通过事件查看器和PowerShell可查询Windows 11开关机历史：1. 使用事件查看器筛选事件ID 6005（开机）、6006（正常关机）、6008（意外断电）、1074（重启或关机）；2. 通过PowerShell命令获取并导出日志；3. 筛选winlogon来源事件查看用户登录注销时间。
如果您需要了解电脑的开机与关机历史，Windows 11 的事件查看器可以提供详细的系统日志记录。通过筛选特定的事件ID或来源，您可以精准定位开关机时间。以下是具体的操作方法。
本文运行环境：Dell XPS 13，Windows 11 家庭版。
一、使用事件查看器筛选关键事件ID
事件查看器会为不同的系统状态变化记录特定的事件ID，通过筛选这些ID可以快速找到开关机记录。6005代表系统启动，6006代表正常关机，6008代表意外断电，1074代表用户或程序发起的重启或关机。
1、按下 Win + R 组合键打开“运行”对话框。
2、输入 eventvwr.msc 后按回车，启动事件查看器。
3、在左侧导航栏中，依次展开 Windows 日志 并点击 系统。
4、在右侧操作面板中，点击 筛选当前日志。
5、在弹出的窗口中，“事件ID”文本框内输入以下ID，用英文逗号分隔：6005,6006,6008,1074。
6、确认后点击“确定”，列表将仅显示相关的开关机事件。
7、双击任意一条日志可查看详细信息，包括发生时间、触发进程及用户账户等。
二、通过PowerShell命令查询并导出日志
PowerShell允许通过命令行批量查询系统事件，适合需要分析长时间跨度或生成报告的场景。此方法能快速列出所有匹配的事件，并支持导出到文件。
1、右键点击“开始”菜单，选择 终端(管理员) 或 Windows PowerShell(管理员)。
2、在打开的命令行界面中，粘贴并执行以下命令：
Get-WinEvent -LogName System | Where-Object {$_.Id -eq 6005 -or $_.Id -eq 6006 -or $_.Id -eq 6008 -or $_.Id -eq 1074} | Select-Object TimeCreated, Id, Message | Sort-Object TimeCreated -Descending | Format-Table -AutoSize
3、执行后将按时间倒序列出所有匹配的开关机事件，便于快速浏览最新记录。
4、如需保存为文件，可在上述命令末尾添加输出重定向，例如：| Out-File "C:\Users\Public\Documents\ShutdownLog.txt"，日志将被保存至指定路径。
三、利用事件来源筛选用户登录事件
winlogon进程负责处理用户会话的创建与销毁，其日志可以反映用户级别的登录与注销时间，这有助于判断设备的实际使用时段，间接获取开机记录。
1、在事件查看器的“系统”日志页面，再次点击右侧的 筛选当前日志。
2、在筛选窗口中，将“事件来源”下拉菜单选择为 winlogon。
3、同时将“记录时间”设置为“任何时间”，并确保勾选所有事件级别。
4、点击“确定”后，日志列表将只显示与用户登录会话相关的事件。
5、查找事件描述中包含“登录”或“注销”的条目，其对应的时间即为用户开始和结束使用电脑的时间点。
