Windows 11/10でシャットダウンと起動のログを確認する方法

PCが最後に正常にシャットダウンされた、あるいは起動されたのがいつかを把握することは、多くのWindowsトラブルを解決するための第一歩です。また、不特定多数が使用する共用PCなどでは、管理者がコンピューターの不正利用を監視・確認する手段としても役立ちます。

目的が何であれ、PCの電源が入った時刻やシャットダウンされた時刻は、Windows標準の機能だけで簡単に調べられます。サードパーティ製アプリは不要で、Windowsイベントビューアーだけで完結します。

Windowsイベントビューアーとは?

Windowsイベントビューアーは、Microsoft管理コンソール(MMC)の一部として提供されるWindowsのコアサービスで、停止したり無効化したりすることはできません。PC上で行われるあらゆる操作を記録し続けています。

イベントビューアーは各イベントの発生時にログエントリを書き込みます。さらに、イベントログサービス(Windows)自体の開始・停止時刻も記録するため、シャットダウン処理の日付・時刻・実行ユーザーなどの情報を正確に確認できるのです。

イベントビューアーでできること

Windowsの起動・終了履歴の記録以外にも、イベントビューアーは次のような用途に活用できます。

1. 便利なイベントフィルターを保存して、カスタムビューを作成できる
2. 複数のイベントログにまたがるイベントを一覧表示できる
3. イベントサブスクリプションを作成・管理できる
4. 特定のイベントをトリガーとして実行されるタスクを作成・スケジュールできる

シャットダウン・再起動に関連する主なイベントID

Windows 10のシャットダウンや再起動に関連するイベントは4種類以上ありますが、ここでは特に重要な以下のイベントIDを紹介します。

• イベントID 41:完全なシャットダウンを行わずにWindowsが再起動したことを示します。
• イベントID 1074:アプリケーションが原因でシステムがシャットダウンまたは再起動された際に記録されます。スタートメニューやCtrl+Alt+Delキーによる、ユーザー操作での再起動・シャットダウンもこれに該当します。
• イベントID 6006:Windowsが正常にシャットダウンされたことを示します。
• イベントID 6008:不正な(ダーティな)シャットダウンを示します。直前のシャットダウンが予期せぬものであった場合に記録されます。

Windows 11/10でシャットダウンログを確認する手順

上記のイベントを確認する方法はいくつかあります。定番はイベントビューアーアプリを使う方法で、そのほか多くのイベントはコマンドプロンプトからもアクセス可能です。

方法1:イベントビューアーでシャットダウン・再起動イベントを表示する

ファイル名を指定して実行ダイアログを開き、「eventvwr.msc」と入力してOKをクリックします。イベントビューアーが起動したら、左側のペインでWindowsログ>システムを選択します。続いて右側のペインにある「現在のログをフィルター」をクリックしてください。

「<すべてのイベントID>」欄に「41,1074,6006,6008」と入力し、OKを押します。すると、シャットダウンに関連するすべてのイベントが一覧表示されます。

イベントビューアーには、システム上で実行された各操作の詳細情報が表示されます。ログの見方をマスターすれば、トラブル発生時の原因特定にも大きく役立ちます。

方法2:コマンドプロンプトで最終シャットダウン時刻を確認する

コマンドプロンプトを開き、以下のコードをコピー&ペーストしてEnterキーを押します。

wevtutil qe system "/q:*[System [(EventID=1074)]]" /rd:true /f:text /c:1

詳細情報を省き、最終シャットダウンの日時(タイムスタンプ)だけを表示したい場合は、代わりに以下のコマンドを実行してください。

wevtutil qe system "/q:*[System [(EventID=1074)]]" /rd:true /f:text /c:1 | findstr /i "date"

この方法でも目的は達成できますが、特別な理由がなければ、コピー&ペーストの手間がなく直感的に操作できる方法1(イベントビューアー)の利用をおすすめします。

本記事が皆さんのトラブルシューティングの一助になれば幸いです。

関連記事:Windowsのダウンタイム・アップタイム・最終シャットダウン時刻を調べる方法