［記事公開日］2026/08/17
［最終更新日］2026/08/19
Secure Boot変更後にBitLocker回復画面が出たときの確認方法
Secure Boot（セキュアブート）の設定を変更したあとに、突然BitLockerの青い回復画面が表示され、48桁の回復キーを求められることがあります。
これは必ずしもSSDやWindowsの故障を意味するものではありません。BitLockerはTPMとSecure Bootを使って起動環境が改ざんされていないか確認しており、Secure Bootの有効・無効や構成が変わると、以前に記録した起動時の測定値と一致しなくなり、保護のため回復キーを要求することがあります。
ただし、回復画面が出たからといって、原因が分からないままSecure Boot、TPM、UEFI設定を次々に変更するのは危険です。この記事では、データを失うリスクを抑えながら確認する順番を解説します。
最初に結論：回復キーを確保してから設定を触る
Secure Boot変更後にBitLocker回復画面が出た場合は、次の順番で確認してください。
- BitLocker回復キーを確保する
- 回復画面に表示される回復キーIDを控える
- 正しい48桁の回復キーでWindowsが起動できるか確認する
- Windows上からSecure BootとTPMの状態を確認する
- 直前に何を変更したか確認する
- 変更が意図したものか、元に戻すべきものかを判断する
- 必要な場合だけBitLockerの一時停止・再開やメーカー指定の対処を行う
回復キーが確認できていない状態でSecure Bootキーの初期化、TPMクリア、UEFI/Legacy切り替えなどを行わないでください。
なぜSecure Bootを変更するとBitLocker回復になるのか
BitLockerは、TPM（Trusted Platform Module）を使って起動環境の整合性を確認します。
Microsoftによると、BitLockerのTPM保護では複数のPCR（Platform Configuration Registers）を使って起動時の状態を検証します。Secure Bootを利用する構成では、通常PCR 7にSecure Bootに関する測定値が記録されます。
Secure Bootを無効にしたり、Secure Bootの構成が予期せず変わったりすると、BitLockerが以前に記録していたPCR 7の値と一致しなくなることがあります。
| 変更 | BitLockerへの影響 |
|---|---|
| Secure Bootを無効化 | BitLockerがSecure Boot有効を前提にしている場合、回復画面が出ることがある |
| Secure Bootを有効化 | 以前と起動時の測定値が変われば、回復が必要になることがある |
| Secure Bootキーやデータベースの変更 | PCR 7の測定結果が変わり、BitLocker回復につながることがある |
| BIOS / UEFI更新 | Secure Bootや起動環境の測定値が変化し、回復画面が出る場合がある |
MicrosoftのBitLocker回復情報では、Secure Bootが無効になった場合のエラーとして E_FVE_SECUREBOOT_DISABLED、Secure Boot構成が予期せず変化した場合に E_FVE_SECUREBOOT_CHANGED が示されています。
1. BitLocker回復キーを確認する
まず、現在のPCで使用できるBitLocker回復キーを確保します。
個人利用のPCでは、Microsoftアカウントに保存されている場合があります。
MicrosoftアカウントのBitLocker回復キーを確認する
会社・学校のPCでは、Microsoft Entra IDや組織の管理システム側に保存されている場合があるため、管理者へ確認してください。
回復画面には「回復キーID」が表示されます。複数の回復キーがある場合は、IDを照合して正しい48桁のキーを選びます。
回復キーの確認方法が分からない場合は「BitLocker回復キーを求められたら最初に確認すること｜初期化する前の対処」を先に確認してください。
2. 正しい回復キーでWindowsが起動できるか確認する
正しい48桁の回復キーを入力し、Windowsが起動できるか確認します。
Windowsまで起動できるのであれば、ドライブそのものが読めない状態とは限らず、Secure Boot変更によってBitLockerの自動解除条件が一致しなくなった可能性を優先して確認できます。
一方、正しいはずの回復キーでも解除できない場合は、キーIDの取り違えや別ドライブのキーを使っている可能性もあります。
3. Windows上でSecure Bootの状態を確認する
Windowsが起動できる場合は、まず設定を変更せず、現在のSecure Boot状態だけを確認します。
- 「Windowsキー + R」を押す
