日志审计价格全解：两种计费模式、单价表与多规模算账

1 两套计费模式，先选对再算钱

日志服务（SLS）从 2023 年开始推"按写入数据量计费"，跟原来的"按使用功能计费"并存。两套模式的计费项完全不同，同一个业务量算出来可能差一倍。

按写入数据量计费（新版，默认）：只有三个计费项——原始写入数据量、存储、外网读取流量。数据加工、数据投递、智能告警这些增值功能不额外收费。写入后 30 天内存储免费。

按使用功能计费（原模式）：计费项精细，包括读写流量、索引流量、存储空间、Shard 租用、数据加工、投递等。每一项单独计费，有 500 MB/月的免费额度。

怎么判断用哪套？关键看两点：日志要不要建索引做查询分析，以及留存期有多长。

• 要频繁查询分析、留存期短（30 天以内），按写入量计费通常更便宜，因为索引不单独收费。
• 只做归档留存、很少查询，按使用功能计费可能更省，因为可以不建索引，省掉索引流量费。
• 留存期超过 30 天，两套模式都会产生存储费，要具体算。

注意生效级别：按写入数据量计费是 LogStore 级别的设置，同一个 Project 下不同的 LogStore 可以用不同的计费模式。Metricstore 和查询规格 LogStore 不支持按写入量计费。

4 官方算账案例：日均 100 GB 的实际账单

用官方文档里的案例复算一遍，这个场景比较典型：某客户每天产生 100 GB 读写流量、400 GB 索引流量、存储稳定在 10,000 GB（约 10 TB），配置 2 个 Shard。

按使用功能计费的月度账单：

• 读写流量：100 GB × 0.18 元 = 18 元/天
• 索引流量：400 GB × 0.35 元 = 140 元/天
• 存储空间：10,000 GB × 0.0115 元 = 115 元/天
• Shard 租用：2 个 × 0.04 元 = 0.08 元/天
• 日合计 273.08 元，月合计（按 30 天）8,192 元

这个数字说明一件事：索引流量占了账单的一半以上（140 元/天，占 51%）。存储占 42%，读写流量只占 6.6%。所以在这套模式下，优化索引设计比优化存储更有效。

买资源包之后：官方推荐买 8 个 1,000 CU/月和 2 个 100 CU/月的一年期资源包，折算月费约 5,830 元，比按量付费省 2,362 元/月，降幅 29%。一年省 28,348 元。

资源包的定价逻辑：1,000 CU/月的一年期包 8,520 元/年，100 CU/月的一年期包 900 元/年。买得越长约便宜，规格越大单价越低。

换到按写入数据量计费模式算一遍：假设每天原始写入 100 GB，留存 30 天：

• 写入费用：100 GB × 0.4 元 = 40 元/天，月合计 1,200 元
• 存储费用：30 天内免费，0 元
• 合计 1,200 元/月

同样的业务量，从 8,192 元降到 1,200 元，差距 6.8 倍。原因是在按写入量计费下，索引不单独收费，而索引恰好是原模式里最贵的一项。

这个对比很关键：如果你的日志要建索引查询、留存期在 30 天内，按写入量计费几乎总是更便宜。反过来，如果日志只做归档不建索引，原模式可以不付索引费，可能更省。

5 三个规模的月度成本

下面按按写入数据量计费模式，算三个典型规模的月度成本。假设每天写入量稳定，全部建索引，不产生外网读取。

规模一：日均 10 GB，留存 180 天（等保要求）

• 写入：10 GB × 30 天 × 0.4 元 = 120 元/月
• 存储：稳定后总存储量 1,800 GB，其中 30 天免费，实际计费 1,500 GB × 0.0115 元/天 = 17.25 元/天，月合计 517 元
• 合计约 637 元/月

规模二：日均 100 GB，留存 90 天

• 写入：100 GB × 30 天 × 0.4 元 = 1,200 元/月
• 存储：总存储量 9,000 GB，计费 6,000 GB × 0.0115 元/天 = 69 元/天，月合计 2,070 元
• 合计约 3,270 元/月

规模三：日均 1 TB，留存 90 天

• 写入：1,024 GB × 30 天 × 0.4 元 = 12,288 元/月
• 存储：总存储量 92,160 GB，计费 61,440 GB × 0.0115 元/天 = 706 元/天，月合计 21,197 元
• 合计约 33,485 元/月

规模三的数字说明：日均 1 TB 的日志量，全热存储 90 天的成本会超过写入费本身。这时候必须上智能分层存储。

6 智能分层能省多少

智能分层存储的逻辑是：设定热存储层的保留天数（比如 7 天），超过这个天数的日志自动转入低频存储（0.005 元/GB/天），再超过一定天数转入归档存储（0.0017 元/GB/天）。

