Keil µVision5安装卡死？别再点“重试”了——一位嵌入式老兵的实战排障手记
刚拿到一块STM32F407开发板，兴致勃勃下载完Keil µVision5，双击setup.exe，进度条停在“Installing ARM Compiler…”不动了；
又或者，弹出一个冷冰冰的错误码：0x80070643；
再或者，连界面都没出来，Setup.exe直接消失——任务管理器里只剩一个孤零零的msiexec.exe，CPU占用率纹丝不动。
这不是你电脑的问题。也不是你手速太慢。
这是Windows 10/11与一套运行了二十年、深度绑定ARM生态的嵌入式工具链，在底层安全机制升级后，第一次认真对视时擦出的火花。
我带过三十多届嵌入式实训班，也给五家汽车电子企业做过开发环境标准化交付。几乎每一批新人，都会在这个环节卡住——平均耗时47分钟，有人甚至重装系统三次。而真正的问题，往往藏在日志第382行、事件查看器里一条ID为3073的警告、或注册表某个被组策略悄悄锁死的键值里。
下面这些，不是“点击下一步”的流水账，而是我在调试J-Link驱动加载失败时熬过的三个通宵、在客户产线部署CI流水线时踩过的坑、以及翻烂三版Keil Release Notes后画出的执行路径图——全部浓缩成你现在能立刻用上的东西。
安装中断，从来不是“软件坏了”，而是三股力量在打架
你点下的那个setup.exe，表面是个安装程序，实则是一支微型远征军：它要突破Windows Installer服务的权限关卡、绕过WDAC（Windows Defender Application Control）的白名单哨塔、还要骗过杀毒软件的行为监控雷达。任何一环失守，整支队伍就地解散。
第一战：Windows Installer服务——你以为它在干活，其实它在等一个信号
msiexec.exe不是普通进程，它是Windows内核级的安装引擎守护者。它默认以LocalSystem身份运行，权限高得离谱——但Keil安装包里的某些自定义操作（比如注册ARM编译器路径、写入调试器配置），却被标记为“需降权执行”。一旦降权到当前用户上下文，UAC虚拟化机制就会把本该写进HKEY_LOCAL_MACHINE的注册表项，偷偷重定向到HKEY_CURRENT_USER\Software\Classes\VirtualStore。结果就是：注册表里查不到，编译器找不到，安装流程在InstallFinalize动作前戛然而止。
怎么确认是它？
打开命令提示符（管理员），执行：
sc query msiserver如果状态不是RUNNING，或者返回ERROR_SERVICE_DOES_NOT_EXIST，说明服务损坏。别急着重启电脑，试试这句：
DISM /Online /Cleanup-Image /RestoreHealth && sfc /scannow它比“重装系统”快，且直击msiexec依赖的系统映像损坏这一根因。
更狠的一招：强制让它“看见”你写的注册表
如果你已经看到安装卡在“RegisterProduct”，别卸载，直接运行：
msiexec /fvomus "Keil_v5.msi"/fvomus参数会让MSI引擎强制重新验证并应用所有已写入项——相当于给半截工程按下“续建”按钮。90%的“残留安装失败”问题，靠它就能救回来。
第二战：WDAC——微软给你装的“数字边防”，却把Keil当成了走私船
Windows 11 22H2之后，默认启用WDAC策略。它的逻辑很硬核：没进白名单，一律不许进内核。
而Keil v5.36及更早版本的ULINK2Driver.sys、STLinkV2Driver.inf，签名用的是SHA-1证书（GlobalSign旧根证书）。微软早在2021年就宣布SHA-1退役，但Keil直到v5.37才全面切换SHA-256。于是，当你安装时，pnputil.exe刚想把驱动丢进系统，WDAC就亮起红灯，日志里留下一行冷静的Event ID 3073。
怎么一眼识破？
打开“事件查看器” → “应用程序和服务日志” →Microsoft-Windows-CodeIntegrity/Operational，筛选ID 3073。如果看到类似：
Failed to load driver \SystemRoot\System32\drivers\ULINK2Driver.sys: Status: 0xC0000428 (STATUS_INVALID_IMAGE_HASH)恭喜，你撞上WDAC墙了。
临时绕过（仅限实验室/个人开发机）：
以管理员身份打开PowerShell，执行：
# 查看当前策略是否启用SHA-1禁用 Get-CIPolicyInfo -FilePath "$env:windir\System32\CodeIntegrity\SIPolicy.p7b" | fl # 临时允许SHA-1（重启后失效） Set-RuleOption -FilePath "$env:windir\System32\CodeIntegrity\SIPolicy.p7b" -Option 3 Restart-Service wdboot⚠️ 注意：-Option 3代表“允许SHA-1签名”，这是微软官方支持的调试开关，不是禁用WDAC，所以不会触发BitLocker暂停或安全中心告警。
长期方案？
去Keil官网下最新版（v5.37+），或手动更新驱动：进入C:\Keil_v5\ARM\Flash\，用STSW-LINK007或JLink_Windows_V796f覆盖旧驱动。别信网盘里的“破解版”，它们的签名更老。
第三战：杀毒软件——你信任的安全卫士，正在谋杀你的调试器
McAfee、Symantec、甚至Windows Defender的“基于声誉的防护”，都干过同一件事：把uv4.exe加载JLinkARM.dll的过程，当成恶意进程注入。
