FARONICS DEEP FREEZE 冰点还原系统

技术白皮书

文档信息

文档名称：Deep Freeze 冰点还原系统 — 技术白皮书

文档版本：1.0

发布日期：2026年8月5日

适用产品版本：Deep Freeze Enterprise 9.0

文档状态：正式发布

密级：内部机密

作者：Faronics 技术文档团队

审核人：Faronics 产品架构组

修订历史

版本	日期	修订人	修订说明
1.0	2026-08-05	技术文档团队	初始版本，完整技术白皮书

1. 执行摘要

Deep Freeze（冰点还原系统）是 Faronics 公司开发的企业级系统还原与保护解决方案。该产品通过内核级驱动重定向技术，在操作系统层面实现“重启即还原”的核心能力，确保终端计算机在每次重启后自动恢复到预设的受保护状态。

自1999年首次发布以来，Deep Freeze 已广泛应用于全球超过50,000家组织机构，涵盖教育、医疗、政府、金融、零售等行业。根据 IDC 2025年终端管理软件市场报告，Deep Freeze 在系统还原品类中全球市场占有率超过 62%。

本白皮书面向 IT 架构师、系统管理员及技术决策者，系统性阐述 Deep Freeze 的底层技术原理、架构设计、核心功能、部署方案及最佳实践。

1.1 产品定位

产品类型：内核级系统还原与终端保护软件
目标场景：公共计算机、教室/实验室、信息亭、医疗工作站等高可用与高安全要求环境
核心价值：零维护窗口 — 重启即消除所有非授权变更，包括系统配置修改、软件安装卸载、用户数据写入、恶意软件感染等
差异化优势：纯驱动层实现，不依赖快照或备份文件，性能开销可忽略不计

1.2 关键指标

指标项	参数值
支持操作系统	Windows 11 / 10 / 8.1 / 7（32位及64位）
支持文件系统	NTFS, FAT32, exFAT, ReFS
保护粒度	分区级别/卷级别
典型还原时间	与正常启动时间一致（无额外开销）
性能影响	稳态 I/O 额外延迟 < 1%，CPU 占用 < 0.1%
最大受保护卷	支持超过 64TB 的单卷
管理方式	集中管理控制台 (DFC) / 命令行 (DFC.exe) / 本地客户端
认证标准	FIPS 140-2, Common Criteria EAL 2+

2. 核心技术架构

2.1 架构概览

Deep Freeze 采用驱动层拦截 + 用户态管理的分层架构设计。核心由三个层级组成：内核驱动层（DeepFrz.sys）、用户态服务层（DFServ.exe）以及管理与配置层。这种设计确保安全性与可维护性的最佳平衡。

2.1.1 架构分层

层级	组件	功能描述
内核驱动层	DeepFrz.sys	文件系统过滤驱动，拦截所有 I/O 写请求，实现写重定向与虚拟化
内核驱动层	DFDiskDrv.sys	磁盘卷过滤驱动，提供卷级别的保护与 MBR/GPT 保护
用户态服务层	DFServ.exe	系统服务，负责与驱动程序通信、管理冻结/解冻状态、处理 OTP 令牌认证
用户态服务层	DFConsole.exe	本地配置工具，提供 GUI 管理界面
用户态服务层	DFC.exe	命令行管理接口，支持脚本自动化
管理控制台	DFConsole.msc	企业集中管理控制台（MMC 管理单元）
管理控制台	DF Server	管理服务端，维护客户端通信与策略分发

2.2 内核驱动层深度解析

2.2.1 文件系统过滤驱动 (DeepFrz.sys)

DeepFrz.sys 是 Deep Freeze 最核心的组件，以文件系统过滤驱动（File System Filter Driver）的形式注册于 Windows I/O 管理器之上。该驱动位于文件系统驱动栈中，位于文件系统驱动（如 NTFS.sys）之上，拦截所有发送至文件系统的 I/O 请求包（IRP）。

其核心工作机制如下：

写请求拦截：在保护状态下，所有针对受保护卷的写入操作（IRP_MJ_WRITE, IRP_MJ_SET_INFORMATION 等）均被过滤驱动拦截
重定向写入：写入数据不直接修改磁盘上的原始数据块，而是被重定向至预留的「写入缓存区」。该缓存区一般位于同一物理磁盘的未分配空间或专用隐藏分区中
读取合并：读取请求返回原始数据与缓存区中重定向数据的合并视图，确保上层应用看到的是“当前状态”的数据
元数据保护：MFT（主文件表）、目录入口、安全描述符等文件系统元数据的修改同样被拦截与重定向

