可通过事件id 6005在事件查看器中查全部开机时间，powershell按日汇总开机频次，systeminfo和wmic命令分别获取最近一次启动的易读及iso格式时间，结合6005/6006分析开关机周期。
如果您需要确认Windows 11系统最近一次启动的具体时间，或统计一段时间内开机发生的频次，则需结合日志记录与命令行工具进行多维度提取。以下是实现该目标的多种方法：
一、通过事件查看器筛选事件ID 6005获取全部开机时刻
事件ID 6005由Windows事件日志服务在每次成功完成内核初始化及核心服务加载后自动写入，是标识系统完成开机过程的最权威信号，每条记录对应一次独立启动。
1、按下Win + R组合键，打开“运行”对话框，输入eventvwr.msc并按回车，启动事件查看器。
2、在左侧导航窗格中，依次展开Windows 日志 → 系统。
3、在右侧操作面板中，点击筛选当前日志。
4、在弹出窗口的“包括事件ID”文本框中输入6005，其他字段保持为空。
5、点击确定，日志列表将仅显示所有开机事件，每条记录的“日期和时间”即为对应启动时刻。
6、可手动统计指定时间段（如过去7天、30天）内出现的6005事件总数，即为该周期内的开机频率。
二、使用PowerShell批量导出并按日汇总开机记录
PowerShell支持结构化查询与时间分组，可一次性提取全部6005事件，并按日期聚合计数，直接输出每日开机次数，便于快速识别高频启动日。
1、右键点击“开始”按钮，选择终端(管理员)或Windows PowerShell(管理员)。
2、粘贴并执行以下命令：
Get-WinEvent -LogName System -FilterXPath "*[System[(EventID=6005)]]" | Select-Object TimeCreated | ForEach-Object { $_.TimeCreated.Date } | Group-Object | Sort-Object Count -Descending | Format-Table Name,Count -AutoSize
3、执行后输出表格，其中Name列显示日期（如2026/03/01 00:00:00），Count列显示当日开机次数。
三、利用命令提示符查询最近一次启动时间点
systeminfo命令从操作系统WMI数据库读取原始启动时间戳，结果稳定可靠，不依赖事件日志服务是否启用，适用于快速验证本次开机起始时刻。
1、按下Win + R键，输入cmd并回车，启动命令提示符。
2、输入以下命令并回车：
systeminfo | find "系统启动时间"
3、输出结果形如系统启动时间: 2026/03/05, 14:22:15，该时间即为本次开机的确切起始时刻。
四、通过WMIC命令获取上次启动时间的紧凑格式
WMIC提供轻量级命令行接口，可直接返回ISO 8601标准格式的启动时间字符串，便于脚本解析与跨平台比对。
1、按下Win + R键，输入cmd并回车，启动命令提示符。
2、输入以下命令并回车：
wmic path Win32_OperatingSystem get LastBootUpTime
3、输出结果为20260305142215.000000+000格式，前8位“20260305”表示日期（2026年3月5日），中间6位“142215”表示时间（14:22:15）。
五、结合事件ID 6005与6006交叉分析开关机周期
同时筛选开机（6005）与正常关机（6006）事件，可计算每次开机持续时长，并识别是否存在频繁短周期重启现象，用于判断系统稳定性或用户使用习惯。
1、在事件查看器“系统”日志页面，点击右侧的筛选当前日志。
2、在“包括事件ID”文本框中输入6005,6006（英文逗号分隔），其他字段清空。
3、点击确定后，日志列表将显示交替出现的开机与关机记录。
4、观察相邻6005与6006事件的时间间隔：若多次出现间隔小于30分钟，则表明存在高频率短时开机行为。
