首先使用fsutil命令查看NTFS日志状态，确认USN日志是否启用；接着通过fsutil导出USN日志为XML文件，利用文本工具或PowerShell筛选分析文件操作记录；最后可根据需要重新启用或删除USN日志功能以控制变更追踪能力。
如果您需要排查文件系统异常或追踪磁盘上的更改记录，NTFS日志可以提供关键的底层信息。Windows默认不开放直接查看NTFS日志的常规工具，但可通过命令行手段获取相关数据。
本文运行环境：Dell XPS 13，Windows 11
一、使用fsutil查看NTFS日志状态
fsutil是Windows内置的文件系统管理工具，可用来查询NTFS日志的基本配置和状态信息，例如日志文件大小、是否启用等。
1、以管理员身份打开命令提示符（CMD），按Win + X后选择“终端（管理员）”。
2、输入以下命令查看指定驱动器的NTFS日志状态：
fsutil usn queryjournal C:
3、若返回结果包含“Usn Journal ID”、“First Usn”等字段，则表示该卷已启用USN日志（即NTFS变更日志）。
二、导出并解析USN日志记录
USN（Update Sequence Number）日志是NTFS维护的变更记录，记录了文件和目录的创建、删除、重命名等操作。可通过fsutil读取并导出这些记录。
1、在管理员命令提示符中执行以下命令导出USN日志内容：
fsutil usn readjournal C: "C:\usn_output.xml" 0
2、该命令会将C盘的USN日志以XML格式保存到指定路径，便于后续分析。
3、使用文本编辑器或支持XML的工具打开输出文件，查找特定时间范围内的文件操作记录。
三、筛选特定文件的变更记录
当需要定位某个具体文件或目录的修改历史时，可结合PowerShell对导出的USN日志进行筛选处理。
1、使用Get-Content命令加载之前导出的XML日志文件：
Get-Content C:\usn_output.xml
2、通过Select-String过滤包含目标文件名的行：
Select-String -Path C:\usn_output.xml -Pattern "example.txt"
3、检查匹配结果中的操作类型字段（如“DATA_EXTEND”、“FILE_DELETE”），判断具体行为。
四、启用或禁用USN日志功能
某些情况下USN日志可能被手动关闭，影响变更追踪能力。可通过命令控制其启用状态。
1、若需重新启用USN日志，运行以下命令：
fsutil usn createjournal m=100 a=50 C:
2、其中m指定最大日志大小（MB），a为分配单元大小，C:为目标卷。
3、若要清空现有日志并停用功能，执行：
fsutil usn deletejournal C:
