Moin TStringList,
ich weiss zwar nicht, ob das für Deinen Zweck brauchbar ist aber, das System protokolliert einen Shutdown im Eventlog.
Es handelt sich hier um das Systemlog, EventID 6006 "Der Ereignisprotokolldienst wurde beendet.". Das müsste,
IMHO, die letzte Aktion sein.