「パソコンがいつ起動されたのか確認したい」「特定の日にWindowsが使われていたか調べたい」といった場合、Windowsに残る起動時刻やイベントログが手がかりになります。現在の起動時刻だけであればPowerShellやタスクマネージャーから簡単に確認できますが、過去の起動・終了状況を追う場合はイベントビューアーを利用します。

Windowsでは、イベントログサービスの開始や正常終了、予期しない終了などがシステムログへ記録されることがあります。これらを時系列で確認することで、「いつ起動したか」「正常に終了したか」「突然電源が落ちた可能性があるか」などを整理できます。

ただし、表示される時刻は必ずしも単純な「電源ボタンを押した時刻」と一致するとは限りません。高速スタートアップなどの影響によって、シャットダウン後も前回のOS状態が引き継がれ、想定した起動時刻とずれる場合があります。また、社内調査や証拠確認を目的とする場合は、ログを直接変更・削除しないよう注意が必要です。

そこで本記事では、Windowsの現在の起動時刻をPowerShellやコマンドプロンプトで確認する方法、タスクマネージャーで稼働時間を見る方法、イベントビューアーから過去の起動・終了履歴を確認する方法、さらにWindowsの起動にかかった時間を調べる方法までわかりやすく解説します。

Windowsの現在の起動時刻を確認する方法

現在起動しているWindowsが「最後にいつ起動したのか」を確認する場合は、PowerShellまたはコマンドプロンプトを利用する方法が簡単です。

PowerShellで起動時刻を確認する

Windowsの最終起動時刻を確認する場合は、PowerShellを利用できます。管理者権限は不要です。

(Get-CimInstance Win32_OperatingSystem).LastBootUpTime

このコマンドを実行すると、現在のWindowsが最後に起動した日時を確認できます。

現在のPCが最後にいつ起動したかだけを確認したい場合は、この方法が最も簡単です。

コマンドプロンプトで起動時刻を確認する

PowerShellではなく、コマンドプロンプトから確認することもできます。

systeminfo | find "システム起動時間"

systeminfoにはWindowsのシステム情報が含まれており、その中から「システム起動時間」を抽出して表示します。

タスクマネージャーで稼働時間を確認する

コマンドを使わずに確認したい場合は、タスクマネージャーからWindowsの連続稼働時間を確認できます。

Ctrl + Shift + Escでタスクマネージャーを開き、「パフォーマンス」→「CPU」と進むと、画面右下付近に「稼働時間」が表示されます。

稼働時間から現在時刻を逆算すれば、おおよその起動タイミングを確認できます。ただし、高速スタートアップの設定によっては、単純なシャットダウン後も稼働時間が期待どおりリセットされない場合があります。

Windowsの過去の起動・終了履歴を確認する方法

現在の起動時刻だけでなく、「昨日は何時に起動したか」「特定日にPCが使われた形跡があるか」を確認したい場合は、イベントビューアーのシステムログを利用します。

イベントビューアーを開く

スタートボタンを右クリックし、「イベントビューアー」を開きます。

イベントビューアーには、Windowsやアプリケーションの動作に関するさまざまなログが記録されています。

Windowsログの「システム」を確認する

イベントビューアーを開いたら、左側のメニューから「Windowsログ」→「システム」を選択します。

システムログには、Windowsの起動・終了に関連する記録のほか、サービスやドライバーなどの動作情報も含まれています。

イベントID 6005・6006・6008で絞り込む

ログが大量にある場合は、「現在のログをフィルター」を使って起動・終了に関連するイベントだけを表示します。

6005,6006,6008

主な意味は次のとおりです。

日時を並べて起動・終了を確認する

イベントを絞り込んだら、各ログの日時を確認します。

たとえば、6005の後にしばらくして6006が記録されていれば、その間Windowsが動作していた可能性を確認する手がかりになります。6008が存在する場合は、正常なシャットダウンではなく、電源断やクラッシュなどが起きた可能性を確認します。