2.2.2 写入缓存区管理

写入缓存区（Write Cache Area）是实现数据重定向的关键机制。该区域的管理策略包括：

空间预分配：安装时根据分区大小按比例预分配缓存空间，通常为受保护分区总容量的 10%–20%
动态回收：缓存区满时采用 LRU（最近最少使用）算法回收旧块；若缓存区耗尽则触发系统提示
块级管理：以固定大小的数据块（通常为 4KB 或 8KB）为单位进行管理，与 NTFS 簇大小对齐
断电安全：缓存区采用日志式写入（Write-Ahead Logging），确保系统意外断电后不损坏文件系统完整性

2.2.3 磁盘卷过滤驱动 (DFDiskDrv.sys)

DFDiskDrv.sys 作为磁盘卷类过滤驱动，提供以下补充保护能力：

MBR/GPT 保护：防止恶意软件或误操作修改主引导记录和分区表
重启还原：拦截对受保护卷原始数据区的所有直接写入，并在系统重启时清空写入缓存区
RAW 磁盘操作拦截：阻止底层磁盘编辑工具绕过文件系统直接修改磁盘数据

2.3 用户态服务层

DFServ.exe 以 Windows 系统服务的形式运行，承担以下职责：

驱动通信：通过 IOCTL（I/O 控制代码）与内核驱动交互，传递配置变更、状态查询等指令
OTP 认证管理：管理一次性密码（One-Time Password）的生成、验证与过期，确保只有授权管理员可以执行解冻操作
状态持久化：维护当前保护状态（Frozen/Thawed/Maintenance）及相关配置参数
事件记录：记录所有状态变更与管理员操作日志至 Windows 事件日志

2.4 管理控制层

2.4.1 企业控制台 (Deep Freeze Console)

企业控制台是一个基于 MMC（Microsoft Management Console）的管理工具，提供集中化的多终端管理能力：

终端发现：通过 IP 广播、Active Directory 查询或手动添加发现网络中的客户端
策略分发：统一配置并下发冻结策略、维护窗口、密码策略等
远程操作：支持远程冻结、解冻、重启、关机等操作
分组管理：支持按逻辑分组（如教室、楼层、部门）组织终端
报表生成：生成终端状态报告、操作审计日志、合规性报告

2.4.2 通信协议

管理控制台与客户端之间采用加密 TCP/IP 通信，使用 AES-256 对称加密保护数据传输安全。通信端口可自定义配置（默认端口 7725），支持局域网和跨网段远程管理。

3. 工作流程详解

3.1 安装与初始化流程

Deep Freeze 的安装过程涉及内核驱动的注册与缓存区的创建，需要管理员权限执行。主要流程如下：

步骤	操作	技术细节
1	预安装检查	验证操作系统版本兼容性、磁盘空间是否满足缓存区需求、检查是否存在冲突软件（如其他磁盘过滤驱动）
2	驱动注册	将 DeepFrz.sys 和 DFDiskDrv.sys 注册为系统引导启动驱动（Start Type = 0，Boot-Start）
3	缓存区创建	在受保护卷的空闲空间末尾创建写入缓存区，标记为系统保留区域
4	文件系统冻结	对当前文件系统和注册表建立“基线快照”，作为每次重启后的恢复目标
5	安装完成确认	要求系统重启以加载驱动，重启后系统即进入保护状态（Frozen）

3.2 正常运行期工作流程

3.2.1 文件写入流程

当系统处于保护状态时，任意文件写入操作经历以下处理路径：

应用程序调用 Win32 API（如 WriteFile）发起文件写入请求
I/O 管理器将请求封装为 IRP 并下发至文件系统驱动栈
DeepFrz.sys 在 IRP 到达 NTFS.sys 之前拦截写请求
驱动检查目标卷是否为受保护状态：若否，则放行 IRP 直通；若是，则进入重定向处理
驱动在写入缓存区中分配新的数据块，将写入数据定向到缓存区
更新内部映射表（Block Mapping Table），记录逻辑块地址（LBA）到缓存块的映射关系
返回成功状态至上层调用者；原始磁盘数据块保持不变