msinfo32と入力してEnterキーを押す- 「システム情報」の「セキュア ブートの状態」を確認する
一般的には「有効」「無効」などの状態が表示されます。
ここで無効と表示されたからといって、すぐUEFI設定画面で有効化しないでください。PCがどの起動方式で構成されているかによっては、設定を変えることでWindowsが起動しなくなる可能性があります。
4. TPMが正常に認識されているか確認する
Secure BootとBitLockerはTPMの起動時検証と密接に関係しています。Windows上でTPMの状態も確認します。
- 「Windowsキー + R」を押す
tpm.mscと入力してEnterキーを押す- TPMが使用可能な状態か確認する
TPMが無効、未検出、異常状態の場合は、Secure BootだけでなくTPM側の問題がBitLocker回復に関係している可能性があります。
確認画面に「TPMをクリア」の項目があっても、原因確認のために実行しないでください。TPMクリアはセキュリティ情報へ影響する操作です。
5. BitLockerがSecure Bootを整合性検証に使っているか確認する
Windowsが起動できる場合は、管理者としてコマンドプロンプトを開き、次のコマンドでBitLockerのキー保護機能を確認できます。
manage-bde -protectors -get C:MicrosoftのBitLocker FAQでは、Secure Bootを整合性検証に使用している場合、結果に「Uses Secure Boot for integrity validation」に相当する情報が表示されると説明されています。
このコマンドは状態確認に使えますが、表示された保護機能を削除する操作は行わないでください。
6. Secure Bootを変更した理由を確認する
次に、なぜSecure Bootを変更したのかを整理します。
- Windows 11の要件確認のため有効化した
- 別OSや起動用USBを使うため無効化した
- BIOS / UEFI更新後に設定が変わった
- 「Load Default」「Optimized Defaults」などを実行した
- Secure Bootキーや証明書を変更した
- マザーボード交換・CMOSクリア後に設定が変わった
意図的に設定を変えたのであれば、以前の設定へ戻すかどうかはPCの現在の構成によって判断します。
BIOS / UEFI更新の直後であれば「BIOS更新後にBitLocker回復キーを求められる理由と安全な対処法」も確認してください。
Secure Bootを元に戻せば直る？
Microsoftは、BitLocker回復エラーが E_FVE_SECUREBOOT_DISABLED の場合、Secure Bootを再度有効にして再起動すると回復問題が解消する可能性があると案内しています。
ただし、これは「以前Secure Bootが有効で、それを無効化したことが原因」と確認できる場合に限って考えるべき対処です。
次のような場合は、推測で設定を戻さないでください。
- 元のSecure Boot状態が分からない
- UEFI / Legacy / CSM設定も同時に変わっている
- 別OSとのデュアルブート構成
- 会社・学校の管理PC
- Secure Bootキーを手動で編集した
- BIOS設定が勝手に変わる、保存されない
機種ごとに設定項目や動作が異なるため、PCメーカーまたはマザーボードメーカーの公式マニュアルを確認してから操作してください。
Windows 11 24H2以降では回復理由を確認できる場合がある
Microsoftによると、Windows 11 バージョン24H2以降のBitLocker回復画面では、追加の回復情報を確認できる場合があります。
回復画面で案内が表示される場合は、Altキーを押すことで、回復エラーのカテゴリやコードを確認できます。
Secure Boot関連では、次のようなコードが手掛かりになります。
E_FVE_SECUREBOOT_DISABLED：Secure Bootが無効になったE_FVE_SECUREBOOT_CHANGED：Secure Boot構成の測定値が予期せず変わった
エラーコードが確認できれば、Secure Boot変更が直接の原因か、TPMや別の起動構成が原因かを切り分けやすくなります。
設定変更前にBitLockerを一時停止しておくべきケース
Microsoftは、Microsoft配信の通常のWindows更新では基本的にBitLockerを手動で一時停止する必要はないと説明しています。
一方、次のような作業では、BitLockerの一時停止が必要になる場合があります。
- Secure Bootデータベースを手動またはMicrosoft以外の方法で更新する
- 一部のTPMファームウェア更新
- UEFI / BIOS設定を変更する非Microsoft製アップデート
- UEFI / BIOSファームウェアやUEFIドライバーをWindows Update以外から更新する場合
