Windows 11: Event ID e Visualizzatore eventi per tracciare spegnimenti, riavvii e crash

Il tuo PC si è riavviato da solo alle 3 di notte. Non c'era nessun aggiornamento programmato, nessun messaggio di errore visibile, nessuna traccia ovvia. Eppure è successo. La maggior parte degli utenti — e persino molti professionisti IT — chiude la questione con un'alzata di spalle. Windows però non dimentica nulla: ogni spegnimento, ogni riavvio, ogni crash viene registrato in un log di sistema accessibile in pochi secondi, senza strumenti di terze parti, senza licenze aggiuntive. Il problema non è che le informazioni manchino. Il problema è sapere dove cercarle e, soprattutto, come interpretarle.

In questo articolo analizziamo come utilizzare il Visualizzatore eventi di Windows 11 e PowerShell per ricostruire con precisione la cronologia di avvii, spegnimenti e riavvii anomali — con gli Event ID esatti, i comandi pronti all'uso e la logica diagnostica che distingue un arresto pianificato da un crash silenzioso.

Il Visualizzatore eventi di Windows 11: uno strumento sottovalutato

Il Visualizzatore eventi (Event Viewer) è uno strumento integrato in Windows da oltre vent'anni, eppure la maggior parte degli utenti lo apre solo quando qualcosa va storto in modo vistoso. In realtà dovrebbe essere il primo punto di indagine ogni volta che il comportamento del sistema si discosta dalla norma: riavvii non richiesti, spegnimenti improvvisi, avvii lenti e anomalie intermittenti lasciano sempre una traccia documentata.

Per aprirlo, è sufficiente premere Windows + R e digitare eventvwr.msc. Nell'albero di navigazione a sinistra, il percorso da seguire è Registri di Windows → Sistema. Da qui è possibile filtrare gli eventi per ID, data e livello di severità.

Il log di sistema è strutturato attorno a tre elementi principali:

• ID evento: il codice numerico che identifica il tipo di operazione
• Provider/Origine: il componente di Windows che ha generato l'evento (es. Kernel-Power, User32, EventLog)
• Timestamp: data e ora esatta dell'evento, registrata in UTC e visualizzata in ora locale

Capire come questi tre elementi si combinano è la differenza tra leggere dati grezzi e ottenere informazioni diagnostiche concrete.

Gli Event ID fondamentali per spegnimenti e riavvii

Event ID 1074 — Arresto o riavvio intenzionale

L'Event ID 1074 segnala che lo spegnimento o il riavvio è stato richiesto in modo esplicito: può essere generato da un utente, da un processo di sistema o da un aggiornamento di Windows, e include dettagli fondamentali come il processo responsabile, l'account che ha eseguito l'operazione e la motivazione dichiarata.

Questo è il punto di partenza per qualsiasi analisi: se un arresto è legittimo, il 1074 deve essere presente. La sua assenza, in presenza di altri eventi di riavvio, è già un segnale diagnostico importante.

Event ID 6006 — Arresto corretto

L'Event ID 6006 segnala che il sistema è stato spento in modo regolare, senza errori o interruzioni improvvise. Quando compare dopo un 1074, conferma che l'operazione si è conclusa correttamente. Tecnicamente, questo evento segna la chiusura ordinata del servizio EventLog, che viene arrestato come una delle ultime operazioni durante uno shutdown pulito. La sua presenza è rassicurante; la sua assenza, invece, apre scenari di indagine.

Event ID 6008 — Arresto inatteso

L'Event ID 6008 indica che il sistema è stato spento in modo anomalo. Le cause più comuni includono interruzioni di corrente, crash del sistema, blocchi hardware o riavvii forzati. A differenza del 6006, il 6008 viene generato all'avvio successivo, quando Windows rileva che l'ultimo shutdown non è avvenuto in modo regolare. È il sistema che, ripartendo, “si accorge” di non essersi spento correttamente.

