Полный гайд: как найти и проанализировать сессии включения и выключения компьютера

Многие пользователи сталкиваются с ситуацией, когда компьютер ведет себя непредсказуемо: внезапно перезагружается, долго включается или просто выключается без видимых причин. В таких случаях стандартный визуальный осмотр не помогает, и необходимо заглянуть «под капот» операционной системы, чтобы увидеть точное время и причину последнего запуска или завершения работы. Операционная система Windows автоматически регистрирует каждое событие, связанное с изменением состояния питания, создавая детальный архив действий.

Анализ этих записей позволяет не только узнать точное время включения, но и выявить скрытые сбои, проблемы с драйверами или действия вредоносного ПО, которое могло инициировать перезагрузку. Мы рассмотрим несколько надежных методов получения этой информации, от использования встроенных графических утилит до работы с консольными командами, что позволит вам быстро найти ответы на волнующие вопросы.

Использование «Журнала событий» для детального анализа

Самым полным и информативным инструментом для отслеживания активности системы является стандартная утилита Журнал событий (Event Viewer). Она собирает данные от всех компонентов операционной системы, включая ядро, службы безопасности и приложения. Именно здесь хранится история каждого запуска системы и корректного завершения работы.

Чтобы открыть этот инструмент, нажмите комбинацию клавиш Win + R, введите команду eventvwr.msc и нажмите Enter. В левой панели навигации вам нужно последовательно раскрыть ветку Журналы Windows, а затем выбрать раздел Система. Это основной репозиторий, где содержатся технические записи о работе оборудования и драйверов.

В центральной части окна вы увидите длинный список событий. Для удобства поиска необходимо отфильтровать их, так как общее количество записей может исчисляться тысячами. Нажмите правой кнопкой мыши на раздел Система и выберите пункт Фильтр текущего журнала. В появившемся окне в поле Идентификаторы событий введите следующие коды, разделенные запятой:

• 🔍 6005 — означает начало работы службы событий (фактическое включение ПК);
• 🔍 6006 — означает остановку службы событий (корректное выключение);
• 🔍 6008 — указывает на то, что предыдущее завершение работы было неожиданным (сбой, обрыв питания).

После применения фильтра вы получите чистый список только тех записей, которые нас интересуют. Кликнув дважды по любой строке, вы увидите подробное описание, включая точную дату и время события. Обратите внимание на поле Источник, который в данном случае будет EventLog.

⚠️ Внимание: Если вы видите событие с кодом 6008, это критический индикатор. Он сигнализирует о том, что система не успела корректно завершить работу, что часто происходит при внезапном отключении электричества, зависании «синего экрана смерти» (BSOD) или нажатии кнопки Reset на корпусе.

Иногда может потребоваться найти информацию о спящем режиме или гибернации. Для этого в фильтре можно добавить идентификаторы событий 42 (переход в спящий режим) и 1 (пробуждение из спящего режима) в разделе Kernel-Power. Это поможет отследить не только полные циклы включения, но и кратковременные паузы в работе устройства.

Быстрый доступ через командную строку и PowerShell

Для тех, кто предпочитает работать с текстовыми командами или нуждается в быстром выводе данных без открытия графических интерфейсов, идеально подходят консольные утилиты. Использование PowerShell или cmd позволяет мгновенно получить список последних перезагрузок и включений в удобном табличном формате.

Запустите PowerShell от имени администратора и введите следующую команду, которая запросит события из журнала безопасности, связанные с входом в систему. Это часто используется для отслеживания времени, когда пользователь фактически начал работать за компьютером:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Select-Object -First 10 TimeCreated, Message

Однако, для отслеживания именно включений и выключений компьютера (независимо от того, кто за ним работал), лучше использовать утилиту wevtutil или специализированные команды PowerShell, фильтрующие журнал System. Более простой и наглядный вариант — использовать команду, которая извлекает время последнего запуска:

Get-EventLog -LogName System -InstanceId 6005 | Select-Object -First 1 TimeGenerated

Эта команда вернет точное время последнего включения. Если вам нужен список всех последних событий, можно убрать параметр -First 1 и добавить -Newest 10, чтобы получить историю последних десяти запусков. Такой подход экономит время и позволяет быстро сформировать отчет о работе системы.

• 💻 PowerShell — наиболее мощный инструмент, позволяющий экспортировать данные в CSV или JSON для дальнейшего анализа;
• 💻 cmd — подходит для простых запросов, если под рукой нет PowerShell;
• 💻 wevtutil — утилита командной строки для управления журналами событий.

⚠️ Внимание: При использовании командной строки убедитесь, что вы запускаете её с правами администратора. Без повышенных привилегий доступ к некоторым системным журналам может быть ограничен, и вы получите ошибку «Отказано в доступе».

