤这些 Id 拼时间线 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074,6005,6006,6008,41; StartTime=(Get-Date).AddDays(-3)} | Sort-Object TimeCreated | Format-Table TimeCreated, Id, ProviderName, @{n='Msg';e={($_.Message -split "`n")[0]}} -AutoSize1074 里会写“进程/用户发起”：Windows Update、管理员命令、备份软件都常见，先看发起者再下结论。