Windows Update

定义

Windows Update是微软为 Windows 9x 与 Windows NT 两个系列操作系统提供的服务，作用是从互联网下载并安装 Windows 的软件更新，同时还分发微软自家防病毒产品的更新内容，例如 Windows Defender 与 Microsoft Security Essentials^[1]。在 Windows 8 及之后的版本中，该服务在中文界面里通常称为「Windows 更新」^[2]。

它的更新对象并不限于操作系统本体。硬件驱动程序、防病毒定义、Microsoft Store 应用以及 Microsoft 365 应用等，都属于这套系统分发的范围^[3]。从 Windows 10 开始，设置界面中的更新页面成为系统本体、微软应用和硬件驱动补丁与功能的统一入口^[4]。

原理

整套更新流程可以概括为扫描、下载、安装、提交并重启四个阶段。设备会不定期地连接微软更新服务器或 Windows Server Update Services 端点，查询自上次检查以来是否有新增更新，再依据管理员设定的策略判断这些更新是否适用于本机，该过程对使用者不可见^[5]。确定可用更新后，下载阶段同样在后台进行，功能更新则分多个阶段依次传输；安装完成后，设备通常需要重启才能完成替换并开始使用新版本^[5]。

在通信层面，设备首先通过 HTTPS 与微软更新服务建立多条连接，交换更新元数据并生成可用更新、应用与驱动的清单；这些连接采用证书固定，用于确认对方是合法的微软服务器并防止中间人攻击^[3]。实际的更新二进制文件则通过标准 HTTP 调用与传递优化的点对点网络下载，落盘后还需经过数字签名与文件哈希校验，通过验证才会被安装^[3]。

为了减小下载体积，Windows 对质量更新采用增量方式：服务端同时保存完整文件版本与仅含差量的 Express 版本，客户端先取回存根交由 Windows 安装程序比对本地文件，再按需请求必要的字节范围^[6]。更新本身的组织方式也偏向累积式，即最新的一次更新已包含此前发布的全部修补内容，设备只需安装最新版本即可达到最新状态^[7]。

flowchart LR

A[扫描:查询更新元数据] --> B[下载:Express 差量或完整文件]

B --> C[校验:数字签名与哈希]

C --> D[安装]

D --> E[提交并重启]

发展历程

Windows Update 最初以网站形式出现，1998 年随 Windows 98 一同上线，用户需要打开网页手动查找并下载更新，此后微软多次改版并陆续加入关键更新与通知等概念^[8]。Windows 95 与 Windows NT 4 也能访问该更新站点，并通过 Internet Explorer 4 获取对应版本的文件，例如 1998 年 12 月分发的针对千年虫问题的 Internet Explorer 5 修复^[1]。

自动化能力随后逐步引入：Windows 98 时期出现了关键更新通知工具，Windows Me 起改由「自动更新」取代，不再依赖浏览器即可下载和安装^[9]。2002 年微软发布 Update Services，使企业可以从一台中央服务器为整个网络获取更新^[9]。2004 年末，随 Windows XP Service Pack 2 一起发布的 Windows Update 5 对更新程序做了较大改动^[1]。

2005 年，微软推出可选的 Microsoft Update，把更新范围从 Windows 扩展到 Office、Exchange 和 SQL Server 等自家产品，这被视为对用户难以在产品站点间收集全部重要更新的回应^[1]。按月集中发布的节奏也在这一时期成型：2002 至 2003 年间，面对 Windows 环境威胁增多，微软把原本每周发布改为每月一次并配合提前预告，即通常所说的「补丁星期二」^[8]。

从 Windows Vista 起，更新功能不再依托网页应用，而是整合进系统的控制台，主要客户端组件变为集成于操作系统的更新代理^[1]。2015 年 Windows 10 发布后，微软提出「Windows 即服务」(Windows as a Service) 模式，更新改为持续交付并具累积性，家庭版不再提供彻底关闭自动更新的选项。同时推出的 Windows Update for Business 面向商业版设备，允许通过组策略或 Intune 配置分发与部署方式^[10]。

应用

对个人用户而言，更新主要通过「设置」中的更新页面完成，系统会自动下载安装大部分更新，用户可查看更新历史记录，也可在有限期限内暂停更新^[4]。设备数量较多的组织则可以改用 Windows Server Update Services，由内部服务器从上游获取补丁后再分发到各客户端，便于统一管理^[1]。

面向企业的 Windows Update for Business 提供内部部署组、维护时段、对等交付与推迟策略等能力，可与 WSUS、Configuration Manager 和 Intune 配合使用，使管理员先在部分设备上验证更新，再向全组织铺开^[10]。在带宽受限的多分支机构环境中，传递优化让同一网络内的设备以点对点方式共享已下载的更新包，从而减少对外部源的流量占用^[6]。

对不再处于主流支持期的系统，微软以扩展安全更新计划的形式继续提供安全补丁，作为支持结束后的过渡安排^[2]。更新类型的划分也服务于不同场景：功能更新带来新特性，质量更新提供安全与非安全修补，服务堆栈更新则维护真正执行安装的那部分代码^[5]。

局限

依赖网络是该服务的基本前提，更新文件并不通过光盘或 U 盘等离线介质分发，缺少互联网连接时无法直接使用^[11]。同时，更新内容能否获取还受硬件条件限制，设备可能因硬件不兼容、缺少当前驱动或超出原始设备制造商的支持期而无法接收更新，可用性也可能随国家地区、网络与可用磁盘空间而变化^[12]。

强制与集中化也带来使用上的约束。Windows 10 时代家庭版用户无法用常规手段关闭自动更新，可调整的只是暂停或重启时机^[13]。在企业环境中，若同时配置了 WSUS 服务器与延迟策略而未指定扫描来源，设备会转而向 Windows Update 扫描，形成所谓双重扫描，微软已用扫描来源策略取代旧的抑制策略，并明确不建议继续沿用^[14]。

此外，更新本身也可能引出兼容性问题。传递优化在对等网络传输时逐点校验完整性，但在 CDN 缓存场景下 TLS 连接终止于 CDN，更新工作流不能依靠 TLS 证明内容的可信度，需要另行依赖签名与哈希验证^[3]。这决定了整套机制的安全性并不来自单一环节，而依赖多层校验的组合。

参见

• Windows 10 —— 首个大规模采用「Windows 即服务」持续更新模式的版本，改变了该服务的分发方式。

• Windows Server Update Services —— 面向企业内网的补丁管理服务器，常与该服务配合使用。

• 补丁星期二 —— 微软每月第二个星期二集中发布安全更新的惯例。

• 传递优化 —— Windows 中用于在对等设备间共享更新内容、降低带宽占用的组件。

• Windows Insider —— 在更新广泛发布前承担测试任务的预览体验计划。