win11无人操作时自动关机应优先排查事件id 1074，它明确记录触发关机的进程、用户、原因代码及类型；通过事件查看器筛选或powershell命令可快速定位，并结合可靠性监视器交叉验证是否为程序主动关机。
当Win11电脑在无人操作时突然关机，系统通常会在日志中留下由用户或程序发起关机的明确记录，事件ID 1074就是最直接的线索——它会告诉你谁、用什么进程、以何种原因代码触发了关机，而不是笼统地报“意外断电”。
用事件查看器定位1074关机记录
这一步操作起来很简单，直接按快捷键就能打开核心工具，无需安装任何第三方软件。
按下 Win + R 打开运行框，输入 eventvwr.msc 并回车，事件查看器即刻启动。
在左侧导航栏中，依次展开 Windows 日志 → 系统，确保你点中的是“系统”日志项，不是“应用程序”或“安全”。
右侧操作面板里点击 筛选当前日志，这是关键入口，别误点成“创建自定义视图”。
在弹出窗口的“事件ID”文本框中，只输入1074，其他字段全部清空或保持默认，然后点确定。如果混入41或6008，反而会稀释目标记录，干扰判断。
列表刷新后，所有条目都对应一次人为/程序发起的关机或重启。双击任意一条，重点看“常规”选项卡里的描述，以及“详细信息”里的Message字段——这里会明文写出进程名（如winlogon.exe、svchost.exe）、用户名（如NT AUTHORITY\SYSTEM）、原因代码（如0x500ff）和关机类型（关闭电源/重启）。
用PowerShell快速提取带时间排序的1074事件
图形界面翻页慢、易漏掉临近时间的多条记录，而PowerShell能一次性拉取全部1074事件并按发生时间从新到旧排列，特别适合排查连续自动关机场景。
右键“开始”按钮 → 选择“终端（管理员）”，必须以管理员身份运行，否则Get-WinEvent可能无权限读取完整日志。
粘贴执行以下命令：
Get-WinEvent -LogName System -FilterXPath "*[System[(EventID=1074)]]" | Select-Object TimeCreated, ProviderName, Id, Message | Sort-Object TimeCreated -Descending | Format-Table -AutoSize
执行后立刻输出表格，TimeCreated列精确到秒，Message列末尾会包含类似“原因代码: 0x500ff”的原始字符串——【原因代码是定位源头的核心依据，务必逐条比对】。
若某条Message中出现“C:\WINDOWS\system32\winlogon.exe”且原因代码为0x500ff，基本可锁定是组策略或计划任务触发的强制关机；若看到“explorer.exe”或第三方软件路径，则需检查其后台服务或更新行为。
交叉验证：通过可靠性监视器确认1074发生时刻
可靠性监视器不依赖事件查看器服务是否启用，它从WMI底层采集摘要数据，可作为独立佐证，避免因日志服务被禁用导致1074缺失。
第一步：按Win + R，输入 perfmon /rel 回车，直接打开可靠性监视器。
第二步：在顶部时间轴上，拖动滑块到最近一次自动关机发生的日期，观察当天柱状图是否出现红色“关机”标记。
第三步：点击该红色标记，下方详情区域会显示“已关闭计算机”，并列出关联的事件——注意看“活动”列是否明确写着“关机”，且“附加信息”里是否提及“事件ID 1074”。如果此处没显示1074，说明关机并非由用户/程序主动发起，应转向排查ID 41或6008。
这一步不能替代事件查看器，但能快速排除日志服务异常导致的记录丢失问题。
