账单半夜炸了不是段子
凌晨两点，手机震。值班同学在群里发了一张截图，昨天日志量翻了三倍。不是业务暴涨，是某个服务把 debug 日志打开了。老板只问一句：这玩意儿一个月多少钱？没人答得上来。
我见过太多团队这样。日志分析平台上线时爽，查问题快，老板夸。半年后账单来了，才想起来看成本。说实话，日志这件事，最贵的不是存储，是人的惯性。
为什么失控？因为采集端默认全收，索引端全字段建倒排，保留期按年设置，查询端随便拉一年数据。每个动作单独看都合理。叠在一起，就是一台碎钞机。
钱到底花在哪几个黑洞里
先拆成本构成。一般分三块：摄入、存储、查询。有些云厂商把索引也算进去。不同产品名字花哨，本质差不多。
摄入成本按 GB 算。日志从应用出来，经过 agent、网关、队列，最后落到存储。中间每一跳都可能收费。压缩能省，但很多团队不压，或者压了又解压查。
存储成本看保留期和副本数。热存储贵，冷存储便宜，对象存储更便宜。问题是，很多人把所有日志都放热存储。因为查起来快。对吧，快是要付钱的。
查询成本最容易被低估。扫描数据量、并发数、返回条数，都可能计费。一个没加时间范围的查询，能把一周的账单打穿。
还有个隐蔽黑洞：标签基数。日志里加个 user_id、request_id 当标签，舒服。但高基数标签会让索引膨胀。本来 10GB，索引后 50GB。别问我怎么知道的。
把成本压回去的几把钝刀
没有银弹。成本控制是脏活，得从采集端一路管到查询端。我列几个真正落地的动作。
第一，采样。不是所有日志都值得全量。访问日志、debug 日志，按 1% 到 10% 采样。错误日志、审计日志，全量。采样策略要写进代码模板，别让开发自己拍脑袋。
第二，字段裁剪。应用日志往往带一堆没用的字段。把日志结构定义收口，只保留排障必需的。比如，时间、级别、服务名、trace_id、错误码、关键信息。其他丢。能省 30% 到 50%。
第三，分层存储。最近 7 天放热存储，方便查。7 到 30 天放温存储。30 天以上扔对象存储。查询时如果要查冷数据，单独走离线任务。别让交互式查询扫冷桶，又慢又贵。
第四，日志转指标。很多排障场景不需要原始日志。比如错误率、耗时 P99、QPS，直接用指标。指标存储成本比日志低一个数量级。日志只留错误样本。
第五，查询配额。给每个团队设月度查询扫描量。超了要审批。同时限制默认时间范围，比如最近 1 小时。想查更久，自己选。这个动作很得罪人，但有效。
第六，成本看板。按团队、应用、环境拆账单。谁用的多，谁自己看。别让平台团队背锅。成本透明之后，浪费会自己少一半。
行动清单别搞成年终运动
如果你现在就想动手，别搞大而全的方案。先做四件事。
1. 拉出上个月账单，按应用拆。找出 Top 5 消耗。
2. 检查保留期。有没有日志设了 365 天？改成 30 天试试。
3. 打开采样。至少给 debug 和访问日志加采样。
4. 建一个成本看板。每周发一次。
就这些。不复杂。但需要有人持续盯。成本控制不是一次性项目，是日常习惯。就像健身，办卡没用，得去。
话说回来，日志分析平台的价值不是省钱。是让故障排查更快。成本控制的目标也不是把日志砍到没有，而是让每一分钱花在排障和审计上。该花的别省，该省的别手软。
最后提醒一句：别等账单爆了才想起来看。那时候，老板已经在看你了。