As mensagens de desligamento que você vê na tela podem ou não ter sido registradas. Se eles acontecem depois que o sistema de arquivos raiz é desmontado, eles obviamente não podem ser - não há onde salvá-los naquele momento.
O que existe pode estar em qualquer lugar (ou em nenhum lugar), mas normalmente você o encontrará em /var/log/messages ou /var/log/syslog . Uma maneira fácil de fazer isso, presumindo que o sistema foi reinicializado desde então, é procurar o carimbo de data / hora 0.000000 usado pelo kernel quando ele é inicializado e voltar.
Por exemplo, se você carregar less /var/log/syslog e ir para o final com Ctrl Fim (se estiver escrito "Aguardando ...", dê um segundo ou dois depois ctrl-c para parar de esperar), você pode pesquisar para trás com ? e o padrão 0.000+] . Haverá uma longa seqüência de linhas com isso. Logo antes do primeiro, você provavelmente verá alguma coisa no sentido de que o criador de logs do sistema foi iniciado. As coisas antes disso são da última parada.