windows 10 上次关机时间可通过事件id 6006在系统日志中查得：图形界面用事件查看器或计算机管理筛选，powershell执行get-winevent命令，cmd运行wevtutil命令均可快速定位。
如果您想确认 Windows 10 系统上一次关机发生的具体时间，则可通过系统自动记录的事件日志进行追溯。系统在每次正常关机时会写入一条唯一标识的事件，其事件 ID 为 6006，代表“事件日志服务已停止”，即关机完成信号。以下是获取该时间的多种操作路径：
一、通过事件查看器图形界面筛选 6006 事件
该方法使用 Windows 内置图形化工具，无需命令行输入，所有操作均在可视化窗口中完成，适合对系统工具不熟悉的新用户。事件 ID 6006 是系统关机过程结束时触发的标准标识，筛选后可直接查看带精确时间戳的原始记录。
1、按下 Win + R 组合键，打开“运行”对话框。
2、输入 eventvwr.msc 并按回车，启动事件查看器。
3、在左侧控制台树中，依次展开 Windows 日志 → 系统。
4、在右侧操作面板中，点击 筛选当前日志。
5、在弹出窗口的“事件ID”输入框中，输入 6006（仅此一个数字，无需逗号或其它ID）。
6、点击“确定”，列表将仅显示所有关机事件；每条记录的 日期和时间 列即为对应关机发生的精确时刻（格式为年-月-日 时:分:秒）。
二、通过计算机管理界面导航至系统日志并筛选
该路径从桌面图标出发，全程使用右键菜单与层级点击，避免记忆命令或快捷键，适用于偏好传统操作逻辑的用户。底层调用的仍是同一套事件查看器服务，确保日志数据完整性与一致性。
1、在桌面或文件资源管理器中，右键单击 “此电脑” 图标。
2、在弹出菜单中选择 管理，打开“计算机管理”窗口。
3、在左侧树状结构中，依次展开 系统工具 → 事件查看器 → Windows 日志 → 系统。
4、在右侧操作面板中，点击 筛选当前日志。
5、于“事件ID”栏填写 6006，点击“确定”。
6、刷新后的列表中，最新一条 6006 事件的时间戳 即为上次关机时间。
三、使用 PowerShell 命令快速提取最近一条 6006 事件
PowerShell 可直接调用结构化事件对象，支持按时间倒序排序并限制输出数量，能一步定位“最近一次”关机记录，避免手动翻阅列表。该方式返回结果精简明确，且时间字段为原生 DateTime 类型，无解析误差。
1、右键点击开始按钮，选择 终端（管理员） 或 Windows PowerShell（管理员）。
2、输入以下命令并按回车执行：
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6006} -MaxEvents 1 | Select-Object TimeCreated, Id, Message
3、命令执行完成后，终端将立即输出唯一一条记录，其中 TimeCreated 字段即为上次关机的完整时间（含毫秒与本地时区）。
四、使用命令提示符（CMD）配合 wevtutil 提取文本格式 6006 记录
wevtutil 是 Windows 原生命令行日志工具，无需额外安装，输出为纯文本格式，兼容性高，适合需复制粘贴或导入其他分析工具的场景。该命令可强制按时间倒序排列，并仅提取关键字段，便于快速识别。
1、右键开始按钮，选择 命令提示符（管理员） 或 终端（管理员）。
2、输入以下命令并回车：
wevtutil qe System /q:"*[System[(EventID=6006)]]" /rd:true /f:text /c:1
3、输出内容中，“Date:”与“Time:”两行合并即构成上次关机的完整本地时间。