イベントログは、単純に起動した時刻を見るだけでなく、正常終了だったのか、予期しない終了があったのかを確認する際にも利用できます。

イベントID 6005・6006・6008から分かること

Windowsの起動・終了を調べる場合は、それぞれのイベントが何を意味しているのかを理解しておくことが重要です。

6005から起動時刻の目安を確認する

イベントID 6005は、イベントログサービスが開始したことを示す記録です。

Windows起動時にイベントログサービスも開始されるため、OSが起動した時刻を確認する目安として利用できます。

ただし、これは「電源ボタンを押した瞬間」を直接記録したものではありません。あくまでイベントログサービスの開始時刻を起動の目安として利用します。

6006から正常終了を確認する

イベントID 6006は、イベントログサービスが正常に停止した記録です。

Windowsが通常の手順でシャットダウンされた場合に、終了時刻を確認する目安として利用できます。

6008から予期しない終了を確認する

イベントID 6008は、前回のWindows終了が予期しないものだった場合に記録されます。

正常なシャットダウン操作ではなく、強制終了、電源断、システム障害などが発生した場合に確認する手がかりになります。

ただし、6008だけで終了原因を断定することはできません。原因を詳しく調べる場合は、同じ時間帯の他のシステムログもあわせて確認する必要があります。

Windowsの起動にかかった時間を確認する方法

「何時に起動したか」ではなく、「Windowsが利用可能になるまで何秒かかったか」を確認したい場合は、Diagnostics-Performanceのログを利用します。

Diagnostics-Performanceを開く

イベントビューアーから、次の順番でログを開きます。

アプリケーションとサービス ログ → Microsoft → Windows → Diagnostics-Performance → Operational

このログには、Windowsの起動や終了にかかった時間など、パフォーマンスに関する情報が記録されます。

Operationalログを確認する

Diagnostics-Performance内の「Operational」を開くと、起動に関係する複数のイベントを確認できます。

通常のシステムログとは異なり、起動処理の性能を確認したい場合に利用します。

イベントID 100を確認する

起動にかかった時間を確認する場合は、イベントID 100を探します。

イベントの詳細から、Windowsのブートに要した時間を確認できます。

高速スタートアップが有効だと起動時刻がずれる場合がある

Windowsの起動時刻を確認する際に注意したいのが「高速スタートアップ」です。

高速スタートアップが有効な環境では、通常のシャットダウン時にWindowsの状態の一部が保存され、次回起動時にその情報を利用します。そのため、「昨晩シャットダウンしたはずなのに、稼働時間が想定と合わない」といった状態になることがあります。

特にタスクマネージャーの稼働時間だけを見て利用時刻を判断すると、実際の操作状況とずれる可能性があります。

正確に過去の利用状況を確認したい場合は、PowerShellのLastBootUpTimeだけでなく、イベントビューアーのシステムログもあわせて確認することが重要です。

Windowsの起動履歴を調査目的で確認する場合の注意点

社内調査や端末の利用状況確認などでWindowsの起動履歴を見る場合は、表示された一つのログだけで結論を出さず、他の記録と組み合わせて判断することが重要です。

起動ログだけで利用者を断定しない

Windowsが起動していたことが分かっても、それだけで「特定の人物が操作していた」とまでは判断できません。

PCの起動と実際のユーザー操作は別のため、利用者を確認したい場合はログオン履歴などもあわせて調べる必要があります。

ログオン・ログオフなど他の記録と組み合わせる

特定の日にPCが利用されていたか調べる場合は、起動・終了時刻だけでなく、ログオン、ファイル操作、ブラウザ履歴など複数の記録を時系列で確認すると状況を整理しやすくなります。

