用标准 GHOST镜像xpe系统(EWF保护模式为RAM)时，写保护丢失问题的解决方法
在开发具有写保护功能的XPE操作系统时，比较常用的EWF保护模式有RAM模式，特别是针对CF卡，RAM模式能够非常有效的保护CF卡不受FBA频繁的写擦损耗（当然这种CF卡 必须是可以分区的），但是问题出现了，在用标准GHOST将FBA后的XPE系统做成镜像的时候，还原出来的系统却把写保护EWF丢失了，具体表现在 运行“EWFMGR C:”命令时，提示系保护卷不存在。
出现上面问题的主要原因是：RAM模式的EWF功能需要CF卡给予一定大小的未分区空间（不小于8M）放置配置信息,所以在对硬盘进行分区时一定要留出一定的扩展空间，当我们对FBA后的系统进行DISK TO IMAGE镜像时，还原时却不能将那8M的空间还原出来，所以导致了EWF功能的丢失，有两种方法解决这个问题：
1） 如果系统镜像为DISK镜像，那么还原后EWF会丢失，我们用DISKGEN对目标盘的分区情况进行查看时，会发现多了个小分区，好了，毫不犹豫的把这个分区删掉，然后重新多启动一次目标盘，那么你在执行“EWFMGR C:”时会发现EWF又回来了，模式还是RAM.
2) 第二种方式是将EWF的RAM模式修改为RAM-REG模式。首先对FBA后的系统要镜像为 PARTITION TO IMAGE方式，然后用PARTITION镜像进行系统还原，你会发现还原后系统理所当然就丢失了EWF功能，那么我们需要做的就是将下面的注册信息保存为.reg文件(可以直接下载链接文件)，然后执行注册，重启一次就OK了：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf]
"ErrorControl"=dword:00000001
"Group"="System Bus Extender"
"Start"=dword:00000000
"Type"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}]
"UpperFilters"="Ewf"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters\Protected]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters\Protected\Volume0]
"VolumeID"="{1EA414D1-6760-4625-8CBE-4F9F85A48E15}"
"Type"=dword:00000001
"ArcName"="multi(0)disk(0)rdisk(0)partition(1)"
（注意：我的系统盘默认是C盘 对应上面partition(1)，以此可以类推，这种方式的写保护模式已经转换为RAM-REG模式了），然后那，不要怕麻烦对当前的系统再做个GHOST镜像吧，以后新镜像还原的系统只需要重启一次就可以自动启动RAM-REG 模式的EWF功能了。
我当前应用的是第二种方式，因为本身CF卡就有寿命限制，一般的移动硬盘只能拥有RAM-REG模式的保护功能，那么在FBA的时候由于未能对CF卡写保护，很容易造成卡的损坏进而影响系统的性能，好在现在的很多CF卡支持分区功能了，所以我们可以以RAM模式进行FBA，然后镜像为RAM-REG格式来实现一次GHOST镜像。
如果GHOST能够更好的支持完全对RAM模式的EWF功能镜像那就再好不过了，我想解决方案一定是有的，需要继续学习查找。感觉RAM模式应该比RAM-REG模式的EWF更稳定些吧，继续查找学习吧。。。
雷志刚老师提供的EWF_REG注册文件
出现上面问题的主要原因是：RAM模式的EWF功能需要CF卡给予一定大小的未分区空间（不小于8M）放置配置信息,所以在对硬盘进行分区时一定要留出一定的扩展空间，当我们对FBA后的系统进行DISK TO IMAGE镜像时，还原时却不能将那8M的空间还原出来，所以导致了EWF功能的丢失，有两种方法解决这个问题：
1） 如果系统镜像为DISK镜像，那么还原后EWF会丢失，我们用DISKGEN对目标盘的分区情况进行查看时，会发现多了个小分区，好了，毫不犹豫的把这个分区删掉，然后重新多启动一次目标盘，那么你在执行“EWFMGR C:”时会发现EWF又回来了，模式还是RAM.
2) 第二种方式是将EWF的RAM模式修改为RAM-REG模式。首先对FBA后的系统要镜像为 PARTITION TO IMAGE方式，然后用PARTITION镜像进行系统还原，你会发现还原后系统理所当然就丢失了EWF功能，那么我们需要做的就是将下面的注册信息保存为.reg文件(可以直接下载链接文件)，然后执行注册，重启一次就OK了：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf]
"ErrorControl"=dword:00000001
"Group"="System Bus Extender"
"Start"=dword:00000000
"Type"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{71A27CDD-812A-11D0-BEC7-08002BE2092F}]
"UpperFilters"="Ewf"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters\Protected]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ewf\Parameters\Protected\Volume0]
"VolumeID"="{1EA414D1-6760-4625-8CBE-4F9F85A48E15}"
"Type"=dword:00000001
"ArcName"="multi(0)disk(0)rdisk(0)partition(1)"
（注意：我的系统盘默认是C盘 对应上面partition(1)，以此可以类推，这种方式的写保护模式已经转换为RAM-REG模式了），然后那，不要怕麻烦对当前的系统再做个GHOST镜像吧，以后新镜像还原的系统只需要重启一次就可以自动启动RAM-REG 模式的EWF功能了。
我当前应用的是第二种方式，因为本身CF卡就有寿命限制，一般的移动硬盘只能拥有RAM-REG模式的保护功能，那么在FBA的时候由于未能对CF卡写保护，很容易造成卡的损坏进而影响系统的性能，好在现在的很多CF卡支持分区功能了，所以我们可以以RAM模式进行FBA，然后镜像为RAM-REG格式来实现一次GHOST镜像。
如果GHOST能够更好的支持完全对RAM模式的EWF功能镜像那就再好不过了，我想解决方案一定是有的，需要继续学习查找。感觉RAM模式应该比RAM-REG模式的EWF更稳定些吧，继续查找学习吧。。。
雷志刚老师提供的EWF_REG注册文件