Event ID 41 — Kernel-Power: riavvio senza shutdown pulito

L'Event ID 41 è uno degli eventi più critici: indica che il sistema si è riavviato senza passare da una procedura di spegnimento corretta ed è spesso associato a problemi hardware (alimentazione, RAM), driver instabili o crash di sistema. Con un riavvio imprevisto, in genere non esiste una voce di log con l'Event ID 1074: i riavvii imprevisti sono indicati dagli ID evento 41, 1001 e 6008. Il Kernel-Power 41 va sempre analizzato in correlazione con gli altri eventi presenti nella stessa finestra temporale: spesso un driver installato nei giorni precedenti o un aggiornamento recente è la causa scatenante.

PowerShell: estrarre i log di sistema con un comando solo

Il Visualizzatore eventi è utile per esplorazioni manuali, ma per un'analisi rapida e ripetibile PowerShell è lo strumento corretto. Premendo Windows + X e scegliendo Terminale o Windows PowerShell, è sufficiente incollare il seguente comando per estrarre gli ultimi 20 Event ID relativi a spegnimenti, riavvii e operazioni correlate:

Get-WinEvent -FilterHashtable @{
    LogName='System'
    Id=41,1074,6006,6008
} -MaxEvents 20 | Sort-Object TimeCreated | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -Wrap -AutoSize

Il risultato è una tabella ordinata cronologicamente con timestamp, ID evento, provider e descrizione. In meno di dieci secondi si ottiene una panoramica completa degli ultimi arresti e riavvii del sistema, senza navigare nell'interfaccia grafica.

Per verificare l'orario esatto dell'ultimo avvio del sistema:

(Get-CimInstance -ClassName Win32_OperatingSystem).LastBootUpTime

Lo stesso dato è recuperabile anche dal Task Manager di Windows 11: premi CTRL + MAIUSC + ESC, clicca su Prestazioni → CPU e leggi il campo “Ora di attività”.

Leggere la sequenza degli eventi: logica diagnostica

Un arresto normale genera una sequenza prevedibile e verificabile:

1. Event ID 1074 — qualcuno (utente, processo, aggiornamento) ha richiesto lo spegnimento
2. Event ID 6006 — il sistema si è spento correttamente
3. Event ID 6005 — al riavvio successivo, il servizio EventLog conferma l'avvio regolare

Un crash o un'interruzione di corrente produce invece una sequenza anomala:

1. Nessun Event ID 1074 prima dell'interruzione
2. Event ID 41 (Kernel-Power) al riavvio successivo
3. Event ID 6008 — il sistema registra che l'ultimo spegnimento non era pulito

Gli arresti imprevisti sono spesso causati da interruzioni di corrente, problemi hardware o crash del software e lasciano tracce distinte nei registri degli eventi di Windows. Individuare questa sequenza in modo sistematico permette di distinguere un problema hardware — che tende a ripresentarsi con pattern simili — da un'anomalia isolata di software o driver.

Per una risoluzione efficace dei problemi, è utile controllare la cronologia dei riavvii filtrando gli ID evento 12, 13, 19, 41, 1001, 1074, 6008, 6009 e 7045, e verificare se nuovi driver o aggiornamenti siano stati installati poco prima che il problema si manifesti.

Casi d'uso pratici per sysadmin e power user

Scenario 1 — Il PC si è riavviato di notte senza apparente motivo.
Prima verifica: Event ID 1074 con processo wuauclt.exe o TiWorker.exe indica un riavvio da aggiornamento di Windows. Se invece il 1074 è assente e compare un Event ID 41, il riavvio non era pianificato.

Scenario 2 — Un collega sostiene di non aver spento il PC, ma lo ha trovato spento.
Il log del 1074 include l'account utente che ha avviato l'operazione. Se il campo mostra NT AUTHORITY\SYSTEM, lo spegnimento è stato eseguito da un processo di sistema. Se invece mostra un account specifico, la traccia è esplicita.

Scenario 3 — Il sistema mostra instabilità intermittente senza Blue Screen visibili.
L'ID evento 41 segnala un riavvio del sistema avvenuto senza un arresto pulito, spesso fornendo informazioni sullo stato del sistema prima dello spegnimento. Analizzare la frequenza di questi eventi nell'arco di settimane consente di correlare l'instabilità con installazioni di driver, aggiornamenti o variazioni del carico hardware.

