Il lasso di tempo dovrebbe essere quello che intercorre fra il log:
________________________________
Tipo evento: Informazioni
Origine evento: EventLog
Categoria evento: Nessuno
ID evento: 6006
Data: 04/12/2007
Ora: 21.05
Utente: N/D
Computer: xxxxx
Descrizione:
Il servizio Registro eventi è stato arrestato.
_________________________________

e il log:

__________________________________

Tipo evento: Informazioni
Origine evento: EventLog
Categoria evento: Nessuno
ID evento: 6005
Data: 05/12/2007
Ora: 08.31.54
Utente: N/D
Computer: xxxxxxxxxx
Descrizione:
Il servizio Registro eventi è stato avviato.
____________________________________

nell'esempio si è arrestato alle 21.05 (del 04/12/07) e si è avviato alle 08.31 (del 05/12/07) ...quindi è stato fermo in quel lasso di tempo.

e' un esempio, ma se non hai logs in quel lasso di tempo, è facilissimo che il PC era spento.