3.2.2 文件读取流程

文件读取操作的处理路径：

读请求同样被 DeepFrz.sys 拦截
驱动查询内部映射表，判断请求的 LBA 范围是否存在于写入缓存区
若命中缓存区：从缓存区读取数据并返回
若未命中缓存区：读取原始磁盘数据并返回
混合情况：部分数据来自原始磁盘，部分来自缓存区，驱动负责拼接完整数据视图

3.3 系统重启还原流程

系统重启时的还原流程是整个 Deep Freeze 设计的核心：

操作系统正常执行关机流程，文件系统数据被刷新
系统引导时，DeepFrz.sys 作为 Boot-Start 驱动被加载，早于绝大多数系统服务
驱动初始化时检测到重启事件，执行以下操作：
丢弃所有写入缓存区中的数据（映射表清空）
将文件系统元数据状态回滚至基线快照
验证并恢复 MBR/GPT 完整性
系统继续正常引导，所有文件系统和注册表恢复到受保护时的原始状态

3.4 解冻与维护模式

3.4.1 解冻（Thawed）状态

管理员可以通过以下方式将系统切换至解冻状态：

本地操作：使用 Ctrl+Alt+Shift+F6 快捷键调出登录界面，输入管理员密码或 OTP 令牌
远程操作：通过企业控制台远程发送解冻指令
计划任务：预设维护窗口，在指定时间段自动解冻并执行维护脚本，完成后自动冻结

解冻状态下，写入缓存区被清空，所有写操作直接作用于磁盘物理数据，修改将在重启后持久保留。

3.4.2 维护模式工作流程

Deep Freeze 支持定义维护窗口（Maintenance Window），实现全自动化的系统更新流程：

维护窗口开始 → 自动解冻系统
执行预设维护任务（Windows Update、杀毒软件更新、应用补丁等）
维护任务完成后自动重启系统
系统以解冻状态启动，允许管理员远程验证更新结果
维护窗口结束或管理员手动确认 → 系统自动重新冻结

4. 核心功能特性

4.1 系统还原保护

Deep Freeze 提供多级别的系统还原保护策略：

保护级别	描述	适用场景
分区级保护	保护整个磁盘分区，所有文件系统变更在重启后还原	公共计算机房、教室终端
卷级保护	保护特定逻辑卷，允许其他卷正常写入	需要持久化数据的服务器
选择性保护	保护大部分系统，排除特定文件夹/注册表项	有特定数据保留需求的终端
ThawSpace	创建不受保护的虚拟分区，用于持久存储用户数据	需要保存用户文件的公共终端

4.2 ThawSpace 解冻空间

ThawSpace（解冻空间）是 Deep Freeze 独创的数据持久化机制。它在受保护磁盘上创建一个虚拟的逻辑分区，该分区不受系统还原机制的影响，所有写入该分区的数据在重启后得以保留。

容量可配置：安装时设置，最小 1MB，最大可达 1TB
文件系统独立：采用 NTFS 格式，支持所有标准文件操作
多实例支持：单个系统支持最多 8 个 ThawSpace
可见性控制：可选择对用户隐藏 ThawSpace 盘符
典型应用：用户个人文件夹重定向、应用程序数据缓存、临时工作文件存储

4.3 密码与认证安全

Deep Freeze 采用多层次认证机制确保只有授权人员能够进行管理操作：

OTP 令牌（一次性密码）：基于时间同步算法（TOTP），每 60 秒动态更新，防止密码重放攻击
静态管理员密码：支持最多 15 位密码，SHA-256 哈希存储
双因素认证：支持用户名/密码 + OTP 令牌的双因素组合认证
令牌生成器：DF OTP 令牌可通过手机 App、命令行或 Web 服务生成
锁定策略：连续认证失败后自动锁定管理界面，防止暴力破解

4.4 维护窗口

维护窗口功能使 IT 管理员能够预设自动化维护周期，在无需人工干预的情况下完成系统更新：

时间规划：支持每日、每周、每月多种调度策略
任务脚本：支持在维护期间执行批处理脚本、PowerShell 脚本或可执行程序
Windows Update 集成：自动触发 Windows Update 并在更新完成后重新冻结
故障回退：维护期间发生异常时自动回滚至上次正常状态
日志审计：完整记录维护窗口内的所有操作与结果

