win7 Embedded EWF与HORM特性（实战验证）

作者：Joseph-Growth

转自：http://blog.csdn.net/joseph_happy/article/details/7645856

版权声明：本文为博主原创文章，未经博主允许不得转载。

目录(?)[+]

前言

         这两天在网上搜了很久，发现描述EWF特性的文章，大部分都是关于xp embedded的。真正运用在win7 embedded的少之又少，特别是中文描述的就更少了。于是，将自己这两天整理的结果供大家参考一下。

先决条件

1.目标机（能够安装win7 embedded系统的设备），1G内存（最好4G），8G硬盘（越大越好），对应的显卡等驱动

2.ICE（Image Configuration Editor）部署工具，可以到微软官网上下载，这里就不给下载地址了。

首先，介绍一下EWF（Enhance Write Filter）特性

         EWF是一种对物理存储介质进行写保护的技术，它将写操作重定向到RAM等介质，从而减少了磁盘的读写次数。当用户需要将信息写入磁盘的时候，可以通过相应的API，将数据信息写入到磁盘中。

EWF分为3种模式：

   1.RAM mode

   2.RAM-REG mode

   3.Disk mode

EWF两种mode之间的区别

        不知道什么原因在win7 embedded中时没有disk mode的。在msdn中也只提到RAM mode和RAM-REG mode两种。

        什么时候需要用到RAM mode或者RAM-REG mode得看自己的需求。它们二者其实区别也不大，只是一个把EWF Volume信息写到磁盘上，另外一个将EWF Volume的信息写到注册表中。看下下面的图，也许你就会有个大概的了解了。

                                                          

                                                       

一般情况下，RAM mode只保护一个分区，RAM REG mode则能保护多个分区。下面，就来部署拥有EWF功能的系统吧！

部署EWF保护系统

        打开ICE工具，新建一个Answer file，打开Packages\FeaturePack，将Boot Environments下的Enhanced Write Filter Environment添加入Answer file，然后将Embedded Enabling Features下的Enhanced Write Filter With HORM添加入Answer file。

        选择Validate菜单项中的Add Required Packages。最后，解决Validation信息栏中的所有错误后，保存该部署文件EWF_RAM.xml。

        如上所述，我们没有对EWF特性进行设置而部署的系统，默认情况下是RAM REG mode。RAM REG mode模式可以通过部署好的系统中，通过修改注册表的信息来配置EWF特性的。这个在后续内容中会做详细介绍。

RAM mode介绍

         现在，我们先来介绍RAM mode。我们重新打开刚才保存的部署文件EWF_RAM.xml。

         选中Answer file文件中的Enhanced Write Filter With HORM，在属性页中选中Specialize。选择EWFMode为RAM模式，在ProtectedVolumes右键选择Insert New Volume。输入一个唯一的key值，填写需要保护的DiskNumber和PartitionNumber。

                                            

         剩下的工作就是安装系统了，可以用u盘或是其他介质，在Build Image的过程中，将我们的部署文件EWF_RAM.xml作为模板安装用户定制的win7 Embedded系统。

......

         安装完成后，在命令提示符下，输入ewfmgr -all可以查看所有被ewf保护的磁盘。使用命令ewfmgr c: -enable打开EWF对C盘的保护，此时，需要重启才能开启EWF功能。

         重启电脑后，在c盘下新建一个文件，再次重启电脑，发现该文件丢失，当确实需要将该文件保存在c盘时，可以在命令提示符下输入ewfmgr c: -commit。注：命令提示符应该是以管理员权限操作。

         RAM mode在部署阶段完成配置，相比RAM REG mode要相对简单，当然RAM REG mode也可以在部署阶段完成相应的配置工作。

RAM REG mode介绍

         下面重点介绍一下RAM REG mode，根据之前我们没有做过任何配置的部署文件EWF_RAM.xml。通过它安装的系统在默认情况下是RAM-REG mode。当然，用户也可以选择在部署阶段指定保护的系统磁盘。

        RAM REG mode主要是对注册表进行相应的操作，其实也就是对应的EWF Volume信息。

        1.在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}目录下添加项值“UpperFilters”=“Ewf”

      2.在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf目录下添加“ErrorControl”=dword：00000001、“Start”=dword：00000000、“Type”=dword：00000001。

      3.在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Ewf\Parameters\Protected\Volume0目录下添加“Type”=dword：00000001、“Enabled”=dword：00000001、“CompareBeforeAlloc”=dword：00000000、“DiskSignature”=dword：00000000、“PartitionOffset”=hex(b)：00,00,00,00,00,00,00,00

