Windowsサーバーを再起動したのは誰ですか？
Windows Server 2000/2003/2008マシンでは、どのユーザーがサーバーを再起動したかを確認できますか？
システムイベントログでシャットダウンイベントを見つけましたが、再起動を開始したユーザーは表示されません。
Systemイベントログで、イベントID 1074、これにより、再起動が開始されたプロセスとユーザーに代わって表示されます。
これはWindows Server 2008でテストされました。
次の場所にログがあるはずです：
%windir%\system32\LogFiles\Shutdown
（これはC:\WINDOWS\system32\LogFiles\Shutdown「標準」のWindows Server 2000/2003インストール）