Strumenti complementari: oltre il Visualizzatore eventi nativo

Per chi gestisce più macchine o necessita di un'interfaccia più immediata, esistono utility gratuite che semplificano l'analisi:

• FullEventLogView (NirSoft): visualizza tutti i log eventi in un'unica tabella filtrabile per data, ID e severità. Mostra la descrizione completa direttamente nella finestra principale, senza click aggiuntivi.
• TurnedOnTimesView (NirSoft): strumento dedicato esclusivamente alla cronologia di accensione e spegnimento, con calcolo automatico del tempo di attività per ogni sessione.

Entrambi sono strumenti standalone, senza installazione, e leggono direttamente i log di sistema di Windows senza richiedere privilegi particolari oltre all'accesso amministrativo.

FAQ — Domande frequenti

Come faccio a sapere se il mio PC si è riavviato da solo durante la notte?

Apri PowerShell e lancia il comando Get-WinEvent -FilterHashtable @{LogName='System'; Id=41,1074,6006,6008} -MaxEvents 20 | Sort-Object TimeCreated | Format-Table -Wrap -AutoSize. Se nella fascia oraria notturna compare un Event ID 41 senza un 1074 precedente, il riavvio non era pianificato.

Qual è la differenza tra Event ID 6006 e 6008?

Il 6006 indica un arresto corretto e ordinato del sistema. Il 6008 viene generato all'avvio successivo quando Windows rileva che il precedente spegnimento non è avvenuto regolarmente — per esempio dopo un'interruzione di corrente o un crash. Il 6006 è rassicurante; il 6008 richiede indagine.

L'Event ID 41 Kernel-Power significa sempre un problema hardware?

Non necessariamente. È spesso associato a problemi hardware (alimentazione instabile, RAM difettosa), ma può essere generato anche da driver instabili, aggiornamenti mal eseguiti o software che forza un riavvio senza seguire le API di sistema corrette. Va correlato con altri eventi nella stessa finestra temporale.

Posso vedere chi ha spento il PC su Windows 11?

Sì. L'Event ID 1074 include il campo relativo all'account utente che ha avviato l'operazione di spegnimento o riavvio. Visualizzando i dettagli dell'evento nel Visualizzatore eventi, trovi il nome del processo responsabile e l'account di sistema o utente che lo ha eseguito.

I log del Visualizzatore eventi vengono cancellati con la pulizia del disco?

No. Windows conserva i log eventi in file .evtx dedicati, separati dai file temporanei. Vengono sovrascritti solo quando raggiungono la dimensione massima configurata; la pulizia del disco standard non li tocca.

Esiste un modo più semplice per vedere solo accensioni e spegnimenti senza usare PowerShell?

Sì. Il tool gratuito TurnedOnTimesView di NirSoft legge automaticamente i log di sistema e presenta una cronologia pulita di ogni sessione di attività del PC, con orari di avvio, spegnimento e durata, senza necessità di filtrare manualmente gli Event ID.

Conclusione

Windows 11 è un sistema operativo che registra tutto — ogni avvio, ogni shutdown, ogni anomalia — ma raramente lo comunica in modo esplicito. Sapere come leggere il Visualizzatore eventi e interpretare gli Event ID 41, 1074, 6006 e 6008 trasforma dati grezzi in informazioni diagnostiche concrete, utilizzabili tanto in ambienti enterprise quanto su workstation personali. Non serve Sysmon, non serve software di terze parti: l'infrastruttura di logging è già lì, integrata nel sistema operativo, in attesa di essere interrogata. La prossima volta che il tuo PC fa qualcosa di inaspettato, non alzare le spalle: apri PowerShell e chiedi.

Continua a seguire il canale YouTube @tuttelevitediunmaker per guide pratiche su Windows, Linux e sicurezza informatica applicata al mondo reale.

#tuttelevitediunmaker