要确认电脑在2026年10月25日深夜是否被远程开机、验证同事声称的“设备全天未使用”是否属实，或排查某次蓝屏后是否曾重启却无人知晓，必须调取Windows自动生成的原始开关机事件——这些记录藏在系统日志里，不依赖用户操作，也无法被常规清理抹除。
用事件查看器精准筛选开机事件
事件查看器是唯一能回溯历史开机时间点的原生工具，它把每次开机固化为ID 6005事件（事件日志服务启动），该时刻代表内核初始化完成、日志功能就绪，比登录界面出现更早，也比任务管理器显示的时间更权威。
第一步：按 Win + R 打开运行框，输入 eventvwr.msc 并回车。
第二步：在左侧导航栏中依次展开 Windows 日志 → 系统，注意不要误点“应用程序”或“安全”日志——开关机事件只写入系统日志。
第三步：在右侧操作面板点击 筛选当前日志…，在弹出窗口的“事件ID”栏填入 6005，其他选项保持默认，点击确定。
第四步：列表刷新后，每条记录的“日期和时间”列即为精确到秒的开机时刻；双击任意一条，可在“常规”选项卡看到“事件日志服务已启动”的描述，确认无误。若需交叉验证是否有人为干预，可额外添加ID 1074（用户发起的重启）一并筛选。
命令行秒查本次开机时间
适用于桌面卡死、远程服务器无图形界面，或只需快速确认“现在这台机器是从几点开始跑的”场景。systeminfo命令直接读取NT内核写入的启动时间注册值，结果不可伪造。
方法一：按 Win + R 输入 cmd 回车，执行：
systeminfo | find "系统启动时间"
方法二：若系统语言非中文，或提示找不到关键词，改用英文环境执行：
systeminfo | find "System Boot Time"
输出格式为“系统启动时间: 2026/10/28, 08:12:33”，这个时间就是【本次连续运行的确切起点】，不是上次关机时间，也不是系统安装时间。
PowerShell导出完整开关机时间线
当需要把过去一周所有开机、正常关机、意外断电、主动重启的时间整理成表格发给IT部门备案时，这条命令能一次性提取结构化数据，自动倒序排列，避免人工翻页漏看。
以管理员身份启动Windows Terminal或PowerShell，粘贴执行以下命令：
Get-WinEvent -LogName System | Where-Object {$_.Id -eq 6005 -or $_.Id -eq 6006 -or $_.Id -eq 6008 -or $_.Id -eq 1074} | Select-Object TimeCreated, Id, Message | Sort-Object TimeCreated -Descending | Format-Table -AutoSize
执行后将立即输出带表头的可读表格，其中ID 6005=开机，6006=正常关机，6008=意外断电（如拔电源、蓝屏），1074=用户或程序触发的重启/关机；【缺一不可】，漏掉6008就可能把强制断电当成正常关机处理。
