本地日志与外发日志怎么分工
设备本地日志与集中外发日志各有用途：本地日志读写快、便于排障时近实时查看，但容量小、滚动覆盖快；外发日志可长期留存、支持跨设备关联检索，但存在采集与索引延迟。合理的策略是本地保留关键级别日志用于快速排障，外发保全量业务日志用于取证与趋势分析，两者互补而不是二选一。
基本信息
| 本地日志 | 近实时查看、容量有限、滚动覆盖较快 |
|---|---|
| 外发日志 | 长期留存、集中检索、存在传输与索引延迟 |
| 分工原则 | 本地保关键级别，外发保全量业务日志 |
| 排障顺序 | 先看本地快速定位，再在平台做关联与取证 |
典型使用场景
- 故障排障：本地日志秒级可见，用于快速确认设备当前状态
- 事件取证：平台日志含完整历史，用于还原时间线
- 容量受限设备：本地只留高等级日志，避免被快速覆盖
- 跨设备关联：需要多台设备日志对照时以集中平台为主
- 外发中断期间：本地日志是唯一记录，恢复后补传或手工导出
配合策略示例
配合策略示例
# 本地日志：warning 及以上，滚动保留 7 天，用于快速排障
# 外发日志：安全业务全量，系统日志 info 及以上，长期留存
# 高风险操作（策略变更、登录）本地与平台双份留存
# 外发链路中断要单独配置告警，避免日志静默丢失
# 本地日志空间不足会覆盖历史，容量按每日写入量估算两种日志的分工
| 维度 | 本地日志 | 外发日志 |
|---|---|---|
| 可见速度 | 近实时，命令即可查看 | 有采集与索引延迟 |
| 留存周期 | 受磁盘限制，通常数天 | 按容量规划，可达数月到数年 |
| 检索能力 | 有限，以逐条查看为主 | 支持全文检索与字段聚合 |
| 故障影响 | 设备重启不丢，但会被滚动覆盖 | 链路中断时该时段可能缺失 |
外发链路中断通常没有明显症状：设备照常运行，日志却在静默丢失，因此必须对外发可用性单独做监控告警。