Logstash filtresi “geçen” - Öyle gibi benim <a href="https://www.elastic.co/guide/en/logstash/current/plugins-filters-elapsed.html" rel="nofollow">elapsed</a> filtreyi tanımlarsanız çift olay

Question

"start":

elapsed { 
    start_tag => "task-started" 
    end_tag => "task-terminated" 
    unique_id_field => "task-id" 
    timeout => 1200 
    new_event_on_match => true 
} 

bir start_tag ve aynı task-id ile 2 ardışık etkinlik varsa ne olur?

Birkaç alternatif düşünebiliriz

:

• başlangıç ​​zamanı bir alamadım yana ilk olay bir hata olarak kabul edilecektir
• ikinci "start" olayı zamana sıfırlanır "son" olay, böylece bir hata olayı yayınlanacak ve daha sonra ikinci olay normal olarak ele alınacaktır.
• ikinci olay

göz ardı edilecektir "start" Yani hangisi?

Answer 1

Geçen süzgeç, tüm "başlangıç ​​olayları" toplar. İki veya daha fazla "olayları başlat" aynı kimliğe sahipse, sadece ilk kayıt kaydedilir