可通过事件ID 6005在事件查看器中查每次启动时间，其时间戳精确到秒且不受登录状态影响；也可用PowerShell、winlogon事件、systeminfo命令或联合筛选多事件ID辅助分析。

如果您希望确认Windows 11设备历次启动的确切时间点，系统已自动在事件日志中留存技术痕迹。以下是查阅每次启动时间的多种可行方法：

一、通过事件查看器筛选事件ID 6005

事件ID 6005由Windows事件日志服务在每次内核加载完成、核心服务就绪后立即写入，是标识系统成功完成开机过程的最权威信号，其时间戳精确到秒且不受用户登录状态影响。

1、按下Win + R组合键，打开“运行”对话框，输入eventvwr.msc并按回车，启动事件查看器。

2、在左侧导航窗格中，依次展开Windows 日志 → 系统。

3、在右侧操作面板中，点击筛选当前日志。

4、在弹出窗口的“包括事件ID”文本框中输入6005，其他字段保持为空。

5、点击确定，日志列表将仅显示所有开机事件，每条记录的“日期和时间”即为对应启动时刻。

6、双击任意一条事件，在“常规”选项卡中确认描述为“事件日志服务已启动”，以验证该事件有效性。

二、使用PowerShell命令批量提取全部开机时间戳

PowerShell直接调用系统日志API，可一次性获取所有6005事件的结构化数据，支持时间倒序排列与高精度输出，适用于比对多次启动间隔或生成时间序列清单。

1、右键点击“开始”按钮，选择终端(管理员)或Windows PowerShell(管理员)。

2、粘贴并执行以下命令：Get-WinEvent -LogName System -FilterXPath "*[System[(EventID=6005)]]" | Select-Object TimeCreated, Id | Sort-Object TimeCreated -Descending | Format-Table -AutoSize

3、执行后立即输出完整开机记录表，TimeCreated字段包含精确到秒的启动时间，首行为最近一次开机。

三、结合winlogon事件源定位用户级启动时间

winlogon.exe进程负责处理交互式用户会话，其日志虽不反映内核级开机，但能准确标识用户实际开始使用系统的时刻，适用于区分冷启动、唤醒或自动登录场景。

1、在事件查看器“系统”日志页面，再次点击右侧的“筛选当前日志”。

2、清空“事件ID”字段，在“事件来源”下拉菜单中选择winlogon。

3、点击“确定”，日志列表将仅显示winlogon相关事件。

4、查找任务类别为“用户登录”或“工作站解锁”的条目，其发生时间即为用户级启动或唤醒时间点。

5、若需判断是否为冷启动，应交叉比对该时间与最近一条事件ID 6005的时间差：若间隔小于30秒，大概率属于同一启动周期。

四、利用systeminfo命令快速获取本次开机时间

systeminfo命令从WMI数据库读取原始启动时间，不依赖事件日志服务是否启用，结果稳定可靠，适合远程诊断或日志服务异常时的兜底验证。

1、按下Win + R键，输入cmd并回车，启动命令提示符。

2、输入以下命令并回车：systeminfo | find "系统启动时间"

3、输出结果形如系统启动时间: 2026/03/17, 08:22:15，该时间即为本次开机的确切起始时刻。

五、通过事件查看器联合筛选多事件ID识别开关机全周期

单一事件ID 6005仅反映开机，而联合筛选6005（开机）、6006（正常关机）、6008（意外断电）、1074（计划重启）可还原完整设备运行周期，便于分析非预期重启或电源异常。

1、在事件查看器“系统”日志页面，点击右侧“筛选当前日志”。

2、在“事件ID”文本框中输入：6005,6006,6008,1074（使用英文逗号分隔）。

3、点击确定，列表将显示所有开关机相关事件。

4、观察时间序列：若某次6005事件前无6006或1074，而紧邻前一条为6008，则表明上一次为意外断电；若6005后紧跟1074，则可能为更新触发的自动重启。