Windows 驱动信任策略与老游戏启动失败：两步判定是否被驱动拦截
结论先说
2026 年 4 月的安全更新之后，Windows 不再默认信任由已停用的交叉签名计划签发的内核驱动。这类驱动在 2000 年代前后的软件、光盘校验组件与旧外设驱动里用过，所以一部分老游戏和旧外设在装了新更新的机器上可能多出一个加载前提。这不是某个补丁的偶发缺陷，而是内核信任规则本身变了，并且按设备逐台推进：有的机器已经进入强制拦截，有的还停在只记录、不拦截的阶段。
这篇文章只回答一件事——出现启动失败或设备不识别时，怎么判断是不是这条策略拦的。至于哪些老游戏会受影响，目前没有可核对的一手名单，这里不给结论。
一、这次改动改的是什么
微软支持库写明：Windows 要求新驱动通过 WHCP（Windows 硬件兼容性计划）认证签名；此前 Windows 信任由现已过期的交叉签名计划签发的驱动，而随着 2026 年 4 月的安全更新，这类驱动不再被默认信任。
范围上，支持库把生效点绑在更新而不是版本线上：装了这个更新就适用。它的常见问题一节另外点明，Windows Server 2025 及更新的服务器平台同样受影响，服务器上的重启次数要求是 2 次。客户端侧，Windows 11 26H2 的 IoT Enterprise「已移除功能」清单里列着「默认信任交叉签名驱动已移除」，说明这条策略在 26H2 已经是既有行为。
时间线上，26H2 于 2026-09-29 正式可用，自 2026-10-28 起对全部符合条件的设备可获取，采用服务技术交付；家庭版与专业版的更新支持截止到 2028-10-10。这条策略不只影响已经升到 26H2 的机器：生效点绑在更新上，装了 2026 年 4 月以后的更新就在范围内。24H2、25H2、26H1 属于同一原则下的推断——支持库没有逐版本列举，这里按原则说明，不作逐版本断言。
还有一层容易被忽略的边界：这条策略只管内核模式驱动。用户模式程序的崩溃、报错、闪退，不归它管。
二、为什么有的机器还没被拦
策略分两个阶段推进，微软把它类比成 Smart App Control 那样的渐进方式。
第一阶段是评估（审核）模式。本会被拦的驱动仍然允许加载，系统照常工作，Windows 只统计有多少驱动会受影响。进入强制模式要同时满足三个条件：累计使用时长至少 250 小时；重启至少 3 次（Windows Server 上为 2 次）；评估期内没有加载过本会被拦的驱动。第三条最容易被忽略——评估期内一旦出现一次违规加载，计时与重启计数都会归零，从头开始算。
第二阶段是强制模式。条件达标后系统自动转入，未通过策略的驱动被阻止加载，并在事件日志里留下记录；转入后跨重启保持生效。重置或重装 Windows，则重新从评估模式开始。
强制模式下能加载的驱动只有两类：通过 WHCP 认证签名的驱动，以及策略允许清单内的知名交叉签名驱动。允许清单不对外公开，所以没法预先判断某个具体驱动是否在列——这也是老游戏能不能跑起来要逐台看日志、而不是查名单推断的原因。
这里还有一处文档差异要提前说清：支持库现行写的是 250 小时与至少 3 次重启；26H2 的 IoT Enterprise 功能变更页同一段仍写为至少 100 小时与三次重启。两种写法并存，本文按支持库现行口径给出数字，并保留这条差异（见最后一节）。
三、症状只作线索，不作判据
支持库列出的可能现象有三种：硬件设备工作不正常；外设或组件（打印机、网卡、显卡等）不被识别；依赖内核驱动的应用启动失败。
这三条都是「可能出现」，不是判据。老游戏点开没反应、黑屏、闪退，更常见的成因是兼容性设置、渲染层缺失、运行库不全，或分辨率与色彩位深不匹配。所以不要一看到启动失败就归到驱动策略上，也不要反过来因为游戏能进就认为策略没生效。能定性的只有日志。
四、第一步：先确认自己处在哪个阶段，再翻日志
