| 估算要素 | 日均条数、单条大小、副本与索引开销、留存周期 |
|---|---|
| 经验 | 结构化存储通常为原始日志的 1.5-3 倍 |
| 监控 | 容量使用率与增长趋势 |
估算示例
估算示例
20 台设备 × 日均 3000 万条 × 300 字节 ≈ 180 GB/天（原始）
加索引与副本（按 2 倍）= 360 GB/天
留存 180 天 ≈ 65 TB（需按归档策略分级）容量规划按峰值与增长率迭代，每次扩容记录基线。
日志容量规划
按「设备数 × 日均日志量 × 留存周期」估算容量，并预留峰值与索引膨胀空间。
易错点
- 只按均值估算，活动或攻击期间暴增直接写满存储
- 不留归档分级，全靠昂贵在线存储成本失控
数据来源与参考
- NIST SP 800-92（容量规划）
- Elastic 官方文档：容量规划建议