30 марта 2019
При диагностики проблемы, которая вызывает неожиданные перезагрузки или выключения машины под управлением Windows, важно знать, какие события могут быть с этим связаны, коды этих событий (англ. event ID) и как найти соответствующие логи.
В этой заметке я публикую коды событий, связанных с выключением/перезагрузкой системы.
Я также показываю, как просмотреть историю включений/выключений с помощью стандартного приложения «Просмотр событий» (англ. Event Viewer) или из командной строки с помощью PowerShell.
Коды Событий Выключения
Список кодов в журнале событий Windows, связанных с выключением или перезагрузкой системы:
| Event ID | Описание |
|---|---|
| 41 | Система была перезагружена без корректного завершения работы. |
| 1074 | Система была корректного выключена пользователем или процессом. |
| 1076 | Следует за Event ID 6008 и означает, что первый пользователь (с правом выключения системы) подключившийся к серверу после неожиданной перезагрузки или выключения, указал причину этого события. |
| 6005 | Запуск «Журнала событий Windows» (англ. Event Log). Указывает на включение системы. |
| 6006 | Остановка «Журнала событий Windows» (англ. Event Log). Указывает на выключение системы. |
| 6008 | Предыдущее выключение системы было неожиданным. |
| 6009 | Версия операционной системы, зафиксированная при загрузке системы. |
| 6013 | Время работы системы (англ. system uptime) в секундах. |
«Просмотр событий» — История Выключений
События связанные с выключениями системы (включая дату и время) могут быть просмотрены с помощью программы «Просмотр событий».
Запустить «Просмотр событий» и найти события связанные с выключениями:
- Нажмите клавишу Win, наберите eventvwr и запустите Просмотр событий
- В панели слева разверните Журналы Windows и перейдите в Система
- Щелкните правой кнопкой мыши на Система и выберите Фильтр текущего журнала...
- Введите следующие коды в поле <Все коды событий> и нажмите OK:41,1074,1076,6005,6006,6008,6009,6013
Логи Выключений в PowerShell
Журналы выключения/перезагрузки в Windows также можно получить из командной строки с помощью команды
Например, чтобы отфильтровать
|
Get-EventLog System -Newest 10000 | Where EventId -in 41,1074,1076,6005,6006,6008,6009,6013 | Format-Table TimeGenerated,EventId,UserName,Message -AutoSize -wrap |
Опубликовано 30.03.2019 от evgeniyalf в категории «Windows
Windows сохраняет информацию о различных системных событиях в системных журналах, с помощью которой можно определить время включения и выключения компьютера. Если вам требуется получить эту информацию, сделать это можно несколькими несложными способами.
В этой инструкции подробно о том, как посмотреть время, когда компьютер включался и когда выключался как средствами системы, так и с помощью сторонних инструментов.
Просмотр событий Windows
Первая возможность — посмотреть соответствующие события вручную, с помощью утилиты «Просмотр событий», встроенной в Windows, для этого достаточно использовать следующие шаги:
- Нажмите клавиши Win+R на клавиатуре (в Windows 11 и Windows 10 можно нажать правой кнопкой мыши по кнопке «Пуск» и выбрать пункт «Выполнить»), введите eventvwr.msc и нажмите Enter.
- В открывшемся окне просмотра событий в панели слева выберите «Журналы Windows» — «Система».
- Используйте сортировку по столбцу «Код события», либо настройте фильтр журнала (в панели справа) с указанием кодов событий 6005 (запуск) и 6006 (остановка), при необходимости — даты и времени события (при клике по заголовку столбца «Дата и время» вы можете отсортировать события по значениям в этом столбце).
- Вы увидите список событий, когда компьютер включался и выключался (есть нюансы, о которых далее).
События с указанными кодами не указывают напрямую на включение компьютера и завершение работы, а записываются в момент запуска и остановки службы журнала событий, но поскольку при штатной работе запуск и остановка происходят при включении и выключении соответственно — эту информацию можно использовать для получения требуемых сведений. Однако, в случае, например, загрузки компьютера с флешки, события записаны не будут.
Некоторые другие коды событий, имеющие отношение к включению, выключению и перезагрузке:
- 41 — перезагрузка или выключение без правильного завершения работы.
