如何获取 Windows 上次重启原因

Question

我想知道提供有关上次 Windows 重新启动源信息的 Windows API 函数（如果存在）是什么。可能的原因主要有以下三个：

1. 计算机因蓝屏崩溃
2. 用户或程序关闭/重新启动计算机
3. 断电

我能得到的详细信息越多越好。不过，我至少需要知道主要是哪个原因。

我需要支持Windows Vista和Windows 7。

答：

似乎没有直接的API来获取该信息。相反，我们必须收集 Windows 事件日志。系统重新启动信息位于事件查看器/Windows 日志/系统中。以下是事件 ID 提供的各种信息：

• 6005：Windows 启动
• 6006：Windows 关闭（正常）
• 6008：Windows 关闭（意外）

我还没有弄清楚断电和系统崩溃之间的区别，但这是一个好的开始。

Answer 1

这篇文章详细解释了如何查找上次启动/关闭的原因。就我而言，这是由于 Windows SCCM 推送更新，即使我在本地禁用了它。请访问该文章以获取带有图片的完整详细信息。作为参考，以下是从网站复制/粘贴的步骤：

1. 按 Windows + R 键打开运行对话框，输入 eventvwr.msc ，然后按Enter。

2. 如果出现 UAC 提示，请单击/点按“是”(Windows 7/8) 或“继续”(Vista)。

3. 在事件查看器的左窗格中，双击/点击Windows日志将其展开，单击系统以展开选择它，然后右键单击
   系统，然后单击/点击过滤当前日志。

4. 执行下面的第 5 步或第 6 步，了解您希望看到的关闭事件。

5. 查看所有用户关闭计算机的日期和时间

   A) 在事件源中，单击/点击下拉箭头并选中USER32框。

   B) 在所有事件 ID 字段中，输入 1074，然后单击/点击确定。

   C) 这将为您提供关闭电源（关机）和重新启动的列表
   事件查看器中间窗格顶部的关闭类型事件。

   D) 您可以滚动浏览这些列出的事件以查找事件
   以 power off 作为关机类型。您会注意到日期和
   时间，以及负责关闭计算机的用户
   列出断电事件。

   E) 转到步骤 7。

6. 查看计算机所有意外关闭的日期和时间

   A.在所有事件 ID 字段中输入 6008，然后单击/点击确定。

   B.这将为您提供意外关闭事件的列表
   事件查看器中的中间窗格顶部。您可以滚动浏览这些
   列出事件以查看每个事件的日期和时间。

7. 完成后，您可以关闭事件查看器。

---

其他有用的事件 ID（来源）

ID	描述
41	系统在未先完全关闭的情况下重新启动。
1074	系统已被用户或进程正常关闭。
1076	跟在事件 ID 6008 之后，表示在意外重启或关闭后第一个具有关闭权限的用户登录到服务器并指定原因。
6005	事件日志服务已启动。表示系统启动。
6006	事件日志服务已停止。指示系统正确关闭。
6008	上次系统意外关闭。
6009	系统启动时检测到的操作系统版本。
6013	系统正常运行时间（以秒为单位）。

Answer 2

查看事件日志 API。情况 a)（蓝屏、用户切断电源线或系统挂起）会导致下次系统正确重新启动时，在“系统”事件日志中留下一条注释（“系统未正确关闭”或类似内容）。您应该能够使用上述 API 以编程方式访问它（老实说，我从未使用过它，但它应该可以工作）。

Answer 3

您可以使用以下 powershell 脚本自动执行过去 5 天的调查：

$today = Get-Date
$startDay = $today.AddDays(-5)
$eventIds=(6005,6006,6008,6009,1074,1076,12,13,43,109)
$systEvents=Get-WinEvent -LogName System 
$rebootEvents=$systEvents| Where-Object {$_.TimeCreated -gt $startDay} | Where-Object {$_.Id -in $eventIds}  
format-table TimeCreated,Id,Message -AutoSize -wrap -InputObject $rebootEvents

Answer 4

有一个简单的方法使用 powershell。

powershell "Get-WinEvent -FilterHashtable @{logname = 'System'; id = 1074, 6005, 6006, 6008} -MaxEvents 6 | Format-Table -wrap"

您也可以设置要显示的最大事件数。