Hola,
En el visor de sistema, los eventos con ID 6005 marcan la hora de inicia del sistema, independientemente si es tras un pagado o reinicio.
Para validar los tiempos de apagado, deberás activar via GPO el shutdown tracker:
http://support.microsoft.com/kb/293814/en
Saludos
Julio Rosua