- 1074 — при инициации завершения работы или перезагрузки какой-либо программой.
- 6008 — при неправильном выключении компьютера.
Получение информации в командной строке и PowerShell
Информацию о времени событий с кодами 6005 (обычно соответствует времени запуска) и 6006 (завершения работы) можно получить с помощью командной строки или PowerShell.
В первом случае: запустите командную строку от имени администратора, а затем используйте команду
wevtutil qe system "/q:*[System [(EventID=6005)]]" /rd:true /f:text /c:1
Последнее число в команде указывает на то, сколько последних событий с указанным кодом (6005 в примере) следует отобразить. 
В PowerShell от имени администратора можно использовать следующую команду:
Get-EventLog -LogName System |? {$_.EventID -in (6005,6006)} | ft TimeGenerated,EventId,Message -AutoSize -wrap
При выполнении этой команды вы получите список всех событий с указанными кодами, датой и временем. 
Бесплатная утилита TurnedOnTimesView
Если вы предпочитаете использовать простые приложения, показывающие нужные сведения, время включения и выключения компьютера можно посмотреть в с помощью программы TurnedOnTimesView, доступной бесплатно на официальном сайте разработчика.
Достаточно скачать утилиту, запустить её и получить нужную информацию в удобной таблице, где показаны:
- Дата и время включения (Startup Time)
- Дата и время выключения (Shutdown Time)
- Продолжительность работы (Duration)
- Причина выключения
- Тип выключения
И некоторые другие сведения, имеющие отношение к включению ПК и завершению работы.
Программа позволяет получить сведения о включении и выключении не только для локального компьютера, но и для компьютеров в локальной сети — соответствующие настройки можно найти в параметрах программы:
Кстати, у того же разработчика есть ещё одна программа — LastActivityView, которая покажет не только время включения и выключения, но и события, связанные с запуском программ, сбоями, запуском EXE-файлов (с указанием этих файлов), подключением к сети и другие.
Ключевые слова:
#
Узнаем когда включали и выключали компьютер в Windows 10 или Windows 7
Иногда возникают ситуации, когда необходимо узнать кто включал компьютер в отсутствии вас. Например: часто родители хотят уточнить, пользовался ли ребенок компьютером пока находился дома один. И сегодня «Компьютерные хитрости» расскажет как узнать время и дату включения или выключения компьютера.
В операционной системе Windows записываются все включения и выключения компьютера и для того чтобы узнать, нам нужно зайти в журнал событий. Для этого в Windows 10 кликаем меню правой кнопкой мыши и выбираем «Просмотр событий»
Далее в открывшемся окне в левой колонке выбираем «Журналы Windows» и в подпункте переходим в «Система».
И в центральном окошке видим все происходящие действия вашей системы. Ищем включение и выключение компьютера в таблице. В моем случае видно, что компьютер был выключен 24.04.2018 и точное время 16:04:07, а также строчкой выше видно точную дату и время включения ПК.
Мы рассмотрели как в Windows 10 узнать дату и время включения или отключение компьютера.
Чтобы узнать включение и отключение Пк на Windows 7 нам нужно открыть «Панель управления» далее выбрать «Администрирование» и здесь переходим в «Просмотр событий», далее все также как мы описывали на Windows 10.
Когда компьютер или ноутбук долго находится в бездействии, а владелец не может получить доступ к устройству, хозяин наверняка будет думать о том, не пользуется ли его ПК посторонний человек. Определить, так ли это на самом деле, можно, посмотрев последнее время входа в ОС. И на сегодняшний момент известно несколько способов, как посмотреть, когда включался компьютер на операционной системе Windows 10.
Как узнать, когда был включен ПК, с помощью Командной строки
Первый вариант проверки начала работы компьютера подразумевает использование встроенных средств системы, а именно интерфейса Командной строки.
В данном случае предлагается обратиться к следующей инструкции:
- Одновременно нажмите клавиши «Win» + «R».
- Введите запрос «cmd» и нажмите кнопку «ОК»
- Укажите в КС команду «systeminfo».
- Подтвердите ввод запроса нажатием клавиши «Enter».
