使用Get-WinEvent查询事件ID1074关机事件速度慢，如何优化？

这问题我太熟了！在大事件日志的服务器上用Where-Object事后过滤确实慢得让人头疼——因为它会先把所有系统日志条目拉到本地，再逐一筛选，完全是做无用功。给你几个立竿见影的优化方法：

1. 用FilterHashTable做服务端过滤（最有效） #

Get-WinEvent自带的FilterHashTable参数是关键！它会让事件日志服务在服务端直接完成过滤，只返回符合条件的条目，不用传输全量日志数据，速度能提升好几倍。

替换你的代码为：

Get-WinEvent -FilterHashTable @{
    LogName = 'System'
    Id = 1074
}

2. 限定时间范围缩小结果集 #

如果不需要查询所有历史关机记录，加上StartTime（甚至EndTime）进一步缩小查询范围，服务端会直接跳过无关时间的日志：

# 仅查询最近7天的关机事件
$startDate = (Get-Date).AddDays(-7)
Get-WinEvent -FilterHashTable @{
    LogName = 'System'
    Id = 1074
    StartTime = $startDate
}

3. 指定事件提供者（精准过滤） #

事件ID 1074是由User32服务生成的，加上ProviderName参数可以让过滤更精准，避免其他意外匹配：

Get-WinEvent -FilterHashTable @{
    LogName = 'System'
    Id = 1074
    ProviderName = 'User32'
}

4. 别用Get-EventLog（除非特殊场景） #

虽然Get-EventLog -LogName System -InstanceId 1074有时速度也不错，但它是旧版命令，功能有限（比如不支持复杂过滤），更推荐坚持用Get-WinEvent+FilterHashTable的组合。

这些优化里，用FilterHashTable做服务端过滤是核心，在日志量大的服务器上，能把查询时间从几秒直接压缩到几百毫秒。

内容的提问来源于stack exchange，提问作者Zam