要启用设备加密、bitlocker或windows hello企业版，必须确认tpm 2.0存在且已启用，并满足uefi模式、安全启动开启、winre配置及pcr7绑定等全部条件。
要确认你的电脑能否启用设备加密、BitLocker 或 Windows Hello 企业版等依赖硬件安全的功能，必须验证底层安全加密模块（如 TPM）是否存在、已启用且版本合规。只看“有没有TPM芯片”远远不够，还需检查固件状态、启动模式与系统识别结果是否全部达标。
通过 Windows 安全中心快速查看安全处理器状态
这是最直观的入口，适合非技术人员快速判断系统是否识别到安全模块。
点击任务栏右下角的盾牌图标 → 打开“Windows 安全中心” → 左侧菜单选择“设备安全性”。
滚动到页面中部，找到“安全处理器”区域。如果该区域完全缺失，说明 TPM 在 UEFI 中被禁用，或主板无物理芯片；若显示“正在运行”或有“安全处理器详细信息”链接，则系统已识别硬件并完成初始化。
点击“安全处理器详细信息”，核对“规范版本”字段——【必须为 2.0 才支持 Windows 11 设备加密及 BitLocker 的硬件绑定】。版本显示为 1.2 或空白，均无法满足现代加密功能要求。
运行 tpm.msc 直接调取 TPM 驱动状态
这个控制台绕过 UI 层，直接读取内核驱动返回的真实状态，能排除安全中心界面误判的可能。
按 Win + R → 输入 tpm.msc → 回车。
若弹出空白窗口并提示“找不到兼容的 TPM”，说明硬件不支持、UEFI 中 fTPM/PTT 被关闭，或芯片仅支持旧版 1.2 且未升级固件。
若窗口正常打开，重点看顶部状态栏：显示“TPM 已就绪，可使用所有功能”才代表已启用；若显示“TPM 未就绪”，需进 UEFI 启用；再往下拉，确认“规范版本”字段值为 2.0。
用 msinfo32 检查底层固件级配置
此工具提供 BIOS/UEFI 层面的关键参数，用于交叉验证是否满足硬件加密的三大前提：UEFI 模式、安全启动开启、TPM 2.0 存在。
第一步：Win + R → 输入 msinfo32 → 回车。
第二步：在“系统摘要”页中，逐项核对以下三项：
• BIOS 模式：必须为 【UEFI】，Legacy 模式下即使有 TPM 也无法启用设备加密；
• 安全启动状态：必须显示“开启”，否则 PCR7 绑定失败，BitLocker 自动挂载将被拒绝；
• TPM 版本：明确标注“2.0”，不能是“1.2”或留空。
执行 PowerShell 命令获取权威诊断输出
Get-Tpm 是 Windows 内置 cmdlet，直接调用 TPM 驱动 API，返回不可伪造的状态字段，适合批量检测或排查 UI 不一致问题。
以管理员身份运行 Windows PowerShell。
输入命令：Get-Tpm → 回车。
观察返回结果中的 IsEnabled（是否启用）、IsActivated（是否激活）、IsOwned（是否已被系统占有）三个布尔值——三者必须全为 True，且 TpmPresent 为 True，ManufacturerVersion 包含 “2.0” 字样，才算真正达标。
检查设备加密支持状态（最终验证）
前四步都通过，不代表一定能用设备加密——系统还要求 Windows 恢复环境（WinRE）已配置，且 PCR7 可绑定。
Win + R → 输入 msinfo32 → 回车 → 在“系统摘要”页底部查找“设备加密支持”项。
若值为“满足先决条件”，说明所有硬件、固件、系统组件均已就绪；若显示“TPM 无法使用”“WinRE 没有设定”或“不支援 PCR7 绑定”，则需分别处理：前者进 UEFI 开 TPM，后者需运行 reagentc /enable 启用恢复环境，最后者务必开启安全启动并断开外接显卡/扩展坞后重启。