После выполнения указанных действий на экране компьютера появится информация, содержащая, в числе прочего, время загрузки системы с точностью до секунды. Также здесь представлена дата входа.
Важно. Не путайте время начала работы со временем выхода из гибернации (сна). Предлагаемая информация указывает лишь на то, когда компьютер был включен, а не выведен из спящего режима.
Просмотр в Диспетчере задач
Еще один и, возможно, наиболее простой способ узнать время включения ПК – обратиться к Диспетчеру задач. Правда, в таком случае вы получите информацию о том, сколько часов, минут и секунд компьютер находится в активном состоянии. То есть здесь указывается продолжительность работы устройства, а не время его запуска.
Для получения нужной информации сделайте следующее:
- Одновременно нажмите клавиши «Ctrl» + «Shift» + «Enter» для запуска Диспетчера задач.
- Откройте вкладку «Производительность».
- Внимательно изучите окно активности.
Открывшийся интерфейс расскажет об активности процессора. В частности, здесь указано время работы оборудования компьютера. Исходя из полученной информации, можно сделать вывод, когда именно был запущен ПК. Однако для получения точного результата необходимо произвести математические расчеты, что не всегда бывает удобно.
Через Event Viewer
Операционная система Windows 10 располагает интересным интерфейсом, который получил название «Журнал событий». В него заносится информация, связанная с различными действиями ОС. Разумеется, Event Viewer показывает, когда был включен компьютер. Но, в отличие от предыдущих вариантов, для получения необходимых сведений придется воспользоваться довольно сложной инструкцией, где важно не ошибиться:
- Щелкните правой кнопкой мышки по ярлыку «Мой компьютер».
- Откройте «Управление».
- Из представленных вариантов выберите «Просмотр событий».
- Раскрыв одноименную вкладку в интерфейсе управления ПК, перейдите в «Журналы Windows», а затем – «Система».
- Справа вы увидите колонку «Действия», где нужно кликнуть по элементу «Фильтр текущего журнала».
- В графе «Источники событий» установите значение «Winlogon», отметив его галочкой.
- После выполнения указанных шагов в центральной части «Управления» появится время последних запусков компьютера.
Возможно, у вас не получится узнать историю включения. Как правило, это происходит в той ситуации, когда пользователь не может найти необходимую вкладку с Event Viewer. В таком случае рекомендуется обратиться к помощи поисковой строки, чтобы запустить «Просмотр событий» через нее, а не каким-либо другим способом.
Локальные групповые политики
Хороший способ, с точностью показывающий время последнего входа. Для реализации данного варианта стоит воспользоваться простым алгоритмом:
- Откройте окно «Выполнить» путем нажатия клавиш «Win» + «R».
- Укажите запрос «gpedit.msc», а затем подтвердите ввод.
- Перейдите в директорию, расположенную по пути: «Административные шаблоны/Компоненты Windows/Параметры входа Windows».
- В открывшемся окне дважды кликните по заголовку «Отображать при входе пользователя сведения о предыдущих попытках входа».
- Установите значение «Включено».
- Сохраните изменения.
Теперь необходимо перезагрузить компьютер. После повторного включения на экране появится сообщение со временем последнего входа в систему. Так будет происходить всякий раз, пока пользователь не отключит функцию через Редактор групповых политик.
Реестр
Отличный вариант, использующий встроенные средства операционной системы Windows 10. Если предыдущий способ не сработал, то реестр станет альтернативным методом, который функционирует в 100 % случаев, показывая, когда ПК запускался в последний раз:
- Введите запрос «regedit» через «Окно выполнить».
- Перейдите в директорию, расположенную по пути: «HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Policies\System».
- Находясь в указанной папке, кликните ПКМ.
- Нажмите «Создать», а затем – «Параметр DWORD (32 бита)».
- Присвойте элементу имя «DisplayLastLogonInfo».
- Запустите созданный файл и укажите значение «1».
- Сохраните настройки.
По аналогии с предыдущим вариантом время последнего входа будет отображаться при запуске компьютера. Для отказа от использования функции нужно выставить значение «0».
TurnedOnTimesView
Заключительный способ, позволяющий проверить время последнего запуска ПК, предполагает использование сторонней программы TurnedOnTimesView. Приложение доступно для бесплатного скачивания на официальном сайте разработчика, а после установки владельцу компьютера нужно открыть исполняемый файл и ознакомиться с информацией, показанной на экране.