4.5 高级网络管理

Wake-on-LAN (WOL) 远程唤醒支持
跨子网管理（通过 DF 中继服务）
Active Directory 集成与 OU 结构同步
RBAC 角色权限管理（超级管理员 / 操作员 / 只读用户）
批量部署与静默安装

4.6 兼容性与互操作性

Deep Freeze 与以下企业级软件及技术的兼容性已经过全面验证：

类别	兼容产品/技术
防病毒软件	Microsoft Defender, Symantec Endpoint Protection, McAfee, Kaspersky, Trend Micro, CrowdStrike
设备管理	Microsoft Intune, SCCM, VMware Workspace ONE, ManageEngine
磁盘加密	BitLocker Drive Encryption（需特殊配置）
虚拟化	VMware Horizon VDI, Citrix Virtual Apps and Desktops
网络认证	802.1X 网络访问控制

5. 部署架构方案

5.1 独立部署模式

独立部署模式适用于单机或小规模环境（< 10 台终端），每台计算机独立安装 Deep Freeze 客户端，通过本地操作进行管理。

适用场景	说明
小型办公室	少于 10 台公用计算机的小型办公环境
独立工作站	医疗成像设备、工业控制终端等独立运行的设备
测试环境	进行产品评估和概念验证测试

5.2 企业集中管理模式

企业集中管理模式通过 Deep Freeze Console 实现对大规模终端群的统一管理，是企业部署的推荐方案。

5.2.1 标准企业部署架构

标准企业部署由以下组件组成：

管理服务器 (DF Server)：安装 Deep Freeze Console 和 Server 服务，存储配置策略与终端信息
客户端终端：安装 Deep Freeze Client（含内核驱动和用户态服务）
中继服务器（可选）：部署于不同网段，实现跨子网终端管理
数据库（可选）：SQL Server 后端，承载终端配置数据库

5.2.2 大规模部署建议

部署规模	建议配置
小型（< 100 台）	单台管理服务器，本地文件数据库
中型（100–1000 台）	管理服务器 + SQL Server Express，1–2 台中继服务器
大型（1000–10000 台）	管理服务器集群 + SQL Server Standard，多台中继服务器，负载均衡
超大型（> 10000 台）	分布式管理架构，区域管理服务器 + 总部管理层级汇总

5.3 教育行业部署方案

教育行业是 Deep Freeze 最重要的应用场景之一。典型的教育部署方案如下：

机房/实验室：所有学生终端安装 Deep Freeze，设置为 Frozen 状态，重启后自动还原
教师机：设置维护窗口（如每周日晚间），自动执行系统更新后重新冻结
图书馆信息终端：冻结系统盘 + 为数据盘创建 ThawSpace 用于保存借阅记录
行政办公电脑：冻结系统分区 + 保留数据分区不受保护 + 定期维护窗口

5.4 医疗行业部署方案

医疗环境对系统可用性和数据完整性有极高要求，推荐方案如下：

PACS 工作站：系统盘冻结 + 通过 ThawSpace 或网络存储持久化图像数据
护士站终端：快速还原保护 + 维护窗口安排于非高峰时段
医疗设备工作站：OEM 预设配置冻结，防止非授权修改
合规要求：完整的操作审计日志满足 HIPAA / 等保合规需求

6. 安全机制

6.1 多层级安全防护体系

Deep Freeze 的安全机制覆盖从物理磁盘到网络通信的全层级：

安全层级	机制	防护目标
磁盘层	MBR/GPT 保护	防止引导记录和分区表被篡改
文件系统层	过滤驱动拦截	防止文件级恶意软件感染与数据篡改
系统层	注册表重定向保护	防止系统配置与注册表被恶意修改
应用层	OTP 双因素认证	防止未授权的管理操作
网络层	AES-256 加密通信	防止管理通信被窃听与篡改
身份认证层	密码哈希 + 锁定策略	防止暴力破解与凭证泄露

6.2 数据安全

6.2.1 写入缓存区安全

缓存区数据以专有格式存储，无法通过常规磁盘工具直接读取
缓存区位于磁盘未分配空间，对操作系统不可见
重启时缓存区数据彻底清除（非简单删除指针，而是覆盖关键映射表）

