就像标题所说的那样。 从我简要阅读的内容来看，当用户启动CTRL-ALT-DEL或者开始>closures时，就会出现6009。 例如，如果closures序列是由SYSTEM启动的，那么这个事件是否也会被logging？
事件6009在启动时logging，而不是在关机。 它只包含一个标识操作系统版本的string。 从NT 4.0左右开始就是这样。
如果您正在查找系统启动的关机/重新启动，请查找事件1074 。 此事件的详细信息将告诉您启动重新启动的过程以及给出的原因，您可以检查原因代码以获取有关系统closures或重新启动的更多信息。