TPM 2.0 和安全启动怎么开启：装机卡门槛的两块拦路石

为什么这两样是硬门槛

Windows 11 把安全性写进了最低配置：TPM 2.0（可信平台模块）负责存放加密密钥支撑 BitLocker 与 Windows Hello，安全启动（Secure Boot）保证开机链路里没有恶意引导。两者都是主板能力，绝大多数 2016 年后的机器硬件上有，只是默认没开。

第一步：确认现状

先别急着进 BIOS，在系统里就能查：

1. 打开「Windows 安全中心 > 设备安全性 > 安全处理器详细信息」。
2. 能看到「规范版本 2.0」说明 TPM 已就绪。
3. 再看「安全启动」状态：在「系统信息」或安全中心的「安全启动」条目里确认是否开启。

也可以按 Win+R 运行 tpm.msc，直接读 TPM 状态与版本。

第二步：进 UEFI 开开关

如果确认未开启，需要进固件设置：

1. 「设置 > 系统 > 恢复 > 高级启动 > 立即重新启动」，或者关机后按主板热键（Del、F2 居多）。
2. 在 UEFI 里找以下选项（各家叫法不同）：

• Intel 平台：Intel PTT（Platform Trust Technology）
• AMD 平台：AMD fTPM（Firmware TPM）
• 通常藏在 Security、Advanced 或 Firmware Configuration 分区

1. 把 PTT/ftTPM 设为 Enabled；在 Boot 分区把 Secure Boot 设为 Enabled。
2. 保存重启，回到系统再跑一次健康状况检查应用验证。

开启失败的常见原因

• BIOS 太老：部分老主板需要先刷新 BIOS 才提供 fTPM/PTT 选项。
• 系统盘是 MBR 分区：开安全启动要求磁盘为 GPT，需要先用官方工具无损转换。
• CSM 兼容模式占用：关闭 CSM/Legacy Boot 后安全启动才能启用。
• 电脑模式开关：部分笔记本有独立「OS Optimized Defaults」之类开关，需一并调整。

改动前的提醒

进 BIOS 改固件设置属于低风险但并非零风险的操作：改前记下原有设置，BitLocker 已加密的设备先暂停保护或备好 恢复密钥，避免硬件变更触发恢复界面。

不同品牌 UEFI 菜单差异较大，具体选项名以主板厂商手册为准。