必须进带网络的安全模式手动清理——因普通模式下文件被占用、服务锁死，仅安全模式能停用Windows Update等组件、释放文件锁和注册表项；三步通过三次异常断电进WinRE再按F5启用带网安全模式；进后用管理员终端停服务、重命名SoftwareDistribution与catroot2、重启服务、卸载最新KB补丁；退出前取消msconfig中安全引导并确认.old文件夹存在且非空，最后重启重建更新环境。
更新失败卡在“正在配置”或反复提示“撤销更改”，说明系统已无法自动恢复，必须进安全模式手动清理——普通模式下文件被占用、服务锁死，很多缓存和补丁根本删不掉、卸不了。
为什么非得用安全模式？
安全模式只加载最基础的驱动和服务，Windows Update、BITS、CryptSvc 等核心更新组件全部不启动，SoftwareDistribution 和 catroot2 文件夹不再被占用，KB 补丁的注册表项和文件锁也自动释放。这是唯一能绕过系统保护、真正“触达底层”的方式。
三步强制进带网安全模式（F5是关键）
新机型 F8 失效，靠连续三次异常断电触发 WinRE：
- 长按电源键 10 秒彻底关机，等风扇停、灯灭
- 等 5 秒后开机，看到 Windows 徽标瞬间再长按电源键关机
- 重复以上动作共三次，第四次开机将自动进入恢复环境
- 选“疑难解答 → 高级选项 → 启动设置 → 重启”，重启后立刻按 F5（不是 F4）进“带网络的安全模式”——没网络就无法验证卸载结果、也无法后续下载修复补丁
进安全模式后立即执行的清理动作
打开管理员权限的 Windows 终端（右键开始菜单 → Windows Terminal（管理员）），逐条执行：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 停服务：net stop wuauserv && net stop bits && net stop cryptsvc && net stop msiserver
-
重命名缓存目录（比删除更安全）：
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 catroot2.old - 重启服务：net start wuauserv && net start bits && net start cryptsvc && net start msiserver
-
卸载最新 KB 补丁：先运行
wmic qfe list brief /format:table查出最近安装的 KB 编号（看 InstalledOn 列），再执行wusa /uninstall /kb:5037771 /quiet /norestart（把 5037771 换成你查到的编号，注意去掉 KB 前缀）
退出前务必确认两件事
做完上述操作别急着重启：
- 打开“系统配置”（msconfig），切换到“引导”选项卡，取消勾选“安全引导”，否则下次开机仍进安全模式
- 检查 C:\Windows\SoftwareDistribution.old 是否真实存在、大小不为 0——这是缓存已成功隔离的标志
完成后重启，系统会重建干净的更新环境。再进设置 → Windows 更新 → 检查更新，通常就能正常下载安装了。
