什么是开关机记录？
Windows系统的开关机记录是操作系统自动生成的日志信息，记录了计算机每次开机和关机的具体时间。这些记录对于分析系统稳定性、排查异常关机、了解设备使用习惯等都非常有帮助。
系统通过事件日志服务(Event Log Service)自动记录这些信息，主要存储在"系统"日志中，对应的事件ID分别为：
- 事件ID 6005：表示事件日志服务已启动，通常对应于开机时间
- 事件ID 6006：表示事件日志服务已停止，通常对应于正常关机时间
- 事件ID 6008：表示上一次系统关闭异常（如断电、蓝屏等）
方法一：使用事件查看器（图形界面）
这是最直观的查看方式，适合大多数用户。
操作步骤：
- 按下 Win + R 键打开"运行"对话框
- 输入 eventvwr.msc 并按回车，打开事件查看器
- 在左侧导航栏中，依次展开"Windows 日志" → "系统"
- 在右侧点击"筛选当前日志..."
- 在"事件ID"框中输入 6005,6006,6008，然后点击"确定"
提示：你也可以不进行筛选，直接在"系统"日志中查找来源为"EventLog"且事件ID为6005、6006或6008的条目。
筛选完成后，你将看到清晰的开关机时间线：
- 事件ID 6005 的时间即为开机时间
- 事件ID 6006 的时间即为正常关机时间
- 事件ID 6008 的时间表示发生了异常关机
方法二：使用命令提示符
通过命令行可以快速获取最近的开关机记录，适合喜欢使用命令的用户。
查看最近的开关机记录：
wevtutil qe System /c:10 /f:text /q:"Event[System[(EventID=6005 or EventID=6006)]]"
说明：
wevtutil 是Windows事件命令行工具/c:10 表示显示最近10条记录/f:text 表示以文本格式输出/q:"..." 是查询条件，这里查询事件ID为6005或6006的记录
仅查看开机记录：
wevtutil qe System /f:text /q:"Event[System[EventID=6005]]" | findstr "Date\:\ Time\:"
注意：某些系统可能需要以管理员身份运行命令提示符才能执行这些命令。
方法三：使用PowerShell
PowerShell提供了更强大的日志查询功能。
获取最近10次的开关机记录：
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005,6006} -MaxEvents 10 | ForEach-Object {
$action = if ($_.Id -eq 6005) { '开机' } else { '关机' }
"$($_.TimeCreated) - $action"
}
这条命令会输出格式化的开关机时间列表，非常清晰易读。
导出开关机记录到CSV文件：
Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005,6006} | Select-Object TimeCreated, Id, Message | Export-Csv -Path "C:\开关机记录.csv" -Encoding UTF8 -NoTypeInformation
执行后，所有开关机记录将被保存到C盘根目录下的"开关机记录.csv"文件中，可以用Excel打开查看和分析。
常见问题解答
为什么看不到很久以前的开关机记录？
Windows默认会限制日志文件的大小，当达到上限时会自动覆盖最旧的记录。可以通过修改日志属性来增加最大大小或更改"当达到最大日志大小时"的设置。
笔记本休眠和睡眠算不算关机？
不算。休眠(Hibernate)会产生事件ID 6006（系统关机），但睡眠(Sleep)不会产生明显的日志记录，因为系统并未真正关闭，只是进入低功耗状态。
如何定期监控开关机记录？
可以创建计划任务，定期运行PowerShell脚本收集开关机数据，并将其保存到指定位置用于长期分析。
服务器和普通Windows系统的记录有区别吗？
基本原理相同，但服务器版本的Windows通常会有更详细的日志配置和更长的日志保留周期，便于系统管理员进行故障排查。