用规模三重新算一遍（日均 1 TB、留存 90 天、热存储 7 天）：

• 写入：12,288 元/月（不变）
• 热存储部分：7 天 × 1,024 GB = 7,168 GB × 0.0115 元/天 = 82 元/天，月合计 2,473 元
• 低频存储部分：83 天 × 1,024 GB = 84,992 GB × 0.005 元/天 = 425 元/天，月合计 12,748 元
• 存储合计 15,221 元，总成本约 27,509 元/月

相比全热存储的 33,485 元，省了 5,976 元/月，降幅 18%。如果热存储只留 3 天，低频部分变成 87 天，存储成本再降一些。

如果进一步把 60 天以上的数据转归档存储（0.0017 元/GB/天）：

• 热 7 天：2,473 元/月
• 低频 53 天：53 × 1,024 = 54,272 GB × 0.005 = 271 元/天，月 8,140 元
• 归档 30 天：30 × 1,024 = 30,720 GB × 0.0017 = 52 元/天，月 1,567 元
• 存储合计 12,180 元，总成本约 24,468 元/月

三级分层比全热存储省 9,017 元/月，降幅 27%。代价是查归档数据要先解冻，有延迟。

分层策略怎么定：看日志的实际查询分布。多数场景是"最近一周的日志天天查、一个月前的偶尔查、三个月前的基本不查"。按这个规律配热 7 天、低频到 60 天、归档到 180 天，是比较平衡的方案。

7 容量怎么估

写入量怎么估。这是所有成本的基础。从应用侧算：单个请求产生的日志条数 × 条均大小 × 日请求量。或者从现有系统拿：如果已经跑着 ELK 或其他日志系统，直接看日均写入量。

注意区分"原始写入量"和"存储量"。按写入量计费收的是原始大小，存储收的是压缩后大小加索引大小。日志压缩率通常在 80% 左右（即压缩到 20%），所以 1 GB 原始日志存储占 0.2 GB 左右。

索引量怎么估。按使用功能计费时要单独算。索引量等于被建索引的字段的数据量（未压缩）。全字段建索引就是原始写入量；只给 3 个字段建索引、这 3 个字段占总大小的 40%，索引量就是原始量的 40%。

存储量怎么估。日写入量 × 留存天数 × 压缩率 + 索引存储量。留存 180 天、日写入 10 GB、压缩率 20%，纯日志存储约 360 GB，加索引可能到 500 GB 以上。

外网读取量怎么估。只有从公网域名拉数据才收费。如果查询和报表都在同地域内网做，这一项是 0。跨地域或者从办公网直接查，就会产生。0.2 元/GB，看着不贵，但拉 TB 级历史数据时账单会很明显。

8 采购前要准备什么

• 日均写入量（GB）。最重要的输入。没有现成数据就按"日志条数 × 条均大小"估算，或者先接入一部分业务跑一周看实际量。
• 留存期要求。等保三级要求 6 个月，等保二级要求 3 个月，业务自查可能只要 30 天。留存期直接决定存储成本。
• 查询频率和查询范围。决定热存储留几天、要不要建索引、建哪些字段的索引。
• 日志来源清单。应用日志、系统日志、安全设备日志、云产品日志各多少量，接入方式不同。
• 是否需要外网访问。从办公网或公网查日志会产生外网读取流量费，要预留预算。
• 是否有资源包采购流程。资源包比按量付费省 29% 左右，但需要预付。财务流程能不能接受预付，影响选择。

9 五个降本动作

动作一：只给需要的字段建索引。按使用功能计费模式下，索引流量占账单一半以上。全字段建索引改成只给时间、来源、错误码、用户 ID 这几个常用查询字段建索引，索引流量可能降 60%。

动作二：用按写入量计费替代按功能计费。如果要建索引查询、留存期在 30 天内，新版模式几乎总是更便宜，因为索引不单独收费。先算一遍再决定。

动作三：开启智能分层存储。日均 1 TB 的场景，三级分层能省 27%。热存储天数按实际查询规律设，不要一律设 30 天。

动作四：在写入侧做过滤。把 DEBUG 级别日志、健康检查日志、静态资源访问日志在采集端就过滤掉，不进 SLS。这类日志通常占总量的一半以上，过滤掉直接省一半写入费。

动作五：买资源包。按量付费 8,192 元/月的场景，买资源包后 5,830 元/月，省 29%。资源包有 1 年期、2 年期、3 年期，期限越长折扣越大。

11 相关页面

• 日志审计厂商横向对比与选型：各厂商日志平台的采集能力、分析能力、合规能力差异。
• 数据库审计价格与规格：数据库操作审计跟日志审计的分工。
• 堡垒机价格与规格：运维操作审计的存储成本。
• 云防火墙价格与规格：网络日志跟应用日志的留存方案。
• 等保合规咨询与整改：日志留存 6 个月的具体要求和达标方法。