不少 Surface 用户遇到过这样的插电窗口怪现象：平时用电池供电一切正常，一旦插上电源适配器，时S闪关屏幕上会快速闪过一个 PowerShell 窗口，插电窗口随即自动关闭，时S闪关来不及看清内容。插电窗口有人担心是时S闪关中毒，有人怀疑系统被植入脚本。插电窗口这里先说结论：这类“一闪而过”多半是时S闪关某个计划任务、驱动辅助程序或厂商工具在电源状态切换时被触发，插电窗口窗口本身只是时S闪关命令行宿主的外在表现。本文给出可复现的插电窗口排查顺序，帮助你在不重装系统的时S闪关前提下定位来源。

先理解：为什么偏偏在插电时触发

Windows 会在电源状态变化时广播事件，插电窗口部分程序会监听“接通交流电”这一条件来执行动作，时S闪关例如切换性能模式、插电窗口刷新电池保养策略、同步厂商服务配置。若这些动作由脚本或命令行实现，就会短暂拉起 PowerShell 或 cmd 窗口。Surface 设备上常见的触发方包括厂商的电源与固件辅助服务、企业环境下发的登录或状态脚本、以及用户自己安装的优化工具。理解这一点，能避免把正常机制误判为恶意程序。

需要区分两类情况：窗口一闪即关、系统无其他异常，通常属于“可见性”问题；若同时伴随风扇狂转、电量显示跳变、设备管理器出现未知设备，则要优先排查驱动与固件。两条路径的排查重点不同，不要混在一起做。

第一步：把“一闪而过”变成可查看的记录

最有效的做法是查计划任务。打开“任务计划程序”，在左侧选中“任务计划程序库”，逐个查看触发器为“事件”或“登录”的任务，重点看操作栏中是否出现 powershell.exe、pwsh.exe、cmd.exe 且带 -WindowStyle Hidden 之外参数的条目。Surface 相关条目多集中在厂商命名的文件夹下，名称常含电源、电池、更新等字样。

如果计划任务里没有可疑项，再看事件查看器：打开“事件查看器 → Windows 日志 → 系统”，在插电瞬间刷新，观察同一时间点是否有服务启动或脚本执行记录。命令行窗口一闪而过往往不留明显日志，但父进程的服务启动记录通常能对上时间。

第二步：用干净启动缩小范围

当记录不足以定位时，用干净启动做二分排查最稳妥。按 Win+R 输入 msconfig，在“服务”页勾选“隐藏所有 Microsoft 服务”后全部禁用，再到“启动”页跳转任务管理器禁用启动项，重启后反复插拔电源观察窗口是否还出现。

这一步的代价是需要重启几次，但好处是不改动系统文件，随时可回退。企业统一管理的设备可能受组策略限制无法修改服务项，此时应联系单位 IT，不要强行绕过管理策略。

第三步：常见来源与处理边界

实践中较常见的来源有三类。其一是厂商电源管理或固件更新辅助程序，处理方式是保持系统更新与厂商组件为最新版本，必要时在官方支持页面核对组件说明，以当地官方渠道与系统界面显示为准。其二是用户自行安装的电池保养、性能切换类工具，可先卸载复测。其三是残留的旧版脚本，例如早期为切换电源方案而创建的计划任务，删除前建议先导出备份。

安全边界要单独说清：不要因为看到 PowerShell 就贸然下载所谓“专杀工具”，也不要从非官方来源获取修改版组件。若窗口出现的同时伴随异常外联、账号异常登录提示，应先断网并用系统自带的安全中心做完整扫描，再考虑进一步处置；涉及账号与数据的判断，以官方安全公告与专业支持结论为准，本文只提供排查思路，不替代官方诊断。

还有一种容易被忽略的情况：如果你确实需要让某个脚本在插电时运行，又不想看到窗口闪烁，可以在计划任务中设置为“不管用户是否登录都要运行”并勾选“隐藏”，或改用无窗口宿主执行。但这属于主动配置，前提是你清楚脚本内容，切勿对来源不明的脚本做同样处理。

收尾建议

回到最初的问题：插电时 Surface 闪出 PowerShell 窗口，先别急着判定为病毒，按“计划任务查看操作项 → 事件查看器对时间 → 干净启动二分定位”的顺序走一遍，多数情况能在半小时内找到触发者。找到后优先禁用观察而非直接删除，涉及厂商组件以官方说明为准，涉及单位设备交给 IT 处理。若排查后窗口依旧且伴随其他异常，及时备份重要数据并联系官方支持，比反复试错更省时间。

(责任编辑：娱乐)