# BIOS、ME 与 SSD 固件：什么时候值得冒险更新

> 固件更新的决策规则、执行顺序，以及避免 BitLocker 恢复提示的 TPM/挂起步骤。

**测试环境**

- 版本号: 26300.9457 / 26100.33650
- 版本: Pro (26H2) / Server
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

当固件更新能修复你说得出来的东西时才更新：

- 影响你主板/CPU 的**安全公告**（微码），
- **兼容性修复**（内存套件、NVMe、显卡、雷电设备），
- 你**实际观察到**的稳定性 bug，
- 你需要的**CPU 支持**新增。

不要因为版本号更高就更新。每次刷写都有变砖风险，也都在等着触发一次 BitLocker 恢复提示。

## PC 上的"固件"指什么

| 部件 | 更新途径 | 风险 |
|---|---|---|
| **BIOS/UEFI** | 厂商工具或从 U 盘内置刷写 | 断电变砖 |
| **ME/PSP**（管理引擎） | 多数主板随 BIOS 一起 | 同 BIOS |
| **SSD/NVMe 固件** | 厂商工具，在线更新 | 中断可能丢数据 |
| **TPM 固件** | 随 BIOS/固件 | 可能清除 TPM 状态 |
| **扩展坞/外设** | 厂商工具 | 通常较低 |
| **网卡/RAID 卡** | 厂商工具，常需重启 | 低，但要核对驱动配对 |

服务器还要加 BMC（iDRAC/iLO）固件——它与 BIOS 分开，有独立更新路径。

## 刷之前

1. **备份**——至少把恢复密钥和不可替代的东西备好。
2. 开了 BitLocker 就**挂起**：

```powershell
Suspend-BitLocker -MountPoint C: -RebootCount 1
```

3. **记录当前版本**，才能证明改了什么：

```powershell
Get-CimInstance Win32_BIOS | Select-Object SMBIOSBIOSVersion,ReleaseDate,Manufacturer
Get-CimInstance Win32_BaseBoard | Select-Object Manufacturer,Product,Version
Get-PhysicalDisk | Select-Object FriendlyName,FirmwareVersion,HealthStatus
Get-Tpm | Select-Object TpmPresent,TpmReady,ManufacturerIdTxt
```

4. **读发布说明**——某些 BIOS 更新会移除功能、重置设置，或要求先升到某个中间版本。
5. **供电**：笔记本接电且电池有电；台式有 UPS 就接上。刷写中途断电是唯一没有软件解法的失败模式。

> **危险: 供电不稳的机器绝不刷固件**
>
> 写 BIOS 时掉压，会让主板需要硬件编程器或送修。如果机器本来就在随机重启，先修那个——重启本身可能就是你要刷固件的原因。

## 避免意外的顺序

1. 挂起 BitLocker，记录版本。
2. 更新 **BIOS/UEFI**（通常包含 ME 与微码）。
3. 重启进固件，**重新设置**你的选项（TPM、安全启动、XMP、风扇曲线）——更新常会重置它们。
4. 在 Windows 内核对：`Confirm-SecureBootUEFI`、`Get-Tpm`、`$env:firmware_type`。
5. 厂商列出影响你的修复时，再更新 **SSD 固件**。
6. 最后更新**扩展坞/外设**。
7. 恢复 BitLocker，确认 `manage-bde -status` 显示保护已开。

## SSD 固件的特殊之处

- 只用**厂商自家工具**，并确认硬盘型号。
- 固件更新可能改变掉电行为；读更新日志。
- 中断 SSD 固件更新可能让硬盘进入需要厂商恢复的状态——在有电池的笔记本或有 UPS 的台式上做。
- 更新后重查 SMART，跑一次短写测试再放数据。

## 服务器与 BMC 固件

- **先 BMC 还是先 BIOS？** 厂商指引不同；按服务器厂商的顺序，不要按博客。
- BMC 更新可能重置网络设置与凭据——先记录。
- 部分平台要求**分阶段更新**（先升到 X 再升 Y）。
- 服务器固件更新常会重置安全启动/TPM 设置；更新前记录，更新后核对。

## 什么时候不更新

- 机器稳定、已过保、更新修不了任何你说得出来的问题。
- 你无法保证整个过程的供电。
- 发布说明提到在你这个型号上有回归。
- 失败后你没有恢复手段（无双 BIOS、无编程器、无送修选项）。

## 相关

- [真正影响 Windows 的 UEFI 设置](https://winbook.fyi/zh/hardware/build/uefi-settings/)
- [BitLocker 与硬件加密](https://winbook.fyi/zh/hardware/storage/bitlocker-hardware-encryption/)
- [CPU 支持与微码](https://winbook.fyi/zh/hardware/cpu/support-microcode/)

## 实验室边界

E1。更新路径与 BitLocker 行为有微软与硬件厂商文档依据。实验室只在虚拟机里更新固件（OVMF/vTPM），没有做过物理刷写。

## 来源

- [Microsoft Learn — OEM 安全启动](https://learn.microsoft.com/zh-cn/windows-hardware/design/device-experiences/oem-secure-boot)
- [Microsoft Learn — TPM 基础](https://learn.microsoft.com/zh-cn/windows/security/hardware-security/tpm/tpm-fundamentals)
- [Microsoft Learn — Windows 安装程序命令行选项](https://learn.microsoft.com/zh-cn/windows-hardware/manufacture/desktop/windows-setup-command-line-options)

---

来源页面: https://winbook.fyi/zh/hardware/build/firmware-updates/