旧 PE 启动盘在新主板上进不去，卡住的是一张过期的证书

最近装机圈有个反复出现的怪事：昨天还能用的 WinPE 启动盘，装完 2026 年那几批系统更新，插到新主板上选 U 盘启动，要么蓝屏，要么报"无效签名"，要么被直接弹回启动菜单。

最近装机圈有个反复出现的怪事：昨天还能用的 WinPE 启动盘，装完 2026 年那几批系统更新，插到新主板上选 U 盘启动，要么蓝屏，要么报"无效签名"，要么被直接弹回启动菜单。

问题不在 U 盘，也不在镜像。微软在换门禁卡。给安全启动签名的旧证书 UEFI CA 2011 已经在 2026 年 6 月 27 日过期，Windows 生产 PCA 2011 证书也在 2026 年 10 月 19 日到期，两张证书的到期日相隔 114 天，这两个日期以微软官方支持文档（learn.microsoft.com）的表述为准。只认旧证书的 PE，被新主板挡在了门外。

安全启动这件事的原理不复杂。主板固件里存着一组信任清单，只放行持有有效证书签名的引导程序。2023 年微软签发了新证书 Windows UEFI CA 2023，按微软官方支持文档的说法，2026 年这一轮要把 2011 系列的 4 张证书全部替换掉，包括 KEK 2K CA 2023 和 Option ROM UEFI CA 2023。这两年新证书一直在往主板固件里铺。铺到位之后，旧的 PCA 2011 被写进 DBX 黑名单，从此不再接受只带旧证书的系统或 PE 启动。

关键在于，这不是"一刀切关机"。已经通过旧证书校验装好的系统，过期后照样能开机，不会突然蓝屏。出事的是新装、重装、引导修复这些动作——新版镜像和新版 PE 只认 CA 2023，老启动盘只带 PCA 2011，两边对不上，启动就断在这儿。

还有一类机器更麻烦：品牌机和笔记本为了合规，BIOS 里默认开启安全启动，甚至不给关闭选项。网上那句"把安全启动关了不就完了"，在政企环境和很多轻薄本上根本走不通。

SGIMini 这轮更新的做法是让启动盘同时持有两张证书。更新日志里写得很直接：启用双 CA 证书（PCA2011 + CA 2023），支持在新证书环境里启动、安装系统和修复引导。

具体实现是做了双 EFI 启动分区，两个分区共享同一个内核，各占约 300MB。开机按 F8、F11 或 F12 调出快捷启动菜单，会看到两个 EFI 引导项——第一项走 UEFI CA 2011，第二项走 CA 2023。默认进第一个，进不去就换第二个，这个设计挺土，但省事。

另外两条更新我觉着比双证书更实用。一是旧版无 CA 2023 的镜像，在新证书环境下装完系统会重建 EFI 引导并导入 CA 2023 证书，等于把老镜像"补签"了一次。二是数据分区默认从 NTFS 改成 exFAT，NTFS 在部分主板上会触发签名冲突导致 U 盘脱机，这个坑踩过的人不少。

工具还把装机时的 BitLocker 默认关掉了。这条容易被忽略，但影响实际体验：BitLocker 开着装系统，一是要额外走恢复密钥流程，二是软件加密会让 SSD 的写入性能掉一截，尤其是没硬件加密的入门盘，随机写入能掉三成。

制作流程没什么门槛，8GB 以上的空白 U 盘就够，建议 16GB 的 USB 3.0，官方给的耗时是 5 到 6 分钟，我在一块 32GB 的 USB 3.2 盘上实测 4 分 40 秒。要注意的是制作过程会格式化整个 U 盘，原有数据先备份。

我自己踩过的坑是另一件事：很多人口中的"安全启动已开启"其实是假开。证书库是空的、开关开了但没录入证书、或者 CSM 和安全启动同时开着——这三种状态在固件里都显示已启用，实际一张证书都没生效，遇到启动问题反而更难判断。系统层的问题大多这样，开关的位置对了，里面的东西没配。

要判断自己的机器卡在哪一环，先看主板允许哪种证书，再看手里的启动盘带哪种。两块都是新证书，正常；主板双证书、启动盘只带旧的，还能进；主板只认 CA 2023、启动盘只带 PCA 2011，这就是蓝屏和"启动失败"的来源。

手上那支用了三四年的老启动盘，该重做了。不是为了新功能，是为了它还能在新主板上被认出来。