360需要存储安全事件日志（结构化+非结构化），要求支持高并发写入和快速查询（如实时检索特定IP的攻击记录）。请比较HBase和ClickHouse的适用场景，并设计一个混合存储方案？
答案
1) 【一句话结论】HBase适合存储原始安全事件日志（支持高并发写入与实时检索），ClickHouse适合对日志做聚合分析；混合方案可利用HBase的写入与实时查询能力存储原始日志，再通过ClickHouse对日志做多维度分析，实现存储与查询的协同。
2) 【原理/概念讲解】老师可以解释，HBase是基于Hadoop的分布式列式数据库，底层是HDFS，适合海量结构化/半结构化数据的高并发写入，类似“分布式表格”，写入速度快，适合实时写入场景（如安全日志的持续写入）。而ClickHouse是列式数据库，专为分析设计，列式存储让聚合查询（如按IP统计攻击次数）效率极高，支持SQL，适合复杂分析需求。
3) 【对比与适用场景】
| 特性/维度 | HBase | ClickHouse |
|---|---|---|
| 定义 | 基于Hadoop的分布式NoSQL数据库，列式存储 | 高性能列式数据库，专为分析设计 |
| 核心特性 | 分布式、高并发写入、实时查询、适合结构化/半结构化 | 列式存储、高性能聚合查询、支持SQL |
| 使用场景 | 原始日志存储（结构化+非结构化）、实时检索（如IP攻击记录） | 多维度分析（如按时间、IP、攻击类型统计）、报表生成 |
| 注意点 | 写入性能高但查询复杂度低，不适合复杂分析；需考虑数据一致性（如写入延迟） | 查询性能高但写入性能一般，不适合高并发写入；需预计算或增量计算 |
4) 【示例】
假设安全事件日志包含字段：timestamp（字符串）、ip（字符串）、attack_type（字符串）、details（非结构化二进制文本）。
- HBase写入示例（伪代码）：
CREATE TABLE logs (timestamp STRING, ip STRING, attack_type STRING, details BINARY) STORED AS HBASE; PUT 'logs', 'row1', 'timestamp', '2023-10-01 10:00', 'ip', '192.168.1.1', 'attack_type', 'DDoS', 'details', '...'; - HBase查询示例（请求示例）：
GET 'logs', 'row1', 'ip'='192.168.1.1'（实时检索特定IP的攻击记录）。 - ClickHouse聚合查询示例（SQL）：
SELECT ip, COUNT(*) as attack_count FROM logs GROUP BY ip;（对日志做多维度分析）。
5) 【面试口播版答案】
面试官您好，首先一句话结论是：HBase适合存储原始安全事件日志（支持高并发写入与实时检索），ClickHouse适合对日志做聚合分析；混合方案可利用HBase的写入与实时查询能力存储原始日志，再通过ClickHouse对日志做多维度分析，实现存储与查询的协同。
原理上，HBase是基于Hadoop的分布式列式数据库，底层是HDFS，适合海量结构化/半结构化数据的高并发写入，类似“分布式表格”，写入速度快，适合实时写入场景（如安全日志的持续写入）。而ClickHouse是列式数据库，专为分析设计，列式存储让聚合查询（如按IP统计攻击次数）效率极高，支持SQL，适合复杂分析需求。
对比来看，HBase适合原始日志存储（高并发写入、实时检索），ClickHouse适合分析报表（聚合、多维度查询）。具体表格对比：HBase是分布式NoSQL，适合写入密集型；ClickHouse是列式分析型，适合复杂查询。
示例中，我们用HBase存储原始日志，比如写入包含timestamp、ip、attack_type等字段的日志，支持实时检索特定IP的攻击记录；再用ClickHouse对日志做聚合分析，比如按IP统计攻击次数，生成报表。
混合方案设计上，HBase负责原始日志的高并发写入和实时查询，ClickHouse负责对HBase中的日志做聚合分析，两者通过数据同步（如定时ETL）保持数据一致性，满足360对存储和查询的需求。
6) 【追问清单】
- 问题：如何保证HBase和ClickHouse的数据一致性？
回答要点：通过定时ETL（如使用Flink或Kafka）同步数据，确保ClickHouse中的分析数据与HBase原始日志一致。 - 问题：HBase的高并发写入性能如何？是否满足360的写入需求？
回答要点：HBase通过分布式架构和列式存储，支持高并发写入，可扩展到百万级写入QPS，满足360的安全日志写入需求。 - 问题：ClickHouse的查询延迟是多少？是否满足实时检索需求？
回答要点：ClickHouse的列式存储和优化查询引擎，查询延迟低（通常亚秒级），满足实时检索特定IP攻击记录的需求。 - 问题：混合方案的成本如何？是否比单一方案更高效？
回答要点：混合方案通过分工（HBase负责写入，ClickHouse负责分析），避免单一方案的性能瓶颈，成本上可通过资源隔离（如HBase用Hadoop集群，ClickHouse用独立集群）控制。 - 问题：如果日志量持续增长，混合方案如何扩展？
回答要点：HBase可通过增加RegionServer扩展写入能力，ClickHouse可通过增加节点扩展查询能力，两者均支持水平扩展。
7) 【常见坑/雷区】
- 误认为HBase适合复杂分析：HBase不适合复杂聚合查询，容易答成“HBase适合分析”，需纠正。
- 忽略ClickHouse的写入性能：ClickHouse写入性能一般，若答成“ClickHouse适合高并发写入”会出错。
- 混合方案的数据同步问题：未提及数据一致性，容易被追问。
- 未考虑非结构化数据的存储：HBase支持非结构化（如BINARY），但需明确说明。
- 性能瓶颈：未分析HBase和ClickHouse的瓶颈（如HBase的写入延迟、ClickHouse的查询复杂度），容易被反问。