要查看电脑屏幕解锁记录，必须先启用Windows安全审计策略，否则无日志可查；启用后通过事件查看器筛选事件ID 4624并确认登录类型为10，或查OneApp_IGCC日志获取时间戳。

要查看电脑屏幕解锁记录，必须依赖Windows系统已启用的安全审计策略，否则事件查看器中不会生成对应日志——未提前开启审核，历史解锁行为完全不可追溯。

确认安全审核策略已启用

按 Win + R → 输入 gpedit.msc → 回车打开组策略编辑器。

依次展开：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 审核策略。

双击“审核登录事件”，勾选“成功”，点击确定。

以管理员身份运行命令提示符，执行：gpupdate /force 强制刷新组策略。

【若跳过此步，后续所有筛选都将查不到任何解锁记录】

用事件查看器筛选解锁事件（推荐方法）

按 Win + R → 输入 eventvwr.msc → 回车打开事件查看器。

左侧导航栏依次展开：Windows 日志 → 安全。

右键“安全” → 选择“筛选当前日志”。

在“事件ID”框中输入：4624，再在“事件数据”框中输入：logonui 或 user32，点击确定。

筛选结果中，每条事件的“登录类型”字段为 10（RemoteInteractive），即代表一次图形界面解锁操作；“进程名称”为 LogonUI.exe 可进一步确认。

备用路径：查OneApp_IGCC日志（无需策略启用）

方法一：打开事件查看器 → 左侧导航栏展开：应用程序和服务日志 → OneApp_IGCC。

右侧列表中查找“描述”列含 Unlock 字样的条目，其“日期和时间”即为实际解锁时刻。

方法二：若OneApp_IGCC为空，可能因Intel Graphics Command Center未安装或服务被禁用，此路径失效，需退回前两种方法。

注意：该日志不记录用户身份，仅标记动作发生时间，适合快速确认“几点解过锁”，但无法验证是谁操作的。

导出并定位最近三次解锁时间

第一步：在已筛选出的4624事件列表中，按“日期和时间”列降序排列（点击表头即可）。

第二步：右键第一条 → “状态” → 查看“帐户名”与“登录ID”；向下连续定位第二、第三条同类型事件。

第三步：右键任一事件 → “将事件另存为” → 保存为 .evtx 文件，便于离线归档或发给IT同事复核。

这一步操作起来很简单，直接把文件拖进去就行。导出后可用记事本打开.evtx文件查看原始XML结构，但不建议手动编辑。