windows - 如何获取 Windows 上次重启原因

Question

我想知道提供有关上次 Windows 重启源信息的 Windows API 函数(如果存在)是什么。主要有以下三种可能的原因:

1. 电脑蓝屏死机
2. 用户或程序关闭/重新启动计算机
3. 失去力量

越详细越好。但是，我至少需要知道主要的原因是什么。

我需要支持 Windows Vista 和 Windows 7。

回答:

似乎没有直接的 API 来获取该信息。相反，我们必须收集 Windows 事件日志。系统重启信息位于事件查看器/Windows 日志/系统中。以下是事件 ID 提供的各种信息:

• 6005:Windows 启动
• 6006:Windows 关闭(正常)
• 6008:Windows 关闭(意外)

我还不知道断电和系统崩溃之间的区别，但这是一个好的开始。

Answer 1

这article详细解释了如何查找上次启动/关闭的原因。在我的例子中，这是由于 Windows SCCM 推送更新，即使我在本地禁用了它。访问文章以获取带有图片的完整详细信息。作为引用，以下是从网站复制/粘贴的步骤:

1. Press the Windows + R keys to open the Run dialog, type eventvwr.msc, and press Enter.

2. If prompted by UAC, then click/tap on Yes (Windows 7/8) or Continue (Vista).

3. In the left pane of Event Viewer, double click/tap on Windows Logs to expand it, click on System to select it, then right click onSystem, and click/tap on Filter Current Log.

4. Do either step 5 or 6 below for what shutdown events you would like to see.

5. To see the dates and times of all user shut downs of the computer

   A) In Event sources, click/tap on the drop down arrow and check the USER32 box.

   B) In the All Event IDs field, type 1074, then click/tap on OK.

   C) This will give you a list of power off (shutdown) and restartshutdown type of events at the top of the middle pane in Event Viewer.

   D) You can scroll through these listed events to find the eventswith power off as the shutdown type. You will notice the date andtime, and what user was responsible for shutting down the computer perpower off event listed.

   E) Go to step 7.

6. To see the dates and times of all unexpected shut downs of the computer

   A. In the All Event IDs field type 6008, then click/tap on OK.

   B. This will give you a list of unexpected shutdown events at thetop of the middle pane in Event Viewer. You can scroll through theselisted events to see the date and time of each one.

7. When finished, you can close Event Viewer.

---

其他有用的事件 ID ( source )

<表类="s-表"><头>身份证描述<正文>41系统已重新启动，但没有先完全关闭。1074系统已被用户或进程正常关闭。1076在事件 ID 6008 之后，意味着第一个具有关机权限的用户在意外重启或关机后登录到服务器并指定原因。6005事件日志服务已启动。系统启动。6006事件日志服务已停止。指示正确的系统关闭。6008之前的系统关机是意外的6009系统启动时检测到的操作系统版本。6013以秒为单位的系统正常运行时间。