一、基础命令入门：通过CMD查看系统运行时长
在Windows操作系统中，最直观的初步方法是使用uptime命令来获取系统已运行的时间。尽管该命令无法直接提供具体的开机时间点，但它能快速反馈自上次启动以来的天数、小时和分钟。
net stats workstation
执行上述命令后，在输出信息中查找“Statistics since”字段，其后显示的时间即为系统上次启动的精确时刻。这是基于NetBIOS服务的一个传统方式，适用于所有现代Windows版本。
二、深入系统信息：利用systeminfo获取完整启动时间
若需获得更详细的系统启动时间，推荐使用systeminfo命令。该命令会检索大量系统配置数据，其中包括“系统启动时间”这一关键条目。
systeminfo | findstr /i "system boot time"
此命令结合管道符与findstr筛选功能，仅输出包含启动时间的信息行，提升可读性与效率。示例输出如下：
System Boot Time: 2025-04-03, 7:28:12 AMOS Name: Microsoft Windows 11 ProOS Version: 10.0.22631 N/A Build 22631Total Physical Memory: 32,692 MB
值得注意的是，systeminfo首次执行时常伴随显著延迟，因其需枚举多个WMI类并远程调用系统服务。
三、性能优化方案：使用PowerShell高效查询LastBootUpTime
针对大规模终端管理或自动化运维场景，建议采用PowerShell替代CMD以实现毫秒级响应。核心命令如下：
Get-CimInstance -ClassName Win32_OperatingSystem | Select-Object LastBootUpTime
相较于旧版Get-WmiObject，Get-CimInstance具备更好的异步支持与跨平台兼容性（如WinRM环境）。以下为返回示例：
LastBootUpTime2025-04-03 7:28:12
进一步地，可通过格式化输出转换为本地时区时间：
(Get-CimInstance Win32_OperatingSystem).LastBootUpTime.ToString("yyyy-MM-dd HH:mm:ss")
四、多维度诊断路径：结合事件日志分析异常重启
单纯获取启动时间不足以判断是否存在非正常关机。应结合Windows事件查看器中的关键ID进行溯源。常见相关事件包括：
ID 6005: Event Log Service started — 标志系统开始记录日志，通常紧随启动之后ID 6006: Event Log Service stopped — 表明系统被正常关闭ID 6008: Unexpected shutdown — 指示系统非正常断电或崩溃ID 41: Kernel-Power 41 — 系统在没有先正常关机的情况下重新启动ID 1001: Windows Error Reporting记录蓝屏事件ID 4609: 安全审计中记录的完整关机行为
可通过PowerShell提取最近五次的启动记录：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=6005} -MaxEvents 5 | ForEach-Object { [PSCustomObject]@{ TimeCreated = $_.TimeCreated; MachineName = $_.MachineName } }
五、自动化脚本实践：构建批量检测流程图
对于企业级IT支持团队，常需对数百台主机执行统一健康检查。以下Mermaid流程图展示了一个典型的远程开机时间采集逻辑：
graph TD
A[开始批量检测] --> B{读取主机列表}
B --> C[连接目标主机]
C --> D[执行CIM查询LastBootUpTime]
D --> E[记录结果至CSV]
E --> F[判断是否超时7天未重启]
F -->|是| G[标记为高风险设备]
F -->|否| H[继续下一台]
H --> I{是否遍历完成?}
I -->|否| C
I -->|是| J[生成汇总报告]
此类脚本可集成进Scheduled Task或Configuration Manager任务序列中，实现无人值守监控。