Windows 10关机类型需通过事件ID 6005/6006/6008交叉比对判定：6006为正常关机，6008为意外关机（如蓝屏或断电），其时间戳实为开机时检测到上次异常而生成；ShutdownTime注册表值仅在正常关机时更新，为空或过期即表明未完成关机流程。
要确认Windows 10上次关机是正常关闭、强制断电，还是因蓝屏/崩溃导致的意外关机，必须结合事件日志中的关键ID与时间序列交叉比对，不能只看单条记录。
用事件查看器定位关机类型
按 Win + R 输入 eventvwr.msc → 回车打开事件查看器 → 左侧依次展开「Windows 日志」→「系统」。
在右侧操作栏点击「筛选当前日志」→ 在「事件ID」框中输入 6005,6006,6008（英文逗号分隔）→ 点击确定。
这三条ID分别代表：【6005=系统启动】、【6006=日志服务正常停止，即正常关机】、【6008=日志服务异常终止，即意外关机】。若某次开机前没有紧邻的6006事件，却存在6008，则基本可判定为非正常关机。
注意：6008事件的时间戳不是“关机时刻”，而是下次开机时系统检测到上一次未完成日志写入而生成的——它本身发生在开机过程中。
用PowerShell快速提取最近关机记录
以管理员身份运行PowerShell，执行以下命令：
wevtutil qe System /q:"*[System[(EventID=6006 or EventID=6008)]]" /f:text /c:10
该命令会倒序列出最近10条关机相关事件，含精确时间、事件ID和描述。重点观察最后两条：如果末尾是6008，且其前一条不是6006（或前一条6006时间远早于本次开机），就说明上次关机异常。
若输出为空，说明系统日志可能被手动清除过，或日志保留策略已自动轮转删除旧条目。
查关机原因的深层线索
方法一：聚焦6008事件详情
在事件查看器中双击任意一条6008事件 → 切换到「详细信息」选项卡 → 拉到底部看「事件数据」区块里的第17个字段（Data[16]）。该值为十六进制数字，对应具体崩溃原因代码（如0x0000009f常见于驱动冲突，0x0000003b多为显卡驱动或内存问题）。
方法二：关联崩溃前的错误事件
回到「系统」日志界面 → 右键6008事件 → 选择「将此事件附加到筛选器中」→ 再点「筛选当前日志」→ 勾选「包括事件前X分钟内的事件」，设为5分钟 → 确定后，立即能看到关机前发生的BSOD、驱动失败、WHEA错误等关键线索。
方法三：检查ShutdownTime注册表值
运行 regedit → 定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Windows → 查看右侧的 ShutdownTime 值（格式为FILETIME）。该值仅在正常关机流程中被更新；若该值为空或远早于实际关机时间，说明系统未走完关机流程——【这是判断是否“真正关机”的硬指标】。
