在 ThinkPad L14 上关闭这三项顺序非常关键，搞错顺序会把自己锁在系统外面。下面按正确流程来。
⚠️ 操作前必读（务必看）
- 因为关掉 Secure Boot / TPM 会改变启动指纹，如果 BitLocker 还开着，开机会要 48 位恢复密钥，没密钥就进不去系统
💡 提醒：如果你的目的是装 Ubuntu 双系统——其实 TPM 不用关，Secure Boot 也大多不用关（Ubuntu 支持 Secure Boot）。真正必须关的只有 BitLocker。下面仍按你的要求把三个都讲。
第一步：彻底关闭 BitLocker（先做，必须等解密完成）
专业版/企业版：
家庭版（叫"设备加密"）：
- 设置 → 隐私和安全性 → 设备加密 → 关掉开关
命令行验证（强烈建议）： 管理员 PowerShell：
manage-bde -status
确认每个卷显示 Fully Decrypted 和 Protection Off，再进行下一步。
第二步：进入 ThinkPad BIOS
第三步：关闭 Secure Boot（安全启动）
第四步：关闭 TPM / 安全芯片
ThinkPad 里 TPM 通常叫 "Security Chip"：
- 注意：有的机型 TPM 是 Intel 集成的 PTT（Platform Trust Technology），名字可能叫 Intel Platform Trust Technology，同样设为 Disabled
第五步：保存退出
完成后验证
进入 Windows 后：
- Win+R 输入 tpm.msc → 应显示 "找不到兼容的 TPM"（说明已关闭）
- msinfo32 → 看 "安全启动状态" 应为 "关闭"
常见问题
| 关 BIOS 设置后开机要 48 位恢复密钥 | BitLocker 没关干净就动了 BIOS。输入恢复密钥进系统，先把 BitLocker 彻底关掉再操作 |
| 找不到 Security Chip 选项 | 可能在 Security → Security Chip 子菜单里，或叫 Intel PTT |
| Secure Boot 选项灰色不可改 | 先设置一个 Supervisor Password（管理员密码） 才能改，改完可再删密码 |
| 关了 TPM 后某些功能报错 | Windows Hello、设备加密会失效，这是正常的 |
核心记住一句话：先把 BitLocker 解密到 100%，再进 BIOS 关 Secure Boot 和 TPM，否则会被恢复密钥锁住。
