内核完整性通过硬件虚拟化隔离环境阻止未签名驱动加载和内核级恶意代码篡改，需确保cpu虚拟化、tpm 2.0、secure boot均已启用，并排除不兼容驱动；启用路径有三：一、windows安全中心图形界面开启后必须重启；二、专业版及以上可用组策略编辑器强制启用vbs及内存完整性；三、家庭版或界面异常时可修改注册表hkey_local_machine\system\currentcontrolset\control\deviceguard\scenarios\hypervisorenforcedcodeintegrity下的enabled值为1并重启。
Windows系统开启内核完整性防篡改，是为了阻止未签名驱动加载、拦截内核级恶意代码修改关键结构，必须确保硬件支持已启用、驱动全部兼容、系统策略未锁定，否则开关会灰显或开启后自动关闭。
通过Windows安全中心图形界面启用
这是最直接的启用路径，适用于已满足硬件与驱动前提的设备，操作后需强制重启才生效。
1、按 Win + I 打开设置 → 点击【隐私和安全性】→ 右侧点击【Windows 安全中心】。
2、点击【设备安全性】卡片 → 向下滚动至【内核隔离】区域 → 点击【内核隔离详细信息】。
3、将【内存完整性】开关切换为“开”状态 → 系统弹出提示要求重启。
4、点击【立即重启】，不重启则设置不会载入内核，功能实际未启用。
用本地组策略编辑器强制启用（专业版/企业版）
当安全中心界面灰显、开关无法触发，或需绕过用户层限制实现策略固化时，必须使用此方法。它直接写入VBS底层策略，重启后自动加载，比图形界面更可靠。
方法一：启用基于虚拟化的安全并勾选内存完整性
1、按 Win + R 输入 gpedit.msc 并回车，以管理员权限打开组策略编辑器。
2、依次展开：计算机配置 → 管理模板 → 系统 → Device Guard。
3、双击【打开基于虚拟化的安全】→ 设置为【已启用】→ 勾选【启用基于虚拟化的安全】→ 在下方下拉菜单中选择【启用内存完整性】。
4、点击【确定】→ 关闭编辑器 → 重启电脑。
方法二：启用 Credential Guard（间接激活VBS环境）
若上述策略项不可见或被禁用，可尝试启用依赖VBS的Credential Guard作为替代路径：导航至 计算机配置 → 管理模板 → 系统 → Device Guard → 【启用 Windows Defender Credential Guard】→ 设为【已启用】→ 选择【使用虚拟化基础结构启用凭据防护】→ 确定后重启。该操作会连带激活内存完整性所需运行时环境。
注册表手动注入启用项（家庭版适用）
当组策略不可用、安全中心开关始终灰显，且确认硬件支持已开启时，需通过注册表直接写入内核级开关。此操作要求路径精确、数值类型匹配，错一位将导致无效。
第一步：确认注册表路径存在且可写
1、按 Win + R 输入 regedit，以管理员身份运行注册表编辑器。
2、导航至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios。
第二步：创建并配置关键值
3、在右侧空白处右键 → 【新建】→ 【DWORD (32位)值】→ 命名为 HypervisorEnforcedCodeIntegrity。
4、双击该值 → 将“数值数据”设为 1 → “基数”选【十六进制】→ 点击【确定】。
第三步：验证与生效
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
5、关闭注册表编辑器 → 重启系统 → 再次进入【内核隔离详细信息】页面，此时开关应可点击且默认处于开启状态；若仍灰显，说明底层VBS未启动，需检查BIOS虚拟化与Secure Boot。
检查并启用底层硬件支持
内存完整性不是纯软件开关，它依赖CPU虚拟化、TPM 2.0和UEFI安全启动三者协同。缺任一环，所有软件层操作均无效，且界面必灰显。
① 验证并开启CPU虚拟化
1、按 Ctrl + Shift + Esc 打开任务管理器 → 切换到【性能】选项卡 → 查看【虚拟化】状态。
2、若显示【已禁用】，必须重启进入BIOS/UEFI → 找到“Intel VT-x”“AMD-V”或“SVM Mode”选项 → 设为【Enabled】→ 保存退出。
② 确认TPM 2.0已就绪
3、按 Win + R 输入 tpm.msc 回车 → 查看状态是否为【TPM 已就绪】且版本为2.0。
4、若显示“找不到兼容的TPM”，需进入BIOS启用TPM/PTT（Intel平台）或fTPM（AMD平台），部分OEM机型还需在BIOS中开启“Security Chip”或“AMD fTPM”。
③ 强制启用UEFI安全启动
5、在BIOS中找到【Secure Boot】选项 → 设为【Enabled】→ 若选项为灰色，先将启动模式从Legacy改为UEFI → 保存重启。
6、返回Windows后，在PowerShell（管理员）中执行：Confirm-SecureBootUEFI，返回 True 表示启用成功。
更新或移除不兼容内核驱动
即使硬件全就绪，一个未签名或过期的驱动也会让内存完整性拒绝启动。系统会在开启失败时列出具体驱动名，但多数情况下只报“存在不兼容驱动”而不指明是哪个——必须主动排查。
第一步：识别高危驱动类别
1、右键【开始】→ 选择【设备管理器】→ 展开【系统设备】、【显示适配器】、【网络适配器】、【存储控制器】。
2、重点检查名称含“Virtual”“Filter”“Miniport”“Hypervisor”“Security”“Antivirus”的设备，这些最常出现签名问题。
第二步：逐个验证驱动签名
3、右键任一设备 → 【属性】→ 【驱动程序】选项卡 → 点击【驱动程序详细信息】→ 查看每个.sys文件的签名颁发者。
4、若签名者非 Microsoft Windows Hardware Compatibility Publisher 或显示“未知发布者”，即为风险项。
第三步：安全替换或卸载
5、对风险驱动，优先访问厂商官网下载最新版 → 右键设备 → 【更新驱动程序】→ 【浏览我的电脑以查找驱动程序】→ 指向解压后的.inf所在文件夹。
6、若官网无新版，或驱动来自小众硬件（如某些USB转串口芯片、老式声卡），右键 → 【卸载设备】→ 勾选【删除此设备的驱动程序软件】→ 重启后由Windows自动安装通用兼容驱动。
