日志分析系统是把散落在各服务器、容器、网关、应用的文本日志集中采集→结构化解析→存储索引→检索可视化→告警的一整套平台，解决“出事 SSH 进每台机器 grep 旧日志已被 rotate 掉”的痛点。 2026 年自建圈主流就三尊大佛：ELK、Loki、Graylog，认错场景会把 8G 内存机器硬上 Elasticsearch 撑爆。
🧩 通用四模块(不管选哪个都长这样)
采集端：Filebeat / Promtail(2026 起 Loki 推 Alloy 替 Promtail)/ Fluent Bit / Vector，装在各节点 tail 文件或接 stdout;
解析管道：Logstash(ELK)或 Graylog Pipeline 或 Loki 靠标籤+LogQL 运行时过滤，把 nginx.access 拆成 ip/method/status/time 字段;
存储索引：Elasticsearch(ELK/Graylog 后端)全文本倒排索引、Loki 只索引 label(job/namespace/level)存对象存储 S3/MinIO;
查询展示：Kibana / Grafana / Graylog Web，配仪表盘+阈值告警(错误率突增、5xx 飙升、登录爆破)。
⚖️ 三选一速查
ELK Stack(Elasticsearch+Logstash+Kibana)：全文本检索最强、聚合最猛，但生产吃 8–16G 内存、要调 JVM heap/shard/ILM，适合 50+ 节点、安全合规全字段审计、已有 Elastic 生态的大厂;新版本改 SSPL licence，介意就换 OpenSearch(AWS 叉的 Apache 2.0 开源版)。
Grafana Loki：Prometheus 亲兄弟，label 索引不建全文倒排，内存 1G 起、磁盘占 ELK 的 1/20，K8s 日志原生友好;缺点是无全文索引、长周期复杂聚合弱，适合云原生成本敏感团队。
Graylog(Open 版免费)：架在 Elasticsearch/MongoDB 上但自带 Web+RBAC+告警+管道，比裸 ELK 好养、比 Loki 检索强，中小团队“要权限要告警又不想调 ES”的中道选。
⚠️ 避坑铁律
别把“日志分析系统”和“监控告警系统(Prometheus/Zabbix)”混——前者查“昨天 3 点哪行报错”，后者盯“现在 CPU 是否超阈”，可 Grafana 同屏但职责不同;50 人内团队别自建，直接用云厂商日志服务或 Loki 托管版，自建是长期负债;Loki 不是 ELK 平替，要全文搜“某用户 ID 出现在哪些异常栈”还是得 ES;采集端务必落盘缓冲+TLS 传，别明文 UDP syslog 把日志裸奔出网;保留策略分热/温/冷，审计日志 365 天、调试日志 7 天，别全量存 90 天烧钱。
