如何查看windows系统的启动和关闭日志？

在我们日常使用电脑的时候，有时会想知道计算机的开机和关机历史，用来检查是否有人未经授权登陆或者是否有被入侵。大多数情况下，系统管理员需要了解经常查看系统日志，以便进行故障排除。如果多人使用电脑，定期检查电脑的启动和关闭日志是一个很好的安全措施，以确保电脑被合法使用。

使用事件查看器

windows自带的事件查看器是一个很好用的工具，可以保存计算机使用过程中发生的各种事件。在每个事件期间，事件查看器都会记录一个条目。事件查看器是Windows的核心服务，所以它无法被手动停止或禁用。事件查看器还记录事件日志服务的启动和关机时间。我们可以利用这些信息来了解我们的计算机是什么时候被哪些用户启动或关闭的。

同时按Win+R组合键，打开运行界面，输入eventvwr或者点击左下角的开始按钮输入eventvwr，打开事件查看器。

在事件查看器的左侧窗口中，点击“Widnows日志”->“系统”。

事件查看器中间窗口中，你可以看到一个在运行Windows时发生的事件列表，里面有很多事件，你可以根据需要查看，本教程中我们只关心三件事。首先用事件标识对事件日志进行排序。单击事件标识标签，根据事件标识列对数据进行排序。

如果您的事件日志很大，那么加载会很长时间，排序也没什么作用。此时需要在右侧的操作窗口中创建一个过滤器。点击“筛选当前日志”。

在标记为<所有事件标识>的事件标识字段中键入6005、6006。您也可以在记录下指定时间段。

事件标识6005代表系统启动。事件标识6006代表系统关闭。如果您想进一步调查事件日志，可以查看事件标识6013，该标识显示计算机的运行时间，事件标识6009显示检测到的处理器信息。事件标识6008显示未正确关机后的启动事件。