1、通过事件查看器筛选winlogon事件或查询事件ID 6005可确定开机时间；2、使用PowerShell执行Get-WinEvent命令可快速导出所有系统启动记录，包含具体时间和详细信息。
如果您需要了解计算机的具体开机时间，可以通过系统内置的日志工具进行查询。Windows 11 的事件查看器记录了系统运行的关键活动，通过筛选特定的事件类型或ID，可以找到准确的开机记录。
本文运行环境：Dell XPS 13，Windows 11 家庭版。
一、筛选 winlogon 事件来源
winlogon.exe 是负责处理用户登录和注销的核心进程，其日志条目能直接反映每次成功的用户会话开始时间，这通常与系统完成启动的时间点一致。
1、按下 Win + X 组合键，从弹出的菜单中选择“事件查看器”以打开管理工具。
2、在左侧的导航窗格中，依次展开“Windows 日志”，然后点击“系统”。
3、在右侧的“操作”面板中，点击“筛选当前日志”。
4、在“筛选当前日志”窗口中，找到“事件来源”下拉菜单，从中选择 winlogon。
5、点击“确定”。此时日志列表将只显示与用户登录/注销相关的事件。
6、查找任务类别为“工作站锁定”或“工作站解锁”的事件，这些事件的发生时间即为用户实际开始使用电脑的时间，可作为一次有效的开机或唤醒记录。
二、查询事件ID为6005的系统日志
事件ID 6005是Windows系统日志服务启动时生成的专用标识，它标志着操作系统内核及核心服务已加载完毕，是系统完成开机过程的最精确技术指标。
1、保持在事件查看器的“系统”日志页面，再次点击右侧的“筛选当前日志”。
2、清空“事件来源”中的筛选条件，转而在“包括事件ID”输入框中输入 6005。
3、点击“确定”。列表现在将仅显示所有标记为6005的事件。
4、按时间排序，最新的事件位于顶部。每个事件的“日期和时间”字段即为一次精确的开机时间。
5、双击任意一条记录可以查看详细信息，确认其描述为“事件日志服务已启动”。
三、使用PowerShell命令快速导出
对于需要批量分析或保存记录的场景，使用PowerShell命令行工具可以自动化地查询并导出所有相关的开机事件，效率远高于图形界面操作。
1、右键点击“开始”按钮，选择“终端（管理员）”或“Windows PowerShell（管理员）”。
2、在打开的命令行窗口中，粘贴并执行以下完整命令：
Get-WinEvent -LogName System -FilterXPath "*[System[(EventID=6005)]]" | Select-Object TimeCreated, Message | Format-Table -AutoSize
3、命令执行后，系统会立即列出所有事件ID为6005的记录，包含具体的开机日期、时间和相关信息。
4、若要将结果保存到文本文件，可在上述命令末尾添加：| Out-File "C:\Users\Public\Documents\BootTimes.txt"，然后回车执行。
