查看Windows Server关机时间，最直接的方法是查系统事件日志中的Event ID 1074和6006，这是系统记录的关机来源和时间，比任何第三方工具都可靠。
事件日志：系统自带的关机记录本
Windows Server从2008开始，每次关机和重启都会在系统日志里留下痕迹，打开事件查看器（Event Viewer），展开“Windows日志”下的“系统”，右侧点击“筛选当前日志”,输入事件ID就能找到对应记录。
| 事件ID | 含义 | |
|---|---|---|
| 1074 | 正常关机或重启 | 关机原因、关机进程、操作者 |
| 6006 | 事件日志服务停止 | 表明系统正在正常关闭 |
| 6008 | 异常关机后的开机日志 | 记录上次关机时间 |
| 41 | 系统未正常关机就断电 | 内核电源事件，常见于强制断电 |
正常关机时，系统会先记录6006事件，然后关机进程结束。 如果你看到6008事件，说明上一次关机属于非正常流程，打开6008日志，会显示“上一次系统的关闭时间是某年某月某日某时”,这就是断电或死机后强制关机的时间。
业内专家指出，排查服务器异常重启时，先把1074、6006、6008、41这四个ID的事件时间线拉出来对照,就能还原出关机前后的完整脉络。
事件日志看门道：为什么关机时间有多个来源
很多运维同事问过一个让我哭笑不得的问题同一个服务器,为什么事件日志里能看到好几个不同的关机时间？
这是正常的，Windows Server的关机时间记录分散在多个来源：
- 系统事件日志：每次关机的标准记录，最权威
- 应用程序日志：一些服务在关机时记录自己的终止时间
- 安全日志：如果有域策略或审计策略，会记录关机操作者
- 可靠性和性能监视器：用图表方式展示系统事件时间轴
日常排查重点盯系统日志就够了,其他来源主要用来交叉验证。
命令行快速查关机时间：两条命令搞定
如果不想在图形界面里翻事件日志,用命令提示符或PowerShell更高效。
用wevtutil命令提取关机记录
在管理员权限的命令提示符里运行：
wevtutil qe System "/q:[System[(EventID=1074 or EventID=6006 or EventID=6008)]]" /rd:true /c:10 /f:text这条命令会倒序显示最近10条关机相关记录，每一条都带时间戳,按时间排列就能标出所有关机节点。
PowerShell筛选器精准定位
PowerShell的Get-WinEvent功能更灵活,可以直接输出表格：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=1074,6006,6008} -MaxEvents 20 | Format-Table TimeCreated, Id, Message -Wrap输出结果里能看到每一条记录的精确到秒的时间,比图形界面里逐条点开要爽快得多。
对比这两条命令的差异：wevtutil适合快速导出文本存档，PowerShell适合在屏幕上直接交互查看,日常排查用PowerShell更顺手。
服务器托管机房的关机时间记录怎么看
服务器托管在机房的场景下，很多时候物理机被断电重启，操作系统的关机记录反而不完整，这时候要查的就不是服务器本身了,而是机房侧的记录。
带外管理系统的关机记录
大部分机房会给托管服务器配带外管理系统（如iLO、iDRAC、IPMI），这个系统独立于操作系统运行，就算服务器系统崩了，带外管理日志也还活着，登录带外管理界面，找到“事件日志”或“电源日志”，能看到完整的开机、关机、重启、断电时间记录。
机房巡检和门禁记录的配合验证
托管服务器的运维有个常见痛点服务器在机房里被人动过手脚，但系统里看不出明显问题,这时候可以把三类信息放一起比对：
- 带外管理里记录的硬件复位时间
- 系统事件日志里的异常关机时间
- 机房工单系统里的服务器托管人员进出记录
如果系统日志显示异常断电，但带外管理里没有对应用户操作记录，那就要考虑是不是机房侧电力问题，据行业共识，大部分托管机房的电力切换操作都会在工单系统留痕,结合这些记录基本能锁定责任范围。
