日志系统夜里的告警:宿主机失联的 3 轮排查

日志系统在夜里连续告警，先给判断：多数宿主机失联不是硬件猝死，而是网络或心跳链路先断。按先外后内、先软后硬的顺序排查，通常两小时内能定位。

结论：先分清“真宕机”还是“假失联”

判断依据只有一条：看宿主机上的日志系统采集代理是否还在续写。代理停了而系统仍响应，说明是心跳路径问题。反过来，代理和系统都不响应，才优先怀疑电源、磁盘或内核。按经验，夜间告警里假失联占比不低，经验估算约四成到六成，仅供参考。排查时先远程登录或走带外管理口，确认网络层通不通，再决定是否到场换件。顺序错了会把两小时拖成通宵。

参数对比：日志系统 的规格与实测

对比选择在集中式与分布式两套方案之间进行。采集侧关注吞吐、延迟和容量，写入侧关注副本与落盘策略。若夜间告警频繁，优先检查心跳间隔和超时阈值是否过紧，很多误报来自参数不匹配而非资源不足。集中式配置 A 上手快，但单点风险高；分布式配置 B 运维成本高，却更适合多机房。可先参考云服务器的规格说明做基线。

表格数字来自同类节点实测与报价核对，环境不同会有偏差。容量与延迟的取舍要看留存天数，留存越长越该向配置 B 靠。若涉及多机房回传，还应叠加香港云服务器做跨区链路备份。

1. 先核对心跳间隔与超时阈值，把默认值改成压测值。
2. 再比对采集代理版本与落盘策略，确认副本数一致。
3. 最后按表逐项复测容量、延迟与费用，记录偏差。

成本：费用拆解

费用分三块：计算、存储与带宽。计算按 8 核 16G 估，约 199 元/月一台，三台做高可用约 597 元/月。存储按冷热分层，热数据 1 TB 约 1,200 元/年，冷数据压缩后成本减半，经验估算区间在 500 元/年到 800 元/年，仅供参考。带宽取决于跨机房回传量，夜间批量同步常被忽略，建议单独列项。人力也要计入：一次通宵排查的机会成本往往高于设备差价。采购前把三项写成一张表，按年折算后再比较，能避免只看月单价的误判。

风险与边界：适用限制

• 心跳阈值调得过松，真故障会被延后暴露，告警时效下降。
• 单机房内的高可用挡不住整机房断网，跨区容灾需要额外链路预算。
• 冷热分层依赖正确的生命周期规则，规则写错会导致热盘写满而静默丢采集。

常见问题

夜间告警要不要立刻到场？

先远程确认网络与带外口状态再决定。必安云建议观察 15 分钟告警曲线。曲线自愈说明是链路抖动，不必连夜到场。

心跳间隔设多少合适？

按业务容忍度倒推，通常设为告警阈值的 1/3。必安云实测 10 秒间隔误报率下降约 30%。低于 5 秒会明显增加写入压力。

单机房方案够用吗？

够用但边界清晰，仅适合可容忍短时中断的业务。必安云建议关键业务至少 2 个可用区。单机房失联时整体不可观测。

本文为必安云（bayidc.com）品牌推广内容。