可通过事件id 6005在系统日志中快速定位开机记录，方法包括：一、事件查看器图形界面筛选；二、计算机管理入口进入筛选；三、命令行wevtutil导出文本；四、powershell格式化输出时间戳；五、结合winlogon事件源（id 7001/7002）交叉验证。
如果您需要确认电脑在某段时间内是否开机、具体开机时间点或排查异常启动行为，则可通过系统日志中的特定事件ID快速定位开机记录。以下是多种可行的操作方法：
一、通过事件查看器图形界面筛选开机日志
该方法利用Windows内置的事件查看器，通过筛选事件ID 6005（系统启动服务已启动）精准提取所有正常开机时间记录，操作直观、无需命令行基础。
1、按下 Win + R 组合键，打开“运行”窗口。
2、输入 eventvwr.msc 并按回车，直接启动事件查看器。
3、在左侧树形菜单中，依次展开 Windows日志 → 系统。
4、在右侧操作面板中，点击 筛选当前日志。
5、在弹出窗口的“事件ID”栏中输入 6005，其他选项保持默认。
6、点击“确定”，列表将仅显示全部开机事件，每条记录包含精确到秒的日期与时间。
二、使用计算机管理入口进入事件查看器
此路径适用于习惯通过右键菜单操作的用户，通过“此电脑”管理入口逐级导航至系统日志，路径稳定且兼容性高。
1、在桌面或文件资源管理器中，右键单击 此电脑 图标。
2、选择弹出菜单中的 管理 项，打开“计算机管理”窗口。
3、在左侧面板中，依次展开 系统工具 → 事件查看器 → Windows日志 → 系统。
4、在右侧空白区域，点击 筛选当前日志。
5、于“事件ID”字段填入 6005，点击“确定”完成筛选。
6、所有匹配的开机事件将以时间倒序排列，首条即为最近一次开机时间。
三、通过命令行快速导出开机时间文本记录
该方法适合批量查看或需将结果保存为文本进行比对分析的场景，使用wevtutil命令直接查询并格式化输出，不依赖图形界面。
1、以管理员身份运行 命令提示符 或 PowerShell。
2、输入以下命令并回车执行：
wevtutil qe System /q:"*[System[(EventID=6005)]]" /rd:true /f:text
3、屏幕将滚动显示全部开机事件的完整信息，包括日期、时间、计算机名及事件描述。
4、如需保存结果，可在命令末尾添加重定向符号，例如：
wevtutil qe System /q:"*[System[(EventID=6005)]]" /rd:true /f:text > boot_log.txt
四、使用PowerShell一步筛选并格式化显示开机时间
PowerShell提供更灵活的时间字段提取能力，可跳过冗余信息，仅输出简洁的时间戳列表，便于快速浏览。
1、以管理员身份启动 PowerShell。
2、执行以下命令：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=6005} | ForEach-Object { $_.TimeCreated.ToString('yyyy-MM-dd HH:mm:ss') }
3、每行输出一个标准格式的开机时间，例如：2025-12-23 08:42:17。
4、如需限制显示最近10次开机，可在命令末尾添加 | Select-Object -First 10。
五、结合winlogon事件源进一步验证开机行为
除事件ID 6005外，winlogon服务在每次用户会话初始化时也会记录事件，可作为交叉验证手段，尤其适用于多用户环境或登录延迟排查。
1、在事件查看器中打开 Windows日志 → 系统。
2、点击右侧的 筛选当前日志。
3、在筛选窗口中，将“事件来源”设置为 winlogon，同时在“事件ID”栏输入 7001（用户会话创建）或 7002（用户会话激活）。
4、勾选“任何时间”并点击“确定”。
5、比对这些事件的时间戳与6005事件，若高度接近，可确认为有效开机后首次用户交互时间。
