可通过事件查看器筛选事件ID 6005、6006、6008、1074查询开关机记录，或用PowerShell命令Get-WinEvent或Get-CimInstance提取结构化时间戳，亦可用net statistics workstation快速获取最近开机时间。
如果您需要确认Windows电脑在特定时间段内的开机与关机行为，系统已自动将每次启动、正常关机、意外断电或用户主动重启操作记录在事件日志中。以下是通过事件查看器查询开关机记录的具体操作路径：
一、使用运行命令直接打开事件查看器并筛选系统日志
该方法利用Windows内置的运行接口快速调用事件查看器，并聚焦于系统日志中的关键事件ID，确保仅显示与开关机直接相关的条目。
1、按下Win + R组合键，打开“运行”对话框。
2、在输入框中键入eventvwr.msc，然后按回车键。
3、在左侧导航栏中，依次展开Windows 日志 → 系统。
4、在右侧操作面板中，点击筛选当前日志。
5、在弹出窗口的“事件ID”输入框中，输入6005,6006,6008,1074（英文逗号分隔）。
6、点击确定，主窗口即刻仅显示对应开关机事件的日志条目，每条均含精确到秒的TimeCreated时间戳。
二、通过计算机管理界面进入事件查看器并筛选日志
该路径不依赖快捷键或命令行，适合偏好图形化操作的用户，通过系统管理控制台逐级导航至日志模块，底层仍调用同一事件服务。
1、在桌面此电脑图标上单击鼠标右键，选择管理。
2、在“计算机管理”窗口左侧树状菜单中，依次展开系统工具 → 事件查看器 → Windows 日志。
3、点击系统节点，右侧显示完整系统日志列表。
4、在右侧操作面板中点击筛选当前日志，于“事件ID”栏填入6005,6006,6008,1074。
5、点击确定后，日志列表刷新为仅含开关机相关事件，可直接浏览或右键导出为.evtx文件。
三、使用PowerShell命令提取结构化开关机时间
PowerShell以对象形式处理日志数据，可精准提取时间字段并排序输出，避免人工解析文本日志中易混淆的时间字符串，提升准确性与效率。
1、右键点击开始按钮，选择终端（管理员）。
2、输入以下命令并按回车执行：Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(6005,6006,6008,1074)} | Select-Object TimeCreated, Id, Message | Sort-Object TimeCreated -Descending | Format-Table -AutoSize。
四、使用命令提示符快速获取最近一次开机时间
该方式无需筛选日志，适用于仅需确认当前会话启动时刻的场景，响应迅速且操作极简。
1、右键点击开始菜单，选择终端（管理员）或命令提示符（管理员）。
2、输入以下命令并按回车：net statistics workstation。
3、在返回结果中查找统计服务已启动于后的日期与时间，该时间即为本次开机时间。
五、使用PowerShell获取系统最后一次启动时间戳
该命令直接调用WMI类，返回原始时间格式，便于进一步计算运行时长或与其他时间戳比对。
1、以管理员身份打开PowerShell应用程序。
2、输入以下命令并执行：Get-CimInstance -ClassName Win32_OperatingSystem | Select LastBootUpTime。
