可通过事件ID 6005在系统日志中精准定位Windows 11开机时间，配合PowerShell、cmd及winlogon事件可分别实现批量提取、快速查询和用户级启动分析，并联合6005/6006/6008/1074等ID完整追溯开关机历史。
如果您需要确认Windows 11设备的开机时间或追溯历史启动行为，则可通过系统内置的事件日志机制获取精确记录。Windows将每次开机动作记录为特定事件ID，这些条目集中保存在“系统”日志中，可通过事件查看器图形界面或命令行工具提取。以下是具体操作方法：
一、筛选事件ID为6005的系统日志
事件ID 6005由Windows事件日志服务生成，表示“事件日志服务已启动”，该事件在系统内核及所有关键服务加载完毕后立即触发，因此被公认为标识系统完成开机过程的最准确技术信号。
1、按下Win + R组合键打开“运行”窗口，输入eventvwr.msc并按回车，启动事件查看器。
2、在左侧导航窗格中，依次展开“Windows 日志” → “系统”。
3、在右侧“操作”面板中，点击“筛选当前日志”。
4、在弹出窗口的“包括事件ID”文本框中，输入6005，其他字段保持默认或清空。
5、点击“确定”。日志列表将仅显示所有开机事件，每条记录的“日期和时间”即为对应开机时刻。
6、双击任意一条事件，可在“常规”选项卡中确认描述是否为“事件日志服务已启动”，以验证其有效性。
二、通过PowerShell命令批量提取并格式化开机记录
PowerShell可绕过图形界面直接调用系统日志API，支持高精度筛选、时间排序与结构化输出，特别适合快速获取多条开机记录或进行时间序列分析。
1、右键点击“开始”按钮，选择“终端(管理员)”。
2、执行以下命令，列出全部6005事件及其时间戳：Get-WinEvent -LogName System -FilterXPath "*[System[(EventID=6005)]]" | Select-Object TimeCreated | Format-Table -AutoSize
3、按回车后，结果将以表格形式显示，包含每条开机事件的确切发生时间。
三、使用命令提示符快速查看最近一次启动时间
该方法适用于快速获取系统最近一次启动的时间，无需进入图形化界面，适合在远程连接或故障排查时使用。
1、按下Win + R键打开“运行”对话框，输入cmd并按回车。
2、在命令提示符窗口中输入以下命令并回车：systeminfo | find "系统启动时间"
3、系统将返回一行结果，显示当前计算机的系统启动时间，即最近一次开机的具体时间点。
四、结合winlogon事件源定位用户会话启动时间
winlogon.exe 是负责用户登录流程的核心进程，其日志虽不等同于内核级开机，但能反映用户实际开始使用系统的时刻，适用于判断设备唤醒或交互式启动时间。
1、在事件查看器“系统”日志页面，再次点击右侧的“筛选当前日志”。
2、清空“事件ID”字段，在“事件来源”下拉菜单中选择winlogon。
3、点击“确定”后，日志列表将仅显示 winlogon 相关事件。
4、查找任务类别为“工作站解锁”或“用户登录”的条目，其发生时间可视为用户级开机或唤醒时间点。
5、注意：若系统启用了自动登录，该时间可能与6005事件高度接近；若需区分锁屏唤醒与冷启动，应交叉比对6005与winlogon事件的时间差。
五、筛选多事件ID综合查看开关机历史
系统开关机行为由多个事件ID共同表征，联合筛选可完整还原设备使用周期。6005（开机）、6006（正常关机）、6008（意外断电）、1074（计划重启）构成标准开关机事件集。
1、按下Win + R组合键打开“运行”对话框，输入eventvwr.msc后按回车键，启动事件查看器。
2、在左侧导航栏中，依次展开“Windows 日志”，然后点击“系统”。
3、在右侧的“操作”面板中，点击“筛选当前日志”。
4、在弹出的筛选窗口中，“事件ID”文本框内输入：6005,6006,6008,1074（英文逗号分隔）。
5、点击“确定”后，日志列表将只显示与输入ID相关的事件，其中6005代表开机，6006代表正常关机，6008代表意外断电，1074代表计划重启或关机。
6、双击任意一条日志条目，可以查看其详细信息，包括精确的发生时间、触发进程和用户账户等。
