Windows系统中事件ID 6006标识正常关机，可通过事件查看器、计算机管理、PowerShell命令或SchedLgU.txt文件定位最后一次关机时间，其中PowerShell命令Get-EventLog可直接输出精确时间戳。
如果您想确认电脑最后一次正常关机的具体时间，Windows 系统已将该操作记录在系统日志中，其中事件ID 6006明确标识“事件日志服务已停止”，即代表一次正常关机。以下是通过事件查看器定位该时间的详细步骤：
一、使用事件查看器筛选系统日志
事件查看器是Windows内置的日志管理工具，所有开关机事件均以固定事件ID写入“系统”日志。6006号事件专指系统正常关机，其“日期和时间”字段即为准确的关机时刻。
1、按下Win + R组合键，打开“运行”对话框。
2、输入eventvwr.msc并按回车，启动事件查看器。
3、在左侧导航树中依次展开Windows 日志 → 系统。
4、在右侧操作面板点击筛选当前日志。
5、在“事件ID”输入框中填写6006（仅输入此ID），点击“确定”。
6、筛选结果中每条记录的“日期和时间”列即为对应关机时刻，最新一条即为上次关机时间；双击可查看详细描述，确认“事件日志服务已停止”字样及来源为“EventLog”。
二、通过计算机管理界面访问系统日志
该路径提供图形化入口，避免直接调用命令，适合不熟悉快捷键操作的用户，底层仍调用同一日志源，确保数据一致性。
1、在桌面“此电脑”图标上单击右键，选择“管理”选项。
2、打开“计算机管理”窗口后，在左侧依次展开系统工具 → 事件查看器 → Windows 日志 → 系统。
3、右侧列表加载完成后，点击“筛选当前日志”。
4、在“事件ID”框中输入6006，确认筛选条件。
5、筛选完毕后，日志列表仅显示关机事件，按时间倒序排列，顶部第一条即为上次关机时间点。
三、使用PowerShell快速提取关机时间
PowerShell可直接调用结构化日志对象，精准筛选并排序时间字段，无需手动翻阅界面，适用于需快速获取结果的场景。
1、按下Win + X键，选择终端(管理员)或“Windows PowerShell(管理员)”。
2、输入以下命令并回车执行：Get-EventLog -LogName System | Where-Object {$_.EventID -eq 6006} | Select-Object TimeGenerated | Sort-Object TimeGenerated -Descending | Select-Object -First 1。
3、命令输出结果中，TimeGenerated字段即为上次关机的精确时间戳，格式为“年-月-日 时:分:秒”。
四、检查SchedLgU.txt文件辅助验证
SchedLgU.txt由任务计划程序自动生成，虽非实时日志，但其记录的“Stopping all scheduled tasks”行可作为6006事件的补充佐证，反映系统关机流程的终止节点。
1、打开“此电脑”，进入C盘根目录 → Windows文件夹。
2、在右上角搜索框中输入SchedLgU.txt并回车。
3、使用记事本打开该文件。
4、按Ctrl + F搜索关键词Stopping all scheduled tasks。
5、找到最靠近文件末尾的匹配行，其前一行通常标注有时间，该时间与事件查看器中6006事件时间应基本一致。
