Что такое журналирование в Ntfs?

Журналирование — процесс записи информации о происходящих с каким-то объектом (или в рамках какого-то процесса) событиях в журнал (например, в файл) .

Применительно к компьютерной памяти журнал это запись в хронологическом порядке операций обработки данных, которые могут быть использованы для того, чтобы воссоздать существовавшую или альтернативную версию компьютерного файла.
Журналируемая файловая система — файловая система (ФС) , в которой осуществляется ведение журнала, хранящего список изменений и, в той или иной степени, помогающего сохранить целостность файловой системы при сбоях.
В семействе ОС Microsoft Windows к журналируемым относится файловая система NTFS
NTFS использует опережающее журналирование – она сначала записывает запланированные изменения в системный журнал, и только затем пишет блоки файловой системы в кэш.
NTFS вносит записи в системный журнал, когда происходит что-либо из нижеследующего:
создание файла;
удаление файла;
изменение размеров файла;
изменение метаданных файла ;
переименование файла;
изменение разрешений на доступ к файлу.

NTFS информирует службу системного журнала о запланированных изменениях посредством внесения записей в системный журнал. Когда транзакция завершена, NTFS записывает «контрольную точку» , что для данной транзакции не существует больше никаких изменений.

Если случился сбой в работе файловой системы, NTFS после перезагрузки начинает просматривать системный журнал на предмет нанесённого ущерба и планировать свои действия по восстановлению. Во-первых, NTFS ищет запись последней контрольной точки. После этого файловая система последовательно выполняет те действия, которые соответствуют следующим за контрольной точкой записям, пока не будет достигнуто последнее известное непротиворечивое состояние системы. Этот процесс занимает несколько секунд и не зависит от размера жёсткого диска.