起動ログは「PCが動作していた時間帯」を確認する手掛かりの一つとして扱うことが重要です。

高速スタートアップの影響を考慮する

高速スタートアップが有効な場合、シャットダウンと完全な再起動の挙動が異なるため、単純な起動時刻だけでは正確に判断しにくい場合があります。

そのため、調査目的では複数のイベントを確認して時系列を組み立てます。

証拠として使う場合はログを保全する

起動・終了履歴を社内調査や法的対応の資料として利用する場合は、対象PCを継続して使用するとログが上書きされる可能性があります。

また、イベントログを削除したり設定を変更したりすると、後から元の状態を確認しにくくなります。重要な調査では、ログを変更する前に保全することが重要です。

Windowsの起動・終了履歴をフォレンジック調査で確認する方法

イベントビューアーを確認すれば、起動や終了に関する基本的な履歴は自分でも確認できます。一方で、「誰が操作したのか」「その時間帯に何をしていたのか」「ログが削除されていないか」まで確認したい場合は、起動履歴以外のデータも調べる必要があります。

起動・終了履歴を時系列で整理する

Windowsの利用状況を正確に確認するには、イベントID 6005、6006、6008などを時系列で整理し、いつOSが起動し、いつ終了した可能性があるのかを確認します。

フォレンジック調査では、対象データを保全したうえで複数のログを解析し、利用状況を客観的に整理します。

ログオン履歴と照合する

PCが起動していただけでは、誰が使用したのかは分かりません。

そのため、Windowsのログオンに関する記録などと起動時刻を突き合わせ、利用者や時間帯を整理します。

ファイル・ブラウザなどの操作履歴と突合する

特定時間帯の利用内容まで確認したい場合は、ファイル操作やChrome・Edgeなどの閲覧履歴、USB接続など別の記録も確認します。

たとえば、PCが起動した直後にブラウザ閲覧やファイル操作が行われていれば、単に電源が入っていただけではなく、実際の操作が行われていた可能性を確認する手掛かりになります。

ログ削除や異常終了の痕跡を確認する

イベントログが残っていない場合でも、単純に「その時間は利用されていない」とは限りません。ログの保存期間や上書き、削除なども考慮する必要があります。

また、6008など異常終了を示す記録がある場合は、その前後のログを確認し、電源断や障害などが発生していなかったかを整理します。

フォレンジック調査会社に相談する

Windowsの起動時刻だけでなく、誰が操作した可能性があるのか、その時間帯にどのようなファイルやWebサイトへアクセスしていたのかまで確認したい場合は、フォレンジック調査会社への相談を検討します。

フォレンジック調査会社では、システムログやログオン履歴、ブラウザ履歴、ファイル操作など複数の記録を時系列で解析し、端末の利用状況を整理できます。

特に社内不正や労務トラブルなどで証拠として扱う可能性がある場合は、対象PCを通常利用し続けることでログが上書きされることがあります。必要な記録を保全したうえで調査を進めることが重要です。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

Windowsの現在の起動時刻を確認したい場合は、PowerShellで「(Get-CimInstance Win32_OperatingSystem).LastBootUpTime」を実行する方法が簡単です。コマンドプロンプトのsysteminfoや、タスクマネージャーの稼働時間から確認する方法もあります。

過去の起動・終了履歴を調べたい場合は、イベントビューアーの「Windowsログ」→「システム」から、イベントID 6005、6006、6008を確認します。6005はイベントログサービスの開始、6006は正常終了、6008は前回の予期しない終了を確認する目安になります。

また、Windowsの起動に何秒かかったかを調べたい場合は、Diagnostics-PerformanceのOperationalログからイベントID 100を確認します。高速スタートアップが有効な場合は、単純な起動時刻や稼働時間が想定とずれることがあるため注意が必要です。

社内調査や証拠確認を目的とする場合は、起動ログだけで利用者や操作内容を断定せず、ログオン履歴、ファイル操作、ブラウザ履歴なども組み合わせて確認することが重要です。重要な証拠として扱う可能性がある場合は、ログの削除や対象PCの継続利用を避け、必要に応じてフォレンジック調査を検討します。