Анализ времени загрузки и спящего режима

Часто пользователей интересует не просто факт включения, а то, сколько времени занимает загрузка системы. Windows хранит эти данные в тех же журналах, но для их извлечения требуется немного другая логика фильтрации. Система рассчитывает время загрузки, сравнивая момент инициализации ядра и момент полной готовности пользовательского интерфейса.

Чтобы узнать время загрузки, можно воспользоваться командой, которая фильтрует события с кодом 10016 или анализирует разницу между событиями запуска и готовности. Однако самый простой способ — использовать встроенный инструмент диагностики производительности, который доступен через perfmon.

Введите в поиске perfmon /report и подождите несколько секунд, пока система сформирует отчет. В разделе System Health найдите подраздел Boot Time. Там будет указано точное время, которое потребовалось компьютеру для запуска. Это полезно для диагностики медленной работы при включении.

• 📊 perfmon — утилита мониторинга производительности, дающая детальные графики;
• 📊 Boot Time — параметр, показывающий длительность загрузки;
• 📊 System Health — раздел отчета, агрегирующий данные о здоровье системы.

Также важно отслеживать переходы в спящий режим. Если компьютер часто уходит в сон без вашего ведома, это может указывать на настройку таймеров сна или активность программ, которые «будят» систему. В журнале событий ищите источник Power-Troubleshooter или события с кодом 1 и 2 в логе Power.

⚠️ Внимание: Если время загрузки системы превышает 1 минуту на SSD-диске, это повод для беспокойства. Такая задержка может свидетельствовать о проблемах с драйверами, перегрузке автозагрузки или деградации самого накопителя.

Идентификация причин неожиданных выключений

Самая сложная задача — понять, почему компьютер выключился сам по себе. Если в журнале вы видите событие 41 (Kernel-Power) с пометкой «Система была перезагружена, не завершив работу корректно», это означает, что ядро системы не получило сигнал на завершение работы. Это может быть следствием сбоя питания, перегрева процессора или критической ошибки драйвера.

Для глубокого анализа таких случаев необходимо смотреть на события, предшествующие сбоям. Часто за внезапным выключением следуют предупреждения о перегреве, ошибках диска или сбоях питания в блоке WHEA-Logger. Игнорирование этих предупреждений может привести к потере данных или поломке железа.

Ниже приведена таблица основных кодов событий, которые помогут вам быстрее сориентироваться в причинах сбоев:

Код события	Источник	Значение	Действие
6005	EventLog	Запуск службы событий (Включение)	Фиксация времени старта
6006	EventLog	Остановка службы событий (Выключение)	Фиксация корректного завершения
6008	EventLog	Неожиданное завершение работы	Проверка питания и температур
41	Kernel-Power	Система перезагружена без завершения	Анализ сбоев оборудования
1001	Application Hang	Приложение зависло	Обновление драйверов или ПО

Особое внимание стоит уделить событию 41, так как оно чаще всего встречается при сбоях. Если оно сопровождается другими ошибками в моменте сбоя, это может указывать на конкретный драйвер или службу, вызвавшую проблему. В таких случаях полезно включить отладку ядра, чтобы получить дампы памяти (Memory Dump) для дальнейшего анализа.

Сторонние утилиты для упрощения мониторинга

Несмотря на мощь встроенных средств Windows, чтение журналов событий может показаться сложным для новичков. В таких случаях на помощь приходят специализированные программы, которые агрегируют данные из журналов и представляют их в виде понятных графиков и списков. Такие инструменты экономят время и упрощают процесс диагностики.

Одной из самых популярных утилит является WhoCrashed, которая анализирует дампы памяти и объясняет причины сбоев простым языком. Также отлично себя зарекомендовала программа BlueScreenView, позволяющая визуализировать ошибки ядра. Для отслеживания истории включений и выключений отлично подходит TurnedOffTimes от NirSoft.

Эти программы не требуют сложной установки и часто работают в портативном режиме. Они автоматически сканируют журналы и выводят список всех сессий с указанием времени включения, выключения, простоя и причины завершения работы. Это особенно удобно для системных администраторов, ведущих учет множества компьютеров.

• 🛠 NirSoft Tools — набор утилит от известного разработчика для глубокого анализа системы;
• 🛠 WhoCrashed — специализированный инструмент для анализа сбоев ядра;
• 🛠 BlueScreenView — визуализатор дампов памяти для поиска причин BSOD.

Почему стоит использовать сторонние утилиты?