Даты включений расположены в TurnedOnTimesView в порядке убывания. Последний вход – вверху (имеет желтый значок), а предыдущие включения – ниже (имеют зеленый значок). Помимо времени, приложение показывает продолжительность работы компьютера, исходя из чего можно сделать дополнительные выводы.
Бывают случаи, когда пользователь хочет знать историю запуска и выключения компьютера. В основном системные администраторы должны знать историю для устранения неполадок. Если компьютером пользуются несколько человек, хорошей мерой безопасности может быть проверка времени запуска и выключения ПК, чтобы убедиться, что компьютер используется законно. В этой статье мы обсудим два способа отслеживать время выключения и запуска вашего ПК.
Использование журналов событий для извлечения времени запуска и выключения
Windows Event Viewer — замечательный инструмент, который сохраняет все, что происходит на компьютере. Во время каждого события средство просмотра событий регистрирует запись. Средство просмотра событий обрабатывается службой журнала событий, которую нельзя остановить или отключить вручную, поскольку это основная служба Windows. Средство просмотра событий также регистрирует время запуска и остановки службы журнала событий. Мы можем использовать это время, чтобы понять, когда наш компьютер был запущен или выключен.
События службы журнала событий регистрируются с двумя кодами событий. Идентификатор события 6005 указывает, что служба журнала событий была запущена, а идентификатор события 6009 указывает, что службы журнала событий были остановлены. Давайте рассмотрим весь процесс извлечения этой информации из средства просмотра событий.
1. Откройте средство просмотра событий (нажмите Win + R и введите eventvwr).
2. На левой панели откройте Журналы Windows -> Система.
3. На средней панели вы увидите список событий, произошедших во время работы Windows. Наша задача — увидеть только три события. Давайте сначала отсортируем журнал событий по идентификатору события. Щелкните метку идентификатора события, чтобы отсортировать данные по столбцу идентификатора события.
4. Если ваш журнал событий огромен, сортировка работать не будет. Вы также можете создать фильтр на панели действий справа. Просто нажмите «Фильтровать текущий журнал».
5. Введите 6005, 6006 в поле «Идентификаторы событий», помеченное как . Вы также можете указать период времени в разделе «Зарегистрирован».
- Событие с кодом 6005 будет помечено как «Служба журнала событий была запущена». Это синоним запуска системы.
- Событие с кодом 6006 будет помечено как «Служба журнала событий была остановлена». Это синоним выключения системы.
Если вы хотите дополнительно изучить журнал событий, вы можете просмотреть событие с идентификатором 6013, которое будет отображать время безотказной работы компьютера, а событие с идентификатором 6009 указывает информацию о процессоре, обнаруженную во время загрузки. Событие с кодом 6008 сообщит вам, что система запустилась после того, как она не была выключена должным образом.
Использование TurnedOnTimesView
TurnedOnTimesView — это простой портативный инструмент для анализа журнала событий на предмет времени запуска и выключения. Утилиту можно использовать для просмотра списка времени выключения и запуска локальных компьютеров или любого удаленного компьютера, подключенного к сети. Поскольку это портативный инструмент, вам нужно только разархивировать и запустить файл TurnedOnTimesView.exe. В нем сразу же будет указано время запуска, время выключения, продолжительность безотказной работы между каждым запуском и выключением, причина выключения и код выключения.
Причина выключения обычно связана с машинами Windows Server, где мы должны указать причину, если мы выключаем сервер.
Чтобы просмотреть время запуска и выключения удаленного компьютера, перейдите в «Параметры -> Дополнительные параметры» и выберите «Источник данных как удаленный компьютер». Укажите IP-адрес или имя компьютера в поле Computer Name и нажмите кнопку OK. Теперь в списке отобразятся сведения об удаленном компьютере.
Хотя вы всегда можете использовать средство просмотра событий для подробного анализа времени запуска и выключения, TurnedOnTimesView служит этой цели с очень простым интерфейсом и точными данными. С какой целью вы отслеживаете время запуска и выключения вашего компьютера? Какой метод мониторинга вы предпочитаете?