ВОЙТИ
    Средство просмотра событий Windows обрабатывается основной службой журнала событий. Средство просмотра событий регистрирует историю запуска и завершения работы сервера. Так же она отслеживает действия каждого пользователя во время работы устройства. Записывает ошибки, и другие сообщения и предупреждения которые возникают на Windows Server. 

    В этой статье мы узнаем, как проверить журналы выключения/перезагрузки на VPS серверах Windows 2012, 2016 и 2019. 

    Рассмотрим некоторые наиболее распространенные коды связанные со временем запуска и завершения работы сервера.

    41:  показывает, что ваш сервер перезагрузился, но не выключился полностью.
    6005: показывает, что служба журнала событий была запущена.
    1074:  это событие показывает, когда приложение принудительно выключает или перезагружает ваш VPS сервер. Благодаря этому можно  узнать, когда вы, или кто-то другой перезапустил или выключил сервер из меню «Пуск» или через CTRL+ALT+DEL.
    6008: это событие появляется если ваш компьютер был выключен, или ушел в перезагрузку, через синий экран смерти.
    6006: это событие показывает когда сервер корректно завершил свою работу.

    Как просмотреть данные события?

    Нажмите Win + R и введите eventvwr


    В левой части панели откройте «Журналы Windows => Система»


    В колонке Event ID мы увидим список событий, произошедших во время работы Windows. Журнал событий можно сортировать по идентификатору события.

    Для того что бы отсортировать нужные намо события, с правой стороны, выберем «Фильтр текущего журнала»



    Теперь введите нужные нам события, через запятую, 41, 1074, 6006, 6008, 6006 и нажмите Ок.


    Теперь мы можем наблюдать журнал событий с завершением работы нашего сервера VPS.

    Так же мы можем просмотреть журнал событий безотказной работы сервера. Этому соответствует идентификатор 6013. 



     Просмотр журнала выключения и перезапуска сервера с помощью PowerShell


    Если нам нужно быстро просмотреть журналы выключения/перезагрузки сервера, можно воспользоваться коммандой Get-EventLog в оболочке PowerShell. 

    Что бы отфильтровать последнюю 1000 записей в журнале, и отобразить только те события которые нам нужны, (41, 1074, 6006, 6008, 6006) выполним эту команду в PowerShell:

    Get-EventLog System -Newest 1000 | ` Where EventId -in 41,1074,6006,6008 | ` Format-Table TimeGenerated,EventId,UserName,Message -AutoSize -wrap

    Теперь вы можете самостоятельно проверить по какой причине был перезагружен/выключен ваш севрер.