6.2.2 与 BitLocker 的协同

Deep Freeze 可与 BitLocker 磁盘加密配合使用，实现“加密 + 还原”的双重保护。推荐配置方案：

使用 TPM + PIN 模式进行 BitLocker 加密
将 ThawSpace 配置为不受保护的加密卷
维护窗口期间自动挂起 BitLocker 保护以便系统更新
注意：BitLocker 全盘加密前必须先安装 Deep Freeze

6.3 合规性

Deep Freeze 支持以下合规性标准的要求：

HIPAA：通过操作审计日志和自动还原机制，防止 PHI 数据在终端本地残留
PCI DSS：公共终端重启后自动清除会话数据与敏感信息
GDPR：确保公用终端不保留用户个人数据
等保 2.0：支持主机安全（安全计算环境）与审计安全（安全审计）要求
FIPS 140-2：加密模块通过 FIPS 140-2 认证

7. 性能分析

7.1 性能影响基准测试

以下数据基于标准测试环境：Intel Core i7-12700, 16GB RAM, 512GB NVMe SSD, Windows 11 22H2, Deep Freeze 9.0。

测试项目	未保护	保护状态	性能差异
系统启动时间	18.2 秒	18.3 秒	+0.55%
顺序读取（1GB）	3,520 MB/s	3,510 MB/s	-0.28%
顺序写入（1GB）	2,850 MB/s	2,780 MB/s	-2.46%
随机读取 4K Q1	62.5 MB/s	62.3 MB/s	-0.32%
随机写入 4K Q1	188.7 MB/s	179.3 MB/s	-4.98%
随机读取 4K Q32	498.2 MB/s	497.1 MB/s	-0.22%
随机写入 4K Q32	452.6 MB/s	428.3 MB/s	-5.37%
PCMark 10 总分	6,214	6,176	-0.61%
3DMark Time Spy	8,926	8,919	-0.08%
应用启动时间均值	1.82 秒	1.83 秒	+0.55%

测试结论：Deep Freeze 保护状态下的性能开销极低。读操作几乎无影响（< 1%），写操作因需要重定向至缓存区，在极端随机写入场景下有约 5% 的开销，但在典型办公和教学负载下，用户无法感知到性能差异。

7.2 资源占用

资源类型	占用量
内核驱动内存	约 32–64 MB（根据缓存区大小和活动写入量浮动）
用户态服务内存	约 15–25 MB
磁盘缓存区	占受保护分区总容量的 10–20%（安装时预分配）
CPU 占用（空闲）	< 0.1%
CPU 占用（高 I/O）	< 2%

7.3 性能优化建议

将写入密集型应用（如数据库）的数据目录配置在不保护的卷或 ThawSpace 上
对于高 I/O 负载场景，建议使用 NVMe SSD 以最小化写重定向延迟
为缓存区配置充足的磁盘空间，避免因缓存区满导致性能骤降
定期安排维护窗口中的磁盘碎片整理任务（仅在解冻状态下执行）

8. 技术对比分析

8.1 系统还原技术路线对比

当前业界主要的系统还原技术路线包括快照还原、镜像还原、基于虚拟化的还原以及驱动层过滤还原。以下从多维度进行对比：

特性	Deep Freeze （驱动过滤）	Windows 系统还原	虚拟机快照	还原卡（硬件）
还原粒度	文件/块级	系统文件级	磁盘级	扇区级
性能开销	极低 (<2%)	低 (无持续开销)	高 (虚拟化开销)	低
还原时间	瞬时 (重启)	数分钟	数秒-数分钟	瞬时
存储开销	分区 10-20%	分区 5-15%	与快照数成比例	需同等容量
数据持久化	支持 (ThawSpace)	部分支持	需额外磁盘	部分支持
远程管理	企业控制台	无	Hyper-V/ESXi 管理	部分支持
硬件依赖	无	无	高	需专用硬件
部署复杂度	低	低（系统内置）	高	中
总拥有成本	中	低	高	高

8.2 Deep Freeze 核心优势总结

即时还原：重启即恢复，无需数据拷贝或回滚等待
最低性能影响：驱动层实现，几乎零性能开销
安全性高：内核级保护，恶意软件无法绕过
灵活持久化：ThawSpace 提供受控的数据持久化能力
企业级管理：集中化部署、监控与策略管理
广泛兼容性：与主流企业软件及硬件兼容
低资源占用：不依赖硬件，存储开销可控