BitLockerを一時停止するとドライブの暗号化自体は維持されますが、起動時の保護が一時的に弱くなります。作業後は保護が再開されていることを確認してください。
詳しくは「BitLockerを一時停止するべき作業と再開を忘れた場合の確認方法」を参考にしてください。
毎回BitLocker回復画面が出る場合
Secure Bootを変更した直後に一度だけ回復画面が出て、正しい回復キーを入力したあとは再発しない場合があります。
しかし、起動するたびに毎回回復キーを要求される場合は、Secure Boot以外も確認が必要です。
- TPMが正常に認識されているか
- 起動順序が毎回変わっていないか
- USBメモリや外付けドライブを接続したまま起動していないか
- BIOS / UEFI設定が保存されているか
- Secure Boot設定が再起動のたびに変化していないか
- ファームウェア更新が不足していないか
毎回表示される場合は「BitLocker回復画面が毎回表示される原因と確認すべき設定」で、TPM・起動順序も含めて確認してください。
やってはいけない操作
Secure Boot変更後にBitLocker回復画面が出たときは、原因が分からないまま次の操作をしないでください。
- TPMをクリア・初期化する
- Secure Bootキーを削除・初期化する
- UEFI / Legacy / CSMを適当に切り替える
- BIOS設定を「初期値に戻す」でまとめて変更する
- BitLockerのキー保護機能を削除する
- SSDをフォーマット・初期化する
- 回復キーがない状態でWindowsをリセットする
特に、必要なデータがあるPCでは、設定変更や初期化より先に回復キーの確認を優先してください。
TPMを初期化すれば直る？
Secure Boot変更後にBitLocker回復が出たからといって、TPM初期化を最初に試すのはおすすめできません。
MicrosoftのBitLocker資料では、TPMを無効化・クリアしたり、TPMが検出されなくなったりすること自体がBitLocker回復の原因になり得るとされています。
TPM操作が必要そうな場合でも、まず回復キーを確保し、「TPMを初期化する前に知っておきたいBitLockerの注意点」を確認してください。
よくある質問
Secure BootをオフにしたらBitLocker回復画面が出ました。故障ですか？
必ずしも故障ではありません。BitLockerがSecure Bootを使って起動時の整合性を確認している場合、Secure Bootを無効化したことでPCR 7の測定状態が変わり、回復キーを要求することがあります。
回復キーを入力すれば、そのまま使って大丈夫ですか？
一度だけ回復が出て、その後は正常に起動するのであれば、設定変更に伴う一時的な回復だった可能性があります。毎回表示される場合は、Secure Boot、TPM、起動順序などを確認してください。
Secure Bootを有効に戻せば必ず直りますか？
必ずではありません。Secure Bootを無効化したことが直接原因で、以前の正常な構成が分かっている場合は改善する可能性がありますが、別のUEFI設定変更やTPM問題がある場合は直らないこともあります。
Secure Bootキーを「Factory Default」に戻してもよいですか？
原因が分からない状態で実行するのは避けてください。Secure Bootキーの変更自体が起動時の測定値へ影響します。メーカー公式手順で必要と明記されている場合に限り、回復キーを確保したうえで作業してください。
BitLockerを完全に解除すれば解決しますか？
BitLockerを無効化するとドライブの復号が行われ、暗号化保護がなくなります。原因切り分けのために最初から完全解除する必要はありません。まずSecure BootとTPMの状態を確認してください。
Microsoft公式情報
- BitLocker preboot recovery screen – Microsoft Learn
- BitLocker countermeasures – Microsoft Learn
- BitLocker FAQ – Microsoft Learn
- Find your BitLocker recovery key – Microsoft Support
まとめ
- Secure Bootの有効・無効や構成変更は、BitLockerが使うTPMのPCR 7測定値へ影響することがある
- Secure Boot変更後に回復画面が出ても、すぐ故障とは限らない
- 最初にBitLocker回復キーを確保し、正しいキーでWindowsが起動するか確認する
- Windows上で
msinfo32とtpm.mscを使い、Secure BootとTPMの現在の状態を確認する - 原因不明のままSecure Bootキー初期化、TPMクリア、UEFI/Legacy切り替えを行わない
- 毎回回復になる場合は、Secure BootだけでなくTPM・起動順序・BIOS / UEFIも切り分ける