动手翻日志之前，先看机器现在处于哪个阶段。以管理员身份打开终端，运行：
citool -lp -json在输出的策略列表里找强制策略那条 GUID，看 IsEnforced 与 IsAuthorized 两个字段：都为真，说明已经进入强制模式；只命中审核策略的 GUID，说明还在评估模式。
然后打开事件查看器，依次进入：应用程序和服务日志 → Microsoft → Windows → CodeIntegrity → Operational。在这个日志里找两个事件 ID：
- 3076：驱动被审核过，本会被拦，但因为策略处于评估模式而放行；
- 3077：驱动被阻止加载，因为违反了强制模式下的策略。
事件详情里带文件名（File Name）、产品名（ProductName）和尝试加载它的进程名（Process Name）。这一项对老游戏特别有用：可以据此看出是游戏目录下的驱动文件被拦，还是系统里某个外设驱动被拦。
五、第二步：比对 Policy ID
只有事件 ID 还不够——同一日志里其他代码完整性规则也会写事件。事件详情里有一个 Policy ID 字段，需要与下面两个标识比对：
- 审核策略：{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}
- 强制策略：{8F9CB695-5D48-48D6-A329-7202B44607E3}
Policy ID 对得上，才能认定是这条驱动信任策略拦的；对不上，说明拦截来自别的代码完整性规则，应另找方向。日志条目多的时候，可以用 PowerShell 读 Microsoft-Windows-CodeIntegrity/Operational，按事件 ID 与上述标识筛选，把驱动名、产品名、进程名三列导出来对照，比手工翻页快得多。
六、判定成立之后：按顺序处理，也要知道什么时候停
支持库给出的处理顺序是四步：先用日志确认是哪个驱动被拦；再到「设置 → Windows 更新 → 高级选项 → 可选更新 → 驱动程序更新」看有没有厂商已发布的新版驱动；然后到设备厂商的支持页面下载最新版本；最后联系驱动发布方，询问是否有通过 WHCP 签名的版本。
对老游戏要额外说清一点：随游戏附带的光盘校验类驱动，多数早已停止维护，第二步到第四步往往走不通。这种情况下合理的做法是停在「原因已定位、记下驱动名与进程名」，而不是为了进游戏去关掉内核安全相关的保护设置。微软的支持页把「关闭该策略」写在警告之后，并说明会降低设备安全性、建议转向驱动发布方索取 WHCP 签名版本；这里不复制那些步骤。
另外，这条策略不提供按单个驱动放行的开关——支持库明确写了目前没有针对单一驱动的豁免方式。企业环境另有一条路径：用由 Secure Boot 平台密钥或密钥交换密钥签名的应用控制策略扩展内核信任；但它要求干净安装、开启 Secure Boot 并掌握固件密钥，个人机器不具备这些前提，也不该照搬。
七、适用范围与不适用
适用：系统已装 2026 年 4 月及以后的更新；已进入强制模式；事件日志里出现 3077，且 Policy ID 与强制策略标识一致。
不适用：仍在评估模式的系统（此时只有 3076，驱动仍会加载，问题不在这条线上）；Policy ID 不匹配的其他代码完整性拦截；用户模式程序的崩溃与报错；非 Windows 环境下的同类现象。
八、还不确定的部分
- 受影响的游戏与外设清单：没有可核对的一手来源，这里不给名单。
- 策略允许清单里的具体驱动与发布者：不对外公开，无法据此判断某一款驱动是否被豁免。
- 转入强制模式的时长口径：支持库写 250 小时，26H2 的 IoT Enterprise 文档同一段写至少 100 小时，两者不一致；冲突保留，不代为裁定。
- 「违规即重置」在实际机器上的宽严：文档只给了规则，没有给出逐台的统计方式。