托管机房怎么查服务器重启原因的真实案例
我之前处理过一个典型场景：客户反馈服务器托管在机房每晚定时重启，但系统里看不到任何关机记录，我们在机房带外管理里翻了电源日志，发现每天晚上凌晨两点有一次硬件复位记录，对照工单系统后发现，机房在那个时段做配电巡检，有一路UPS切换时没有通知运维方，后来机房改了流程,这个问题再没出现过。
判断结论：当Windows系统日志里找不到正常关机记录，同时带外管理显示硬件复位时，多数情况下属于机房基础设施层的问题,不是操作系统层面能控制的。
服务器开关机时间和记录文件的对应关系
除了事件查看器，Windows Server还有几个系统文件会间接记录关机信息。
页面文件和休眠文件修改时间
如果服务器开了休眠功能，C:hiberfil.sys这个文件的最后修改时间会接近休眠时间，不过这玩意儿占用磁盘空间大,服务器上基本没人开。
系统盘的Last Boot Time镜像表
用系统信息工具（msinfo32.exe）打开“系统摘要”，可以看到“系统启动时间”这一项，这个时间是当前这次开机的时间，不是上一次关机时间，但把这个时间往前推，减去运行时长,能倒推上次关机节点。
性能监视器的系统运行时间数据
在任务管理器“性能”标签页，点击“CPU”，可以看到“运行时间”字段。这个字段表示当前系统已运行了多长时间，它记录的是本次开机的持续时长，不是直接显示上次关机时间，通过这个数字反推开机时间点，再结合事件日志,就能把整个时间线补完整。
怎么查看服务器上次关机时间：进阶排查思路
方法能覆盖90%的场景，剩下的10%，通常涉及域控服务器或故障切换集群,这些环境里关机时间可能分散在多台机器上。
域控服务器的关机时间交叉验证
域控服务器出现非正常关机，除了看本机日志，还建议打开“Active Directory站点和服务”，检查域控之间的复制状态，如果复制在关机时刻中断，其他域控会记录“上次成功复制时间”,这个时间点和关机时间存在对应关系。
故障转移集群的关机记录查看
Windows故障转移集群里，要查关机时间不光是看节点本身，还要打开“故障转移群集管理器”，在“节点”标签页查看“最近关机时间”字段，集群里的节点如果有异常关机,这个界面会标记警告状态。
台账管理中的上电时间记录
运维水平成熟的团队通常会维护服务器台账，把每次上电时间、关机时间、维护人、维护内容都登记在案，如果服务器事件日志被清空,台账就成了最后的查询依据。
问答：服务器关机时间相关的几个高频问题
问：服务器被远程关机了，能查到是谁操作的吗？
如果操作者是通过远程桌面登录后正常关机的，查系统日志中的1074事件，在“常规”选项卡里可以找到关机来源和进程，如果操作者是域管理员，安全日志里会留下登录记录，不过这些信息取决于审计策略是否开启,默认情况下安全日志的登录审计是不完整的。
问：机房断电导致服务器关机，Windows日志里能看出来吗？
能，开机会留下6008事件，记录的是异常关机发生的时间点，而且没有1074正常关机记录，这两者结合起来基本能判定为断电关机，如果带外管理里也看不到软件关机指令,那基本可以锁定物理断电。
问：Windows Server有没有自带工具直接生成关机时间报表？
系统自带工具没有专门生成报表的功能，但可以用PowerShell配合Export-Csv命令把筛选出来的关机事件导出成CSV，放进Excel里就能自动生成时间线汇总，实际操作中用wevtutil epl命令也能导出事件日志为evtx文件,事后慢慢分析。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%80%8e%e4%b9%88%e7%9c%8bwinserver%e6%9c%8d%e5%8a%a1%e5%99%a8%e5%85%b3%e6%9c%ba%e6%97%b6%e9%97%b4%ef%bc%9f%ef%bc%8c%e7%94%a8%e4%bb%80%e4%b9%88%e5%91%bd%e4%bb%a4/
