การหาเวลาที่ปิด/เปิดเครื่องครั้งล่าสุดเป็นจุดเริ่มต้นสำหรับการแก้ไขปัญหา Windows หลายอย่าง อีกสถานการณ์คือระบบสาธารณะ ด้วย Event Viewer ผู้ดูแลระบบสามารถตรวจสอบการใช้งานที่ไม่ได้รับอนุญาตได้
ไม่ว่าสาเหตุอะไร สามารถหาเวลาที่เปิด/ปิดเครื่องล่าสุดได้จาก Windows โดยตรง ไม่ต้องใช้แอปภายนอก Windows Event Viewer จัดการได้อย่างสมบูรณ์
Windows Event Viewer คืออะไร?
Windows Event Viewer เป็น Microsoft Management Console (MCC) บริการหลักของ Windows ที่ไม่สามารถหยุดหรือปิดใช้งานได้ บันทึกกิจกรรมทุกอย่างที่เกิดขึ้นบนคอมพิวเตอร์
ในแต่ละเหตุการณ์ Event Viewer จะบันทึกข้อมูล รวมถึงเวลาเริ่มและหยุดของ event log service (Windows) ให้วันที่, เวลา, และรายละเอียดผู้ใช้ของทุกกระบวนการปิดเครื่อง
วิธีใช้ Event Viewer
นอกจากบันทึกเวลาเริ่ม/หยุด Windows แล้ว Event Viewer ยังใช้ได้สำหรับ:
- สร้าง Custom views โดยบันทึกตัวกรองเหตุการณ์ที่มีประโยชน์
- ดูเหตุการณ์จาก Event logs ต่างๆ
- สร้างและจัดการ Event subscriptions ต่างๆ
- สร้างและจัดตารางงานให้รันเมื่อถูกทริกเกอร์โดยเหตุการณ์อื่น
ประเภทเหตุการณ์ใน Windows ที่เกี่ยวกับการปิดและรีสตาร์ท
มีเหตุการณ์มากกว่า 4 เหตุการณ์เกี่ยวกับการปิดและรีสตาร์ท Windows 10 จะระบุ 5 เหตุการณ์สำคัญ:
- Event ID 41: Windows รีบูทโดยไม่ได้ปิดเครื่องอย่างสมบูรณ์
- Event ID 1074: บันทึกเมื่อแอปพลิเคชันทำให้ระบบปิด/รีสตาร์ท รวมถึงผู้ใช้ปิด/รีสตาร์ทผ่านเมนู Start หรือกด CTRL+ALT+DEL
- Event ID 6006: Windows ถูกปิดอย่างเหมาะสม
- Event ID 6008: ปิดเครื่องไม่ถูกต้อง/Dirty shutdown แสดงเมื่อปิดเครื่องล่าสุดไม่คาดคิด
วิธีหา Log การปิดเครื่องใน Windows 11/10
มีหลายวิธีหาเหตุการณ์ข้างต้น วิธีดั้งเดิมคือผ่านแอป Event Viewer เอง เหตุการณ์ส่วนใหญ่เข้าถึงได้ด้วย Command Prompt
1] ดูเหตุการณ์ปิด/รีสตาร์ทจาก Event Viewer
เปิด Run พิมพ์ eventvwr.msc กด Ok ใน Event Viewer เลือก Windows Logs > System ด้านซ้าย ด้านขวาคลิก Filter Current Log
พิมพ์ 41,1074,6006,6008 ในกล่องใต้ Includes/Exclude Event IDs... กด Ok Windows จะแสดงเหตุการณ์เกี่ยวกับการปิดเครื่องทั้งหมด
Event Viewer แสดงรายละเอียดทุกการดำเนินการบนระบบ เรียนรู้วิธีดู Log เหตุการณ์เต็มรูปแบบในบทความนี้
2] ดูเวลาปิดเครื่องล่าสุดด้วย Command Prompt
เปิด Command Prompt คัดลอกโค้ดด้านล่างวางในหน้าต่างกด Enter:
wevtutil qe system "/q:*[System [(EventID=1074)]]" /rd:true /f:text /c:1
เพื่อดู timestamp เวลาปิดเครื่องล่าสุดโดยไม่มีรายละเอียดอื่น คัดลอกโค้ดด้านล่างกด Enter:
wevtutil qe system "/q:*[System [(EventID=1074)]]" /rd:true /f:text /c:1 | findstr /i "date"
แม้วิธีนี้ทำงานได้ แต่แนะนำให้ใช้วิธี 1 (Event Viewer) มากกว่า เพราะตรงไปตรงมาและไม่ต้องคัดลอกวางคำสั่ง
หวังว่าบทความนี้จะมีประโยชน์
อ่านเพิ่ม: วิธีหา Windows Downtime, Uptime และ Last Shutdown Time
