Fsutil查询并清除USN日志，

如果您尝试安全卸载出U盘，但系统弹出错误提示（如“设备正在使用中”或显示特定错误代码），则说明阅读更多多种安全操作方法：一、usePow erShell命令快速定位占用进程

PowerShell内置的Get-Process与Get-ChildItem消耗第三方工具，且支持实时过滤与输出PID。

1、以管理员身份运行Windows PowerShell。

2. Where-Object { $_.Path -like "E:*" - 或 $_.Path -like "E:*" } |选择-对象 ID、进程名称、路径

3.获取进程| ForEach-对象 { $p = $_;尝试{ Get-ChildItem -Path "E:" -Recurse -ErrorAction SilentlyContinue | ForEach-Object { if ($_.FullName -match "E:") { Write-Host "$($p.Id) $($p.ProcessName)" } } } catch {} } | Sort-Object -Unique

4、详细信息”页面，右键对应进程“USN（更新”序列号：后台持续监控U盘变更，导致系统判断为主动占用；fsutil可读取当前卷的USN日志绑定状态，确认是否需强制清除。

1、以管理员身份运行命令提示符。

2、输入以下命令并回车（将E:替换为U盘盘符）：fsutil usn queryjournal E:

3、若返回“错误：系统找不到指定的路径”或“期刊ID: 0x0”，表明日志未启用，可跳过本步；若返回有效期刊ID: fsutil usn deletejournal /D E:

5. rt命令卸载并卸载U盘卷

diskpart可绕过图形界面直接与磁盘服务交互，准确识别U盘对应卷号，并执行离线操作，实现底层安全卸载。

1、以管理Diskpartlist卷

3.

4. Volume.进程

wmic提供WMI接口级查询能力，可捕获explorer.exe子窗口、rund ll32调用、Shell扩展等GUI层隐性占用源，覆盖资源中可能遗漏的场景。

1、替换为U盘盘符）：wmic process where "CommandLine like '%E:%' or CommandLine like '%E:\%'" get ProcessId,Name,CommandLine /format:csv

3、检查输出结果中是否包含explorer.exe、rundll32.exe、dllhost.exe、SearchIndexer.exe等高风险进程。

4、对确认无关的进程，执行终止命令（将1234替换为实际PID）:wmic process where ProcessId=1234删除

5.下载RunDll32

RunDll32下载文件大小：32.dll WIN + R打开“运行”对话框。

2、输入以下命令（将E:替换为U盘盘符）：RunDll32 shell32.dll,Control_RunDLL hotplug.dll,,2

3.进入UI层；此时打开立即事件查看器（eventvwr.msc），导航至“Windows日志→系统”，筛选最近5分钟内来源于“服务控制管理器”或“内核-PnP”的错误事件。

4、查找包含关键词USBSTOR、vo lmgr或错误代码0x1f的条目，其详细信息中将显示明显的计费占用模块名称（如WdFilter代表Windows Defender实时防护）。

5.