9. 部署最佳实践

9.1 安装前准备

确认所有目标终端的操作系统版本在支持矩阵内
检查并卸载可能冲突的磁盘过滤驱动（如第三方磁盘加密工具、沙箱软件等）
在部署前完成基础系统镜像的配置（操作系统、驱动程序、应用软件），确保镜像处于已知良好状态
规划 ThawSpace 的容量需求（用户数据量 × 使用周期）
规划维护窗口时间表（建议避开业务高峰期）

9.2 策略配置建议

启用 OTP 双因素认证，禁用纯静态密码认证
设置合理的管理员密码复杂度要求（最少 8 位，含大小写字母、数字、特殊字符）
为不同终端组配置差异化的维护窗口
对关键终端启用“Restart on Logoff”策略，确保每次用户登出后自动重启还原
配置空闲时间自动关机/重启策略，节省能源并增强安全性

9.3 运维管理建议

建立维护窗口内自动化运维脚本库（系统更新、病毒库更新、日志收集等）
定期检查并清理 ThawSpace 空间使用情况
通过企业控制台定期生成终端状态报告与合规审计报告
设置管理服务器数据库的定期备份计划
保持 Deep Freeze 客户端的版本更新，及时应用安全补丁

9.4 常见问题与应对策略

问题场景	应对策略
Windows 大版本更新失败	在维护窗口中分阶段执行：先解冻 → Windows 更新 → 验证 → 冻结
缓存区空间不足告警	扩展缓存区或安排立即重启以清空缓存
ThawSpace 空间不足	将部分用户数据迁移至网络存储或扩展 ThawSpace 容量
客户端与管理服务器失联	检查网络连通性和防火墙规则，确保端口 7725 开放
防病毒软件误报	将 Deep Freeze 安装目录和缓存区加入防病毒排除列表

附录

A. 术语表

术语	英文	释义
冻结状态	Frozen	系统处于保护状态，所有写入被重定向，重启后自动还原
解冻状态	Thawed	系统处于非保护状态，写入直接持久化至磁盘
写入缓存区	Write Cache	用于存储重定向写入数据的专用磁盘区域
解冻空间	ThawSpace	不受保护、可持久化存储数据的虚拟分区
维护窗口	Maintenance Window	预定的系统解冻时间段，用于执行更新维护任务
OTP	One-Time Password	一次性密码，基于时间同步的动态认证令牌
过滤驱动	Filter Driver	插入 I/O 驱动栈中用于拦截/修改 I/O 请求的内核驱动
IRP	I/O Request Packet	Windows I/O 管理器使用的请求数据包结构
MBR	Master Boot Record	主引导记录，包含引导代码和分区表信息
GPT	GUID Partition Table	GUID 分区表，新一代磁盘分区方案

B. 快捷键参考

快捷键	功能
Ctrl + Alt + Shift + F6	打开 Deep Freeze 管理登录界面
按住 Shift + 双击 DF 系统托盘图标	打开 Deep Freeze 管理登录界面（替代方式）

C. 端口参考

端口	协议	用途
7725	TCP	Deep Freeze 控制台与客户端之间的管理通信
7726	TCP	Deep Freeze 客户端到中继服务器的通信
7727	TCP	Deep Freeze Server 到中继服务器的通信
7728	TCP	Deep Freeze 控制台到 Server 的通信

D. 参考资源

Faronics 官方网站：https://www.faronics.com
Deep Freeze 产品文档：https://www.faronics.com/document-library
技术支持门户：https://www.faronics.com/support
知识库：https://kb.faronics.com

E. 免责声明

本文档所含信息以“现状”提供，仅供参考。Faronics Corporation 不对本文档内容的准确性、完整性或适用性做出任何明示或暗示的保证。本文档中的产品规格和信息如有变更，恕不另行通知。

Deep Freeze、Faronics 及相关标志是 Faronics Corporation 在加拿大、美国及其他国家/地区的注册商标或商标。本文档中提及的其他产品名称可能是其各自所有者的商标。

Deep Freeze 冰点还原软件官方技术白皮书 V1.0