可通过五种方法查询Windows 11开机时间：一、事件查看器筛选ID 6005；二、PowerShell导出全部6005事件；三、任务管理器查看正常运行时间；四、systeminfo命令获取启动时间戳；五、事件查看器筛选winlogon来源追溯登录时间。
如果您需要确认Windows 11设备在历史某次启动的确切时间点，或排查异常重启行为，则需查阅系统生成的启动日志。以下是多种可独立使用的查询方法：
一、通过事件查看器筛选事件ID 6005
事件ID 6005由Windows事件日志服务在每次成功启动时自动记录，代表日志子系统初始化完成，是系统完成内核加载与核心服务启动的权威标志。
1、按下Win + R组合键，打开“运行”对话框，输入eventvwr.msc并按回车，启动事件查看器。
2、在左侧导航窗格中，依次展开Windows 日志 → 系统。
3、在右侧操作面板中，点击筛选当前日志。
4、在弹出窗口的“包括事件ID”文本框中输入6005，其他字段保持为空。
5、点击确定，日志列表将仅显示所有开机事件，每条记录的“日期和时间”即为对应启动时刻。
二、使用PowerShell命令导出全部开机记录
PowerShell支持批量提取结构化日志数据，可一次性获取所有事件ID 6005的完整时间戳与上下文信息，适用于需要比对多次启动间隔或导出存档的场景。
1、右键点击“开始”按钮，选择终端（管理员）或Windows PowerShell（管理员）。
2、粘贴并执行以下命令：
Get-WinEvent -LogName System -FilterXPath "*[System[(EventID=6005)]]" | Select-Object TimeCreated, Id, Message | Sort-Object TimeCreated -Descending | Format-Table -AutoSize
3、执行后立即输出按时间倒序排列的开机记录表，含精确到秒的TimeCreated字段。
三、通过任务管理器快速查看本次开机持续时长
任务管理器直接读取系统内核计时器，显示自最近一次成功启动以来的连续运行时间，数值实时更新，无需解析日志，适合快速验证当前会话是否为新启动。
1、同时按下Ctrl + Shift + Esc组合键，打开任务管理器。
2、切换至性能选项卡，在左侧列表中点击CPU。
3、滚动至右侧底部区域，定位正常运行时间字段，其值格式为DD:HH:MM:SS。
四、利用命令提示符查询最近一次启动时间戳
systeminfo命令从操作系统WMI数据库中提取原始启动时间，返回标准日期时间格式，结果稳定可靠，不依赖日志服务状态。
1、按下Win + R键，输入cmd并回车，启动命令提示符。
2、输入以下命令并回车：
systeminfo | find "系统启动时间"
3、输出结果形如系统启动时间: 2026/01/09, 08:22:15，该时间即为本次开机的确切起始时刻。
五、结合winlogon事件来源追溯用户级登录时间
winlogon.exe进程负责处理交互式用户会话建立，其日志虽非内核级开机信号，但能反映用户实际解锁设备的时间点，可作为开机后首次可用性的辅助参考。
1、在事件查看器的“系统”日志页面，再次点击右侧的筛选当前日志。
2、清空“事件ID”栏，在“事件来源”下拉菜单中选择winlogon。
3、点击确定，筛选出所有登录/注销事件。
4、查找任务类别为工作站解锁的条目，其发生时间通常晚于事件ID 6005数秒至数十秒，代表用户完成身份验证并进入桌面的时刻。