      4.如果要保护多个分区，则类比3，将Volume0改为Volume1，依次类推。

      在xp Embedded时，配置RAM REG好像用的是ArcName来标识保护的分区，但是win7采用的是“DiskSignature”和“PartitionOffset”，那么这两个值我们该如何获取了？

      不用着急，win7 Embedded中有相应的工具能帮我们这个忙，他们分别是DiskPart和DiskPar。DiskPart在我们部署好的系统中时自带的，DiskPar则需要从网上去下载。都是很好找的工具，这里也不提供下载地址了。

      在命令行中，输入diskpart运行diskpart控制台，然后输入select disk c:，disk detail；便能看见我们的DiskSignature值（十六进制）。然后，在命令行输入diskpar -i c:可以看到PartitionOffset值(十进制--这里特别注意！)。最后，在注册表中输入我们查询到的值后，重启电脑，再输入同RAM mode相同的ewf命令就能像RAM mode一样运行了。

      这里值得一提的是，如果需要关闭ewf功能，只能输入-commitanddisable。因为注册表内容是在c盘上的，如果直接-disable是不能关闭ewf功能的。同时，-commitanddisable -live只在RAM mode下有效。

HORM介绍

      HORM功能在RAM mode和RAM REG mode是一样的。所以就一起介绍了。在命令行下输入ewfmgr c: -activatehorm开启HORM特性。此时，选择休眠计算机，再次重启时，发现windows的提示是“正在恢复windows”,而不是以前的"正在启动windows"。而且只需要不到10s便能启动我们的系统了，系统启动后，上次休眠时未关闭的应用进程也依然在运行。

      这个原因主要是，在c盘下有个hiberfil.sys文件，当选择horm特性休眠时，会将该状态下的内存拷贝到该文件中，下次启动的时候，就会从该文件中把数据拷回内存中运行，所以会有这么快的开机体验。

后续

      迷迷糊糊写了一大堆，发现把自己给写晕了。东西确实很杂，欢迎大家来拍砖。如果确实需要文中说到的资源下载文件，可以给我留言。也欢迎大家来与我沟通交流。

查看评论

5楼 yuanli22931362014-10-31 14:47发表 [回复]

EWF 这个系统好用吗 ？

4楼 mysignupbox2013-09-22 00:04发表 [回复]

我在部署ewf ram模式的时候也安装不了。setuperr.log文件提示could't find info for boot disk [1]。请问博主怎样解决？

3楼 HELLPROJECTOR2012-11-22 16:56发表 [回复]

博主文章不错，都出于实践。

有个问题请教楼主， 我使用ewf 通过iso部署很顺利，但是使用ghost 全盘 disk模式备份后，再用这个gho还原系统，ewf就失效了。 此问题博主是否遇到？

Re: Joseph-Growth2012-11-22 19:15发表 [回复]

回复HELLPROJECTOR：你说的我不是很清晰，你使用disk模式备份的话，那个disk分区是否备份。而且在wes7中是不支持disk模式的。

Re: HELLPROJECTOR2012-11-24 01:44发表 [回复]

回复meiyuli：关键是原来ewf好用的系统通过备份，再还原到其他硬盘，就会发现ewf失效了！

Re: HELLPROJECTOR2012-11-24 01:42发表 [回复]

回复meiyuli：我说的disk模式是 ghost软件的模式，不是ewf的模式，可能是我没表达清楚。 ewf使用的是ramreg。

Re: Joseph-Growth2012-11-26 11:22发表 [回复]

回复HELLPROJECTOR：我建议你使用imagex工具，最好不要用ghost工具。你说的问题在我之前的文章里面有表述过，很有可能是你的ewf没有正常打开，或者对应的配置信息（卷信息）没有对应，造成的。你可以查看我之前的文章，会找到答案。

Re: HELLPROJECTOR2012-11-27 15:23发表 [回复]

回复meiyuli：是要做一下sysprep才行。

2楼 Joseph-Growth2012-06-20 09:03发表 [回复]

上面的解释依然需要修正，经过笔者测试，发现部署时配置的EWF RAM模式保护分区个数，要与安装时分配的磁盘个数匹配，否则会出现不能正确安装的问题。

1楼 Joseph-Growth2012-06-15 16:15发表 [回复] [引用][举报]

就博文中没有提到的一些问题，这里补充说明一下：在部署EWF RAM模式的时候，当磁盘上分区数超过3个的时候，部署RAM模式会失败。并且部署RAM模式时磁盘必须得具有可分区功能。这里是msdn中原文“The media that you deploy to cannot have more than 3 partitions, and must support partitioning.”这里我没有注意到，最近部署系统一直失败，查到最后才发现原来是这个原因导致的。