Vaak is het een zoektocht wanneer en door wie is de computer opnieuw opgestart. In de Eventviewer (Start, Uitvoeren, Eventvwr) onder System worden o.a. de volgende regels aangemaakt.
1) bij afsluiten
eventlog 6006 Eventlog is gestopt
2) bij opstarten
eventlog 6005 Eventlog is gestart
