可通过事件查看器筛选ID为6005（开机）、6006（正常关机）、6008（意外关机）、1074（用户/程序关机）的系统日志，或用PowerShell、wevtutil命令及TurnedOnTimesView工具提取开关机时间。
如果您尝试查看Windows电脑的开机与关机历史，但未找到明确的时间列表，则可能是由于系统日志未被主动筛选。以下是通过事件查看器查询开关机记录的具体步骤：
一、通过事件查看器筛选系统日志中的开关机事件
事件查看器是Windows内置的日志管理工具，系统在每次开机、关机、意外断电或重启时，会自动记录对应事件ID。其中6005表示事件日志服务启动（即开机），6006表示事件日志服务停止（即正常关机），6008表示上一次意外关闭（如断电或蓝屏），1074表示由用户或程序发起的重启或关机操作。筛选这些ID可精准提取开关机时间线。
1、按下Win + R键打开“运行”对话框，输入eventvwr.msc，然后按回车键启动事件查看器。
2、在左侧导航栏中，依次展开Windows 日志，然后点击系统。
3、在右侧操作面板中，点击筛选当前日志。
4、在弹出窗口的“事件ID”输入框中，输入6005,6006,6008,1074（英文逗号分隔）。
5、点击确定，主窗口将仅显示上述事件ID对应的日志条目，每条均含精确到秒的TimeCreated时间戳。
6、双击任意一条日志，在弹出窗口中查看“常规”选项卡下的详细描述，确认触发原因（例如“用户initiated”或“Kernel Power”）。
二、通过计算机管理界面进入事件查看器
该路径绕过运行命令，适合不熟悉快捷键的用户，利用图形化管理控制台直达日志模块，本质仍调用同一套事件查看器后端服务。
1、在桌面此电脑图标上单击鼠标右键，选择管理。
2、在“计算机管理”窗口左侧树状菜单中，依次展开系统工具 → 事件查看器 → Windows 日志。
3、点击系统节点，右侧即显示完整系统日志列表。
4、在右侧操作面板中点击筛选当前日志，在“事件ID”栏填入6005,6006,6008,1074。
5、点击确定后，日志列表将刷新为仅含开关机相关事件，可直接浏览或导出。
三、使用PowerShell命令提取结构化开关机时间
PowerShell支持对象化日志查询，能直接提取时间字段并排序输出，避免人工识别文本日志中的时间字符串，提高准确率与效率。
1、右键点击开始按钮，选择终端（管理员）。
2、输入以下命令并按回车执行：Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(6005,6006,6008,1074)} | Select-Object TimeCreated, Id, Message | Sort-Object TimeCreated -Descending | Format-Table -AutoSize。
3、屏幕上将显示表格化结果，首列为TimeCreated，第二列为事件ID，第三列为摘要信息。
4、若需保存，可在命令末尾添加管道符与导出指令，例如追加| Export-Csv -Path "C:\switch_log.csv" -Encoding UTF8 -NoTypeInformation。
四、使用命令提示符快速导出最近开关机文本日志
wevtutil是Windows原生命令行日志工具，无需额外安装，支持直接查询、格式化与重定向输出，适用于脚本集成或离线环境。
1、右键点击开始按钮，选择命令提示符（管理员）。
2、输入以下命令并回车：wevtutil qe System /q:"*[System[(EventID=6005 or EventID=6006 or EventID=6008 or EventID=1074)]]" /rd:true /f:text。
3、系统将逐行输出纯文本格式的事件记录，每条均包含日期、时间、事件ID及简要说明。
4、如需保存至文件，在命令末尾添加重定向符号，例如追加> C:\boot_shutdown_log.txt。
五、借助第三方工具TurnedOnTimesView可视化查看
TurnedOnTimesView是NirSoft开发的轻量级免安装工具，自动扫描系统日志中所有6005和6006事件，并以表格形式展示每次开机/关机时间、持续时长及状态标识，省去手动筛选步骤。
1、访问NirSoft官网下载TurnedOnTimesView（绿色便携版，无需安装）。
2、解压后双击运行TurnedOnTimesView.exe，程序将自动加载本地事件日志。
3、主界面显示完整列表，列包括Boot Time、Shutdown Time、Duration、State等。
4、支持点击列标题排序，也可右键选择复制所选项目或保存为CSV/HTML文件。
