容量怎么算
日志平台的空间需求来自三个乘数：日均写入量、留存天数、以及索引与副本带来的放大系数。合规留存是硬约束——《网络安全法》要求留存相关网络日志不少于六个月，等保要求同样指向六个月以上的留存期。把留存要求翻译成硬件需求，再按主业务增长预留余量，才是可执行的扩容规划。分层存储是控制成本的关键：近期数据放在线热存储供随时检索，历史数据压缩归档到冷存储，需要时再恢复。
基本信息
| 测算公式 | 日均写入量 × 留存天数 × 放大系数（索引与副本），再预留约 30% 余量 |
|---|---|
| 放大系数影响 | Elasticsearch 类平台默认副本数为 1，实际占用约为原始数据的两倍，另有索引开销 |
| 分层策略 | 近 90 天全量在线检索，更早数据压缩归档，按需恢复 |
| 预警阈值 | 容量使用率达到 70% 触发预警，提前启动扩容或归档 |
| 扩容方式 | 增加磁盘或节点、调整副本与分片、缩短非关键日志的留存期 |
典型使用场景
- 年度容量规划：按业务增长预估次年日志增量，提前立项采购
- 磁盘使用率持续攀升时判断该扩容、该归档，还是该调整副本与分片
- 新增设备或新增日志类型（会话日志、威胁日志）前的容量影响评估
- 大规模排障后日志量突增，评估短期波动是否需要扩容
- 合规检查前确认留存期是否满足六个月要求，以及检索能力是否覆盖全周期
- 成本优化：把低频访问的历史数据从热存储迁到冷存储或对象存储
容量测算示例
容量测算示例
现状：日均写入 20GB，需留存 180 天 # 180 天对应六个月合规要求
原始需求：20GB x 180 = 3.6TB
加索引与副本放大（约 1.4 倍）及 30% 余量：约 6.5TB 规划
分层：近 90 天全量在线（约 2.5TB 热存储）
90 天以前压缩归档（冷存储，压缩比通常 3 倍以上）
预警：热存储使用率 70% 触发，避免写满后新日志丢弃容量指标读法
| 指标 | 含义 | 正常与异常 |
|---|---|---|
| 日均写入量 | 每日新增日志的原始体积 | 关注同比趋势，突增往往对应新设备接入或异常流量 |
| 实际占用 | 含索引与副本后的磁盘占用 | 与原始体积的比值可反推实际放大系数 |
| 使用率 | 已用空间占总容量的比例 | 70% 预警，85% 以上必须立即处置 |
| 留存覆盖 | 实际可检索到的最早日志时间 | 应覆盖合规要求的完整留存期 |
| 写入失败数 | 因磁盘或索引问题被拒绝的写入 | 正常为 0，非零即代表日志缺口 |
磁盘写满的后果不是「暂时少存点」，而是新日志被直接丢弃，形成审计断档。等保与内审对日志完整性有明确要求，写满后补不回来。
只扩容不做归档策略，存储成本会随业务量线性上升。把冷热分层和留存期策略一并确定，扩容频率和预算都会明显下降。