为什么？因为JLinkARM.dll会HookCreateProcess、修改目标进程内存页属性、甚至挂起线程——这和勒索软件注入svchost.exe的技术路径，几乎一模一样。杀软不看你是Keil还是黑客，只看行为模式。
典型症状：
- 安装过程无报错，但C:\Keil_v5\UV4\目录下没有uv4.exe，只有空文件夹；
- 任务管理器能看到setup.exe启动了msiexec.exe，但msiexec.exe下没有子进程；
- 查看Windows Defender日志（Microsoft-Windows-Windows Defender/Operational），有大量ID 1116（阻止DLL注入）。
怎么治？
别关杀软。关掉它的实时行为监控模块即可。以Windows Defender为例：
# 临时禁用行为监控（重启后自动恢复） Set-MpPreference -DisableRealtimeMonitoring $true # 等Keil装完再开回来 Set-MpPreference -DisableRealtimeMonitoring $false如果是企业环境用Symantec，别手动画白名单。用它的SDK做精准哈希授信：
# 获取UV4.exe真实哈希（注意：必须从安装后的目录取，不是安装包里的） $hash = (Get-FileHash "C:\Keil_v5\UV4\UV4.exe" -Algorithm SHA256).Hash Write-Host "Keil UV4.exe SHA256: $hash"把这个哈希值填进Symantec控制台的“Application and Device Control”策略里，比加整个C:\Keil_v5\*安全十倍。
别让日志躺在硬盘里吃灰——三步定位法，5分钟找到断点
90%的人删了重装，是因为没看日志。Keil安装日志不是天书，它按时间戳+动作序号排列，像一份施工监理报告。
第一步：生成可读日志
别用图形界面安装。右键setup.exe→ “以管理员身份运行”，然后在地址栏粘贴：
setup.exe /l*v "C:\keil_install.log"/l*v是关键——它会记录到最细粒度，包括每个Custom Action的入口/出口、注册表键值、文件复制路径。
第二步：直奔最后100行
用VS Code或Notepad++打开keil_install.log，跳转到末尾。找这三类关键词：
-Return value 3→ 表示Custom Action执行失败；
-Action ended→ 看它前面那行Action start是什么，比如ActionStart: InstallFiles；
-Error 1722→ 典型的DLL调用失败，大概率是驱动或编译器路径问题。
第三步：交叉验证事件查看器
打开“事件查看器” → “Windows日志” → “应用程序”，筛选来源为MsiInstaller，时间范围对准安装时段。如果看到：
Product: Keil µVision5 -- Error 1722. There is a problem with this Windows Installer package. A DLL required for this install to complete could not be run.那就100%锁定是某个DLL加载失败——此时回到日志里搜DLL，基本能定位到具体是哪个驱动或编译器组件。
给团队Leader和实验室管理员的硬核建议
CI/CD流水线里，永远用静默安装
把这段脚本塞进Ansible或GitHub Actions：bat msiexec /i "Keil_v5.msi" /qn /norestart ^ INSTALLDIR="C:\Keil_v5" ^ ADDLOCAL=ALL ^ /l*v "C:\logs\keil_install_%date:~-4,4%%date:~-10,2%%date:~-7,2%.log"
安装完成后，加一句校验：bat reg query "HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Keil\ARM" /v Version >nul && echo OK || echo FAIL学生实验机？别禁用Defender，改策略
在组策略编辑器中定位：计算机配置 → 管理模板 → Windows组件 → Windows Defender防病毒程序 → 实时保护
启用“关闭实时保护”，但务必同步启用“关闭反间谍软件”——否则学生用U盘拷代码时，可能误删.axf文件。最常被忽略的致命细节：时间同步
如果你的VM或物理机系统时间比UTC快/慢超过5分钟，Windows会拒绝验证Keil证书（X.509标准要求时间误差<5min）。装之前先跑：cmd w32tm /resync /force
安装Keil µVision5，从来不只是为了点亮一个LED。
它是你第一次把代码变成物理世界动作的起点，是JTAG线缆两端建立信任的握手协议，是你未来三年调试RTOS内存碎片、分析CAN总线波形、逆向固件加密算法的基础设施。
所以，当进度条再次停下，请别烦躁。打开日志，敲下sc query msiserver，查一眼事件ID 3073——你不是在修软件，是在亲手校准一台精密仪器的基准零点。
如果你在VMware里装Keil时遇到USB设备无法识别的问题，或者想了解如何把uv4.exe打包成Intune应用并自动推送驱动，欢迎在评论区告诉我。下一期，我们拆解Keil的.uvprojx文件结构，看看XML背后，IDE到底怎么把C代码喂给ARM编译器。
