Win10开机记录查看与事件日志解析

文章小白一枚，正在不断学习积累知识，现将学习到的知识记录一下，也是将我的所得分享给大家！而今天这篇文章《Win10开机记录查看方法及事件日志详解》带大家来了解一下##content_title##，希望对大家的知识积累有所帮助，从而弥补自己的不足，助力实战开发！

可通过事件查看器查看系统日志中事件ID为12或107的记录确认Windows 10开机时间，也可用筛选功能、导出日志、PowerShell命令或Windows Admin Center远程获取。

如果您希望确认Windows 10电脑的开机时间、关机时间或异常断电记录，则这些信息通常以系统事件形式保存在“系统日志”中。以下是查看开机记录的具体操作路径与多种可行方式：

一、通过事件查看器查看系统日志中的开机事件

Windows系统在每次成功启动时会记录事件ID为6005和6006的事件（服务启动/停止），而真正标识“开机完成”的关键事件是ID为12、13、100、107等，其中事件ID为12（Kernel-General）代表系统已进入登录界面，事件ID为107（User32）表示用户会话已初始化，可作为有效开机标志。操作步骤如下：

1、按下Win + R组合键，打开“运行”对话框。

2、在输入框中键入eventvwr.msc，按回车键启动事件查看器。

3、在左侧导航栏中，依次展开Windows日志 → 系统。

4、在右侧日志列表中，点击列标题“级别”进行降序排列，优先筛选出“信息”级别事件。

5、滚动查找事件ID为12或107的条目，其“日期和时间”即为对应开机时刻。

6、双击该事件，在弹出窗口中点击“详细信息”选项卡，切换至“XML”视图可验证SystemTime字段值。

二、使用筛选功能快速定位开机相关事件

系统日志包含海量条目，直接浏览效率低。启用内置筛选器可精准提取开机行为记录，避免人工翻查。筛选依据包括事件ID、时间范围及来源，确保结果聚焦于启动过程。

1、在“系统”日志界面右侧操作面板中，点击“筛选当前日志…”。

2、在“事件ID”文本框中输入：12,13,100,107,6005,6009（多个ID用英文逗号分隔）。

3、在“来源”下拉菜单中选择Microsoft-Windows-Kernel-General或User32以进一步缩小范围。

4、若仅需查看最近24小时内的开机记录，勾选“仅显示过去24小时内的事件”复选框。

5、点击“确定”，界面将只显示匹配条件的日志条目。

三、导出并离线分析开机日志

当需要长期跟踪开关机规律、比对多次启动差异或提交给技术支持时，将日志导出为结构化文件更便于后续处理。导出格式支持.evtx（原生二进制）、.csv（表格兼容）和.xml（含完整元数据）三种类型。

1、在筛选后的“系统”日志列表空白处右键单击。

2、选择“将所有事件另存为…”。

3、在保存对话框中，从“保存类型”下拉菜单中选择“事件文件（.evtx）”或“文本（.csv）”。

4、指定保存路径，例如C:\Logs\BootHistory.evtx，点击“保存”。

5、如需用Excel打开.csv文件，建议先用记事本打开并确认编码为UTF-8，再以数据导入方式打开，避免中文乱码。

四、借助PowerShell命令行快速提取开机时间

对于熟悉命令行的用户，PowerShell提供高效、可脚本化的查询能力，无需图形界面即可获取最近N次开机记录。该方法基于Get-WinEvent cmdlet直接读取系统日志，响应迅速且支持时间倒序输出。

1、以管理员身份运行PowerShell：右键开始按钮 → 选择“Windows PowerShell（管理员）”。

2、执行以下命令获取最近10条开机相关事件：

Get-WinEvent -FilterHashtable @{LogName='System'; ID=12,107; Level=4} -MaxEvents 10 | Select TimeCreated, Id, Message | Format-Table -AutoSize

3、若需导出为CSV文件，追加命令：

| Export-Csv -Path C:\Logs\RecentBootTimes.csv -NoTypeInformation -Encoding UTF8

4、执行完毕后，可在指定路径查看生成的CSV文件，其中TimeCreated列即为精确到秒的开机时间戳。

五、使用Windows Admin Center远程查看多台设备开机日志

适用于企业IT管理员统一监控多台Windows 10终端的启动状态。Windows Admin Center以Web界面呈现日志，支持跨设备筛选、图表化展示及事件聚合，无需逐台登录本地事件查看器。

1、在任一Windows 10设备上安装并启动Windows Admin Center（需提前配置HTTPS证书与网关角色）。

2、登录后，在仪表板中点击“添加资源” → “Windows PC”，输入目标计算机名或IP地址并完成连接。

3、进入该设备管理页后，点击左侧菜单中的“事件”模块。

4、在事件列表顶部点击“筛选”按钮，设置条件：日志为“系统”，事件ID包含12,107，级别为“信息”。

5、启用“预览模式”后，可查看以时间轴形式组织的堆叠条形图，直观识别各设备开机频次与时间分布。

今天关于《Win10开机记录查看与事件日志解析》的内容介绍就到此结束，如果有什么疑问或者建议，可以在golang学习网公众号下多多回复交流；文中若有不正之处，也希望回复留言以告知！