Windows 11自动关机日志可通过事件查看器（筛选ID 41/6008/1074）、PowerShell命令、可靠性监视器、应用程序日志及BIOS时间校准五种方式定位与分析。
如果您发现Windows 11设备出现非预期的自动关机行为，系统通常会在日志中留下关键线索。以下是定位和提取这些关机日志的具体步骤：
一、通过事件查看器筛选异常关机事件ID
事件查看器记录所有系统级操作，自动关机若由电源故障、崩溃或强制中断引发，将对应特定事件ID。筛选这些ID可直接聚焦异常记录。
1、按下Win + R组合键打开“运行”对话框，输入eventvwr.msc后按回车。
2、在左侧导航栏中，依次展开Windows 日志 → 系统。
3、在右侧“操作”面板中，点击筛选当前日志。
4、在弹出窗口的“事件ID”文本框中，输入以下ID并用英文逗号分隔：41,6008,1074。
5、点击“确定”，列表将仅显示三类关键事件：41（Kernel-Power，表示未正常关机后重启）、6008（系统意外关闭）、1074（用户或程序发起的关机/重启）。
6、双击任意一条事件，查看“详细信息”选项卡中的完整描述，重点关注TimeCreated、Message及可能的错误模块名称。
二、使用PowerShell命令快速检索并排序关机日志
PowerShell支持结构化查询与时间倒序排列，可一次性获取最新若干条自动关机相关事件，避免手动翻页遗漏。
1、右键点击“开始”按钮，选择终端（管理员）。
2、粘贴并执行以下命令：
Get-WinEvent -LogName System | Where-Object {$_.Id -eq 41 -or $_.Id -eq 6008 -or $_.Id -eq 1074} | Select-Object TimeCreated, Id, Message | Sort-Object TimeCreated -Descending | Format-Table -AutoSize
3、执行后，屏幕将列出按时间从新到旧排列的所有匹配事件，每行包含发生时间、事件ID及简要说明。
4、如需导出为文本文件供后续分析，追加以下命令：
Out-File "C:\Users\Public\Documents\AutoShutdownLog.txt"
三、借助可靠性监视器图形化定位自动关机时间点
可靠性监视器以时间线形式聚合系统稳定性事件，对非技术用户更直观，能快速识别红叉标记的自动关机时刻及其上下文关联错误。
1、在任务栏搜索框中输入查看可靠性历史记录，并点击顶部匹配结果。
2、等待界面加载完成，主区域显示过去28天的稳定性图表，横轴为日期，纵轴为稳定性指数。
3、查找图表中带有红色叉号（X）的时间节点，该位置即为系统检测到的自动关机或崩溃事件。
4、单击该红叉，下方详情窗格将显示事件类型、发生时间、以及可能的关联问题（如“Windows已从bug检查中重新启动”或“应用程序停止响应”）。
四、检查应用程序日志中第三方软件触发的关机行为
部分安全软件、更新工具或远程管理程序可能在后台调用关机指令，此类操作虽属主动行为，但用户未必知情，其记录通常位于应用程序日志而非系统日志。
1、在已打开的事件查看器中，左侧导航栏切换至Windows 日志 → 应用程序。
2、右侧点击筛选当前日志。
3、在“事件来源”下拉菜单中选择User32或Microsoft-Windows-Kernel-General；同时在“事件ID”框中输入1074。
4、点击“确定”后，检查每条1074事件的“消息”字段，特别关注“进程”和“原因”子项，例如“C:\Program Files\XXX\agent.exe”发起关机，或“Windows Update”执行重启。
五、验证系统时间与BIOS时钟一致性以确保日志时间准确
若系统时间严重偏差，关机日志的时间戳将失去参考价值，可能导致误判事件发生顺序或遗漏真实故障时段。
1、右键点击任务栏右下角时间区域，选择调整日期和时间。
2、确认“设置时间自动”和“设置时区自动”均处于开启状态，并点击立即同步。
3、按下Win + R，输入msinfo32回车，打开系统信息窗口。
4、在右侧找到“BIOS版本/日期”，核对其显示的日期是否与当前系统日期一致；若偏差超过1分钟，需重启进入BIOS界面手动校准硬件时钟。
