4、日志采集：Agent采集架构、零拷贝传输技术、数据丢失防护机制
日志采集，说白了就是高频交易系统的「耳朵」和「眼睛」。
我做了这么多年量化系统，见过太多团队在策略上花了大价钱，结果日志采集环节出了纰漏——数据丢了、延迟高了、磁盘写爆了。嗯，这些坑我都踩过。今天咱们就聊聊怎么把日志采集这件事做扎实。
4.1 Agent采集架构：轻量、可靠、可扩展
我个人习惯把日志采集Agent设计成三层结构。你想想看，高频交易每秒产生成千上万条日志，如果Agent本身成了瓶颈，那整个监控体系就废了。
核心设计原则：Agent必须做到「零阻塞、低开销、可降级」。
我推荐的分层架构是这样的：
- 采集层（Collector）：负责从各个数据源拉取日志。支持文件尾随（tail -f）、网络socket、共享内存等多种方式。
- 缓冲层（Buffer）：内存环形缓冲区，用于应对突发流量。我一般用无锁队列实现，避免锁竞争。
- 发送层（Sender）：将缓冲区的数据批量压缩后发送到中央存储。支持TCP、RDMA、共享内存等多种传输方式。
这里有个关键点——采集层和发送层必须解耦。我曾经遇到过一个案例，发送层因为网络抖动阻塞了，结果采集层也跟着卡死，导致交易系统日志全部丢失。后来我改成双缓冲+独立线程，才彻底解决这个问题。
避坑指南：我曾经在Agent里用了Python的logging模块，结果发现GIL导致采集延迟飙升。后来全部换成C++实现，延迟从毫秒级降到了微秒级。
4.2 零拷贝传输技术：让数据飞起来
传统的数据传输流程是：磁盘 → 内核缓冲区 → 用户缓冲区 → 内核缓冲区 → 网卡。每次拷贝都伴随着上下文切换，在高频场景下这就是灾难。
零拷贝技术，说白了就是让数据从磁盘直接飞到网卡，中间不经过用户态。我常用的方案有这几种：
| 技术方案 | 原理 | 适用场景 | 延迟 |
|---|---|---|---|
| sendfile() | 文件描述符直接到socket | 文件日志传输 | ~1μs |
| splice() | 两个文件描述符之间零拷贝 | 管道数据传输 | ~0.5μs |
| RDMA | 远程直接内存访问 | 跨机器日志传输 | ~0.1μs |
| DPDK | 用户态网卡驱动 | 超高吞吐场景 | ~0.05μs |
我个人最常用的是sendfile + 内存映射的组合。为什么？因为实现简单，而且大部分Linux内核都支持。RDMA虽然快，但需要专门的硬件，部署成本高。
代码示例：使用sendfile实现零拷贝日志传输
// 从日志文件直接发送到socket
int send_log_file(int socket_fd, const char* log_path) {
int file_fd = open(log_path, O_RDONLY);
struct stat stat_buf;
fstat(file_fd, &stat_buf);
// 零拷贝：文件 → 内核缓冲区 → 网卡
off_t offset = 0;
ssize_t sent = sendfile(socket_fd, file_fd, &offset, stat_buf.st_size);
close(file_fd);
return sent;
}注意：零拷贝虽然快，但有个坑——它不支持对数据做修改。如果你需要在传输过程中加密或压缩，那就得用传统方式了。我一般是在采集端先压缩好，再用零拷贝传输。
4.3 数据丢失防护机制：别让日志「蒸发」了
数据丢失，在高频交易领域是绝对不能接受的。你想想看，如果一笔交易的日志丢了，复盘时根本不知道当时发生了什么。
我总结了一套「三层防护」策略：
- 第一层：本地持久化——Agent在发送前先把日志写到本地磁盘。即使网络断了，数据也不会丢。
- 第二层：确认重传——接收端收到数据后必须发送ACK，发送端没收到ACK就重传。
- 第三层：冗余备份——同时发送到两个独立的接收端，任何一个挂了都不影响。
这里有个细节——本地持久化用的是什么存储？我建议用WAL（Write-Ahead Logging）的方式。先把日志追加到文件末尾，再更新索引。这样即使Agent突然崩溃，重启后也能从断点处继续发送。
避坑指南：我曾经遇到过磁盘写满导致Agent崩溃的情况。后来我加了个磁盘水位监控，当使用率超过80%时自动清理最旧的日志文件。同时用fallocate()预分配空间，避免碎片化。
还有一个容易被忽略的点——内存缓冲区的溢出保护。我一般用有界环形缓冲区，当缓冲区满时，根据日志优先级决定是否丢弃。比如：
- 高优先级（交易指令、成交回报）：绝对不能丢，阻塞等待
- 中优先级（行情快照）：可以丢，但记录丢失计数
- 低优先级（调试日志）：直接丢弃，不影响业务
核心逻辑：数据丢失防护的最终目标是「不丢一条交易日志，允许丢一些调试日志」。
4.4 整体架构图
下面这张图展示了日志采集的完整流程，从Agent采集到零拷贝传输，再到三层防护机制：
这张图把整个流程串起来了。你从左往右看：采集层拿到数据，经过缓冲层排队，最后通过发送层用零拷贝技术传出去。同时本地持久化一直在后台运行，确保数据不会因为网络问题丢失。
最后提醒一句：日志采集不是「装上就能跑」的事。我建议你在上线前做一次压力测试，模拟网络抖动、磁盘写满、Agent崩溃等极端场景。只有经历过这些测试，你才能放心地把日志采集交给生产环境。
公众号:蓝海资料掘金营，微信deep3321