被自动更新坑了三天后，我干脆把Win更新服务换成了手动脚本调度

上周被Win更新坑了一把：周三晚上跑批处理，机器突然开始自动下载更新，CPU和磁盘全占满，任务卡了四十分钟。查日志发现是更新服务在后台干活，而且我明明关了「自动更新」——后来才明白组策略里那个选项只影响UI，服务该跑还是跑。

索性拿三台机子做了组对比，都是Win11 23H2，A机保持默认自动更新，B机关掉更新服务（wuauserv和UsoSvc全停），C机保持服务运行但我写了个脚本按计划任务调度：只在每天凌晨2点到4点允许更新，其余时间直接stop服务。

结果有点反直觉：

1. B机（彻底关服务）：安静是安静，但过了两周开始弹「你的设备缺少重要安全更新」，而且手动去点更新会报0x80070422——服务被禁了，得先改回手动再开，多一步。适合完全不想管的机器，不适合我。
2. C机（脚本调度）：凌晨跑更新，白天服务停着，磁盘IO稳得一批。代价是要多维护一个计划任务，而且偶尔遇到需要重启的更新，脚本得判断pending reboot，不然第二天开机又弹窗。我加了个注册表检测（RebootRequired键），有pending就提前在日志里标红，人工决定啥时候重启。
3. A机（默认）：啥也不管，但白天偶尔来一下，跑批处理时最怕这种。

我的判断： 如果机器是个人主力机、能接受偶尔被打断，默认就行；如果是跑自动化任务的机器，或者像我一样需要稳定IO的，C方案更可控。关键点是——服务别禁死，设成手动或者用脚本临时stop，别把路堵上。

另外提一句，我试过用第三方工具一键关更新，确实省事，但那种工具往往连Defender的更新通道一起掐了，后面补漏洞还得手动开回来，反而更麻烦。手动控制虽然要多写几行脚本，但每一步发生什么自己心里有数。

现在C机跑了三周，白天没再被更新抢占过IO。问一下大家：你们跑自动化任务的机器，更新策略是彻底关、还是像我这样按时间窗调度？有没有遇到过pending reboot判断不准的情况？