【策划架构】日志成本：保留期与存储费用的分级平衡

设计初衷

日志的存储账单三年涨了四倍：所有日志按"永久保留、全量可查"的标准堆着，而实际上 95% 的日志在 30 天后被查阅的概率趋近于零。分级保留把"保留多久"从一刀切变成按取证价值分级的经济学问题：热数据全量可查、温数据压缩归档、冷数据抽样留存——查得快的贵一些，基本不查的便宜下来，合规底线不突破。

数值模型

三级分级：热层（0 到 30 天，全量在线可查，查询秒级响应）；温层（31 到 90 天，压缩归档，查询需解压约 2 分钟，可接受）；冷层（91 天到 1 年，抽样保留 10% 加全部安全类日志，仅合规调查时启用）。成本结构：存储费用随保留期与压缩率变化——全量保留 1 年的费用是分级方案的 3.2 倍，分级方案节省 62% 的存储开支。取证底线：交易流水与安全类日志的保留期不参与分级压缩（合规要求 180 天全量），分类豁免优先于成本优化。数值验证：分级上线后月度存储账单从 4.6 万降到 1.7 万，90 天内的取证查询响应不受影响，超 90 天的历史调查仅发生 2 次且解压等待在可接受范围。

配置示例

分级参数单独一节。配置如下：

[LogTier]
HotDays = 30
WarmDays = 90
ColdYears = 1
ColdSampleRate = 10

豁免参数单独一节。配置如下：

[Exempt]
TradeKeepDays = 180
SecurityKeepDays = 180
CompressWarm = 1

扩展思路

变种方向：一是分级自助调整，项目组对特定日志申请延长热层（重大版本期 60 天），申请走审批并按量计费到项目成本；二是费用账单可视化，每类日志的存储费用月度公示，成本意识进团队；三是过期自动摘要，冷层日志到期销毁前自动生成统计摘要（总量、异常数、来源分布），销毁的是明细、留下的是结论。设计纪律一条：豁免清单（合规强制保留类）的优先级永远高于成本优化——为了省钱把取证证据压进冷层，一次纠纷的损失就吃掉三年的节省。