Sapere esattamente quando e perché un computer con Windows 11 è stato spento o riavviato non è roba da smanettoni paranoici. È una competenza pratica, utile tanto in ufficio quanto a casa, che permette di scovare anomalie, crash improvvisi, interventi manuali o riavvii causati dagli aggiornamenti di sistema. Il bello è che tutte queste informazioni sono già registrate dal sistema operativo, senza bisogno di installare nulla. Il Visualizzatore eventi di Windows 11 annota ogni evento significativo che si verifica sulla macchina, dalle operazioni di avvio fino agli arresti imprevisti. Basta sapere dove guardare e cosa cercare.
Il trucco per capire come sta il tuo PC
Il metodo più rapido per accedere ai log di sistema passa da PowerShell. Premendo Windows+X e scegliendo Terminale o Windows PowerShell, si può incollare questo comando:
Get-WinEvent -FilterHashtable @{ LogName='System' Id=41,1074,6006,6008 } -MaxEvents 20 | Sort-Object TimeCreated | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -Wrap -AutoSize
Questo comando estrae gli ultimi 20 eventi relativi a spegnimenti, riavvii e operazioni correlate. Nella risposta compariranno diversi Event ID, ciascuno con un significato preciso. L’Event ID 1074 segnala un arresto o riavvio intenzionale, richiesto da un utente, da un processo o da un aggiornamento. Include dettagli come il processo responsabile e l’account che ha eseguito l’operazione. L’Event ID 6006 conferma che il sistema è stato spento in modo regolare, senza errori. L’Event ID 6008, al contrario, indica un arresto anomalo, spesso legato a interruzioni di corrente, crash o riavvii forzati. L’Event ID 41 (Kernel Power) è tra i più critici: significa che il sistema si è riavviato senza passare da una procedura di spegnimento corretta, e va sempre approfondito perché può essere spia di problemi hardware o driver instabili.
Per conoscere con esattezza data e ora dell’ultimo avvio di Windows 11, basta digitare in PowerShell:
(Get-CimInstance -ClassName Win32_OperatingSystem).LastBootUpTime
Lo stesso dato si trova anche aprendo il Task Manager con CTRL+MAIUSC+ESC, cliccando su Prestazioni e poi su CPU: la voce “Tempo di attività” mostra da quanto il sistema è acceso.
Avvio rapido, spegnimento completo e ibernazione: non tutti i boot sono uguali
Una delle analisi più sottovalutate nella diagnostica di Windows 11 riguarda la distinzione tra le diverse modalità di avvio. Un riavvio, uno spegnimento completo o un avvio tramite Avvio rapido producono comportamenti molto diversi, con effetti concreti su prestazioni e risoluzione dei problemi.
L’Avvio rapido (Fast Startup) è attivo di default sia su Windows 10 che su Windows 11. Combina elementi dello spegnimento tradizionale con l’ibernazione: durante lo spegnimento, lo stato del kernel viene salvato su disco per velocizzare l’avvio successivo. Ecco perché spegnere il PC non equivale sempre a un riavvio pulito. Poi c’è l’ibernazione classica, che salva l’intero contenuto della memoria su disco e lo ripristina al successivo avvio, permettendo di riprendere il lavoro esattamente da dove era stato interrotto. Il riavvio, invece, forza la chiusura di tutte le sessioni e avvia un ciclo di boot completamente nuovo, con il kernel reinizializzato. Lo spegnimento completo (full shutdown) è la modalità più “pulita” in assoluto: nessuno stato intermedio viene conservato, ed è la scelta giusta quando si vuole eliminare ogni condizione residua.
Per ottenere uno spegnimento completo si può tenere premuto il tasto MAIUSC mentre si clicca su “Arresta il sistema”, oppure usare il comando shutdown /s /f /t 0. Per scoprire quale tipo di avvio è stato effettuato, si usa questo comando PowerShell:
Get-WinEvent -ProviderName Microsoft-Windows-Kernel-boot -MaxEvents 10 | where-object -Property id -eq "27"
L’output restituisce un campo chiamato Boot Type con valori specifici: 0x0 indica un riavvio o avvio da spegnimento completo, 0x1 corrisponde all’Avvio rapido, 0x2 segnala una ripresa da ibernazione. Un problema che persiste dopo uno “spegnimento” potrebbe derivare dal fatto che il sistema non è stato realmente inizializzato da zero ma ha utilizzato uno stato salvato: distinguere tra hybrid boot e full shutdown consente di evitare diagnosi sbagliate.
