第二阶段：但是日志不能永久通过Online索引，这会影响产品运行性能，这就涉及到第二阶段“Offline retention”（脱机保留）；

即对于处理过的日志，可以保存在磁盘中指定的某个目录，当需要再次在产品中查看的时候再“加载”归档文件即可。

下图是脱机日志的归档路径设置，默认的是EventLog Analyzer\archive：

综上，举例，如果用户需要保留日志最少为6个月（对某行业的IT合规性要求），那建议用户在EventLog Analyzer\archive处设置的“归档保留天数”最少为6个月，不建议设置DB retention的天数为180天，可以设置为30天（取决于客户的日志流量、磁盘空间或其他服务器性能指标）。

那如果用户又需要查看30天以前的日志数据，因为EventLog Analyzer\ES\archive中的live logs已被删除，所以需要在EventLog Analyzer\archive中点击“加载归档”查看；查看完后，可以手动点击“卸载归档”立即再次归档加载过的这个归档文件，或者不手动点击“卸载归档”的话，产品会在7天之后（如果没有更改归档文件保留天数的设置 ）自动把这个日志文件再归档到EventLog Analyzer\archive。