Come scoprire se Windows funzionava in un determinato momento?

16

Su Windows (7/8/10) c'è comunque modo di scoprire se il computer era in esecuzione in un determinato momento? (ad es. ieri sera alle 22:00 se il computer era in esecuzione o spento) grazie

— ePezhman
fonte

Il registro eventi di Windows potrebbe / dovrebbe contenere eventi se la macchina era in esecuzione. Non sarà perfetto.

— Seth,

21

A tale scopo è possibile utilizzare il Visualizzatore eventi di Windows .

Per avviare il Visualizzatore eventi in Windows 7:

Fai clic sul pulsante Start
Fai clic su Pannello di controllo
Fare clic su Sistema e manutenzione
Fai clic su Strumenti di amministrazione
Fare doppio clic su Visualizzatore eventi

In Windows 8 e 10 è possibile eseguire il Visualizzatore eventi con il collegamento Windows Key+ X+ V. Puoi anche aprirlo tramite il menu Esegui. Vale a dire, premere Windows Key+ Rper aprire la finestra di dialogo Esegui, quindi digitare eventvwr e fare clic su OK.

Dopo aver aperto il Visualizzatore eventi, attenersi alla seguente procedura:

Nel riquadro sinistro vai a Registri di Windows> Sistema
Nel riquadro destro verrà visualizzato un elenco di eventi che si sono verificati durante l'esecuzione di Windows
Fare clic sull'etichetta ID evento per ordinare i dati in base alla colonna ID evento
È possibile che il registro eventi sia estremamente lungo, quindi dovrai creare un filtro.
Dal riquadro Azioni sul lato destro, fai clic su "Filtra registro corrente"
Digita 6005, 6006 nel campo senza etichetta (vedi screenshot sotto):

Clicca OK

Si noti che potrebbero essere necessari alcuni minuti prima che il Visualizzatore eventi mostri i registri filtrati.

In sintesi:

ID evento 6005 significa "Il servizio registro eventi è stato avviato" (ovvero il tempo di avvio).

ID evento 6006 significa "Il servizio registro eventi è stato arrestato" (ovvero tempo di arresto).

Se lo desideri, puoi anche aggiungere l'ID evento 6013 al tuo filtro - questo mostra il tempo di attività del sistema dopo l'avvio.

Infine, se si desidera controllare regolarmente questo, è possibile creare una vista personalizzata per mostrare questo registro filtrato. Le viste personalizzate si trovano nella parte superiore sinistra del riquadro sinistro del Visualizzatore eventi di Windows. Aggiungendolo puoi scegliere di selezionarlo ogni volta che vuoi visualizzare il registro.

— Monomeeth
fonte

6

Si noti che i servizi non si arrestano quando il computer entra in modalità di sospensione, ma l' Kernel-Powerorigine dell'evento menziona tutte le transizioni di stato dell'alimentazione. Per eseguire una query sul registro eventi dalla riga di comando, è possibile utilizzare PowerShell!

Get-WinEvent -LogName System | ? {$_.ProviderName -eq 'Microsoft-Windows-Kernel-Power'}

Sul mio laptop, questo produce un elenco come questo:

TimeCreated                     Id LevelDisplayName Message
-----------                     -- ---------------- -------
10/21/2016 1:20:43 PM          130 Information      Firmware S3 times. SuspendStart: 31954205, SuspendEnd: 31954215
10/21/2016 1:20:43 PM          131 Information      Firmware S3 times. ResumeCount: 11, FullResume: 498, AverageResu...
10/21/2016 1:16:54 PM          107 Information      The system has resumed from sleep.
10/21/2016 1:16:53 PM           42 Information      The system is entering sleep....
10/21/2016 1:06:05 PM          130 Information      Firmware S3 times. SuspendStart: 31305142, SuspendEnd: 31305152
10/21/2016 1:06:05 PM          131 Information      Firmware S3 times. ResumeCount: 10, FullResume: 498, AverageResu...
10/21/2016 12:29:30 PM         107 Information      The system has resumed from sleep.
10/21/2016 12:29:29 PM          42 Information      The system is entering sleep....

Abbastanza stranamente, a volte il tempo sull'evento 107 non è corretto (questo laptop perde brevemente traccia del tempo quando riprende), ma i prossimi eventi "volte S3 del firmware" lo fanno bene.

Naturalmente, se il computer si spegne inaspettatamente, non si riceverà un evento al momento esatto dello spegnimento: il prossimo Kernel-Powersarà quando il sistema si accorgerà che il potere è stato perso. Pertanto, un approccio diverso sarebbe quello di trovare l'evento più recente di qualsiasi tipo registrato prima del tempo in questione.

Get-WinEvent -LogName Application | ? {$_.TimeCreated -le '10/19/2016 12:45 PM'} | select -First 1

Sostituiresti 10/19/2016 12:45 PMcon il tempo che ti interessava. Ho scelto il registro applicazioni per questa query perché di solito è molto attivo. Se l' TimeCreatedevento dell'evento prodotto è più di un'ora o meno prima dell'orario specificato, è probabile che il computer non fosse completamente in esecuzione.

— Ben N
fonte

1