Встроенные средства Windows требуют знания кодов событий и структуры журналов. Сторонние программы берут на себя фильтрацию и интерпретацию, предоставляя готовые отчеты в читаемом виде, что снижает вероятность ошибки при диагностике.

Выбор инструмента зависит от ваших навыков и целей. Если вам нужно просто узнать время последнего включения, достаточно командной строки. Если же вы проводите комплексную диагностику стабильности системы, использование специализированного софта значительно упростит задачу и ускорит поиск проблем.

Таблица кодов событий для быстрой справки

Для удобства системных администраторов и продвинутых пользователей ниже представлена сводная таблица наиболее часто встречающихся кодов событий, связанных с питанием и запуском системы. Знание этих кодов позволит вам мгновенно реагировать на изменения в работе компьютера без необходимости гуглить каждое событие.

Важно понимать, что одно и то же событие может иметь разные коды в зависимости от версии Windows и контекста. Однако основные идентификаторы, такие как 6005 и 6006, остаются неизменными на протяжении многих лет развития операционной системы. Это обеспечивает стабильность методов диагностики.

Используйте эту таблицу как шпаргалку при анализе журналов. Если вы видите код, который не указан здесь, проверьте описание события в окне свойств, так как оно может содержать специфические детали, важные для вашей конфигурации.

Код	Описание	Тип
1074	Инициировано пользователем или приложением	Информация
1076	Инициировано пользователем после сбоя	Информация
6009	Определение версии Windows при загрузке	Информация
6013	Время работы системы (Uptime)	Информация
7001	Ошибка службы при запуске	Ошибка

Регулярный мониторинг этих событий позволяет выявлять проблемы на ранней стадии. Например, частые появления кода 1074 с указанием неизвестного процесса могут сигнализировать о фоновом обновлении или работе вредоносного ПО, которое принудительно перезагружает систему.

Заключение и рекомендации по безопасности логов

Анализ истории включений и выключений — это фундаментальный навык для любого, кто хочет поддерживать свой компьютер в рабочем состоянии. Системные логи хранят огромный объем информации, которая помогает не только устранять неполадки, но и отслеживать активность пользователей в корпоративной среде.

Однако важно помнить, что эти данные могут быть изменены. Злоумышленники или неопытные пользователи могут очистить журналы событий, чтобы скрыть следы своих действий. Поэтому в критически важных системах рекомендуется настроить автоматическую выгрузку логов на внешний сервер или в облачное хранилище.

Для большинства домашних пользователей достаточно регулярно проверять основные события через Журнал событий или использовать простые консольные команды. Это поможет поддерживать стабильность системы и быстро реагировать на любые аномалии в работе оборудования.

⚠️ Внимание: Очищайте журналы событий только в том случае, если вы уверены в их бесполезности или если они занимают слишком много места на диске. Перед очисткой рекомендуется сделать резервную копию важных записей, так как восстановить удаленные данные будет невозможно.

Помните, что профилактика лучше лечения. Регулярный мониторинг времени работы системы и анализ причин выключений помогут предотвратить серьезные сбои и продлить жизнь вашему компьютеру. Не игнорируйте предупреждения системы и всегда уделяйте внимание деталям в журналах событий.

Часто задаваемые вопросы

Как узнать, кто включил компьютер, если я не нажимал кнопку?

Если компьютер включился автоматически, проверьте события с кодом 41 или 6005. В свойствах события может быть указан источник, например, таймер в BIOS, устройство USB, которое «разбудило» систему, или планировщик задач Windows. Также проверьте настройки электропитания в разделе «Дополнительные параметры».

Можно ли восстановить удаленные записи о выключении?

К сожалению, стандартными средствами Windows восстановить удаленные записи из журнала событий невозможно. После очистки журнала данные безвозвратно удаляются из текущего буфера, если только не была настроена архивация логов на другой носитель или сервер.

Что означает событие 6006 и чем оно отличается от 6008?

Событие 6006 означает, что служба событий была остановлена корректно, то есть компьютер выключили через меню «Пуск» или команду выключения. Событие 6008 указывает на то, что предыдущее завершение работы было неожиданным, что чаще всего связано с сбоем питания или зависанием системы.

Как часто нужно проверять логи включений?

Для домашнего использования достаточно проверять логи при возникновении проблем с производительностью или нестабильной работе. В корпоративной среде мониторинг может быть непрерывным с помощью систем SIEM, которые автоматически оповещают администраторов о подозрительных событиях.

Почему в журнале нет записей о выключении?

Если в журнале нет записей о выключении, но есть записи о включении, это может означать, что система была выключена принудительно (удержанием кнопки питания) или произошел критический сбой, не позволивший службе событий записать событие завершения работы. Также возможно, что журнал был очищен.