Tu peux jeter un oeil dans l'observateur d'évènements.
Par exemple, tu as les évènements 6005 et 6006 qui correspondent au démarrage et à l'arrêt du service de gestion d'évènements. A quelques secondes près, ca correspond au démarrage et à l'extinction de XP