日志磁盘写满的后果
设备本地日志写满后，新日志要么被直接丢弃，要么为腾空间覆盖最早的记录。前者造成审计缺口，后者破坏留存完整性，两种情况都会让排障与取证失去依据。处理有两层：短期清理与策略调整解燃眉之急，根本手段是把集中日志平台作为主通道，让本地只承担排障缓冲的角色。
基本信息
| 典型现象 | 设备告警磁盘空间不足，日志停止更新或滚动异常 |
|---|---|
| 直接影响 | 新日志丢失或旧日志被覆盖，形成审计缺口 |
| 应急处理 | 导出需要的日志后按策略清理最旧文件 |
| 根治方向 | 以外部日志平台为主，本地容量按需规划 |
| 监控要求 | 设置容量阈值告警，在写满之前介入 |
| 验证要点 | 清理前后确认外发正常，避免删除唯一副本 |
典型使用场景
- 设备容量告警后的应急清理与恢复
- 高频日志场景下调整本地滚动与保留策略
- 排查日志平台收不到数据时设备侧的原因
- 容量规划：本地日志保留多久更合理
- 审计前的日志完整性与留存检查
处理步骤
处理步骤
1. 确认外发链路正常，日志已在服务器落地 # 前置确认
2. 导出仍需留存的本地日志并归档 # 保数据
3. 按策略清理最旧文件，释放空间 # 应急
4. 调整本地保留量与滚动策略，减少本地依赖 # 治标
5. 配置容量告警阈值，提前预警 # 治本处理思路对比
| 思路 | 优点 | 局限 |
|---|---|---|
| 扩大本地容量 | 短期立刻见效 | 治标，日志量继续增长仍会写满 |
| 清理旧日志 | 立刻释放空间 | 未外发的数据会被永久删除 |
| 以平台为主通道 | 留存完整且可检索 | 依赖平台的可用性与容量规划 |
本地日志只当排障缓冲：把留存责任交给集中平台，设备侧容量压力会小很多，审计也不再依赖设备本身。
清理前确认日志已外发或另行备份，直接删除可能删掉唯一副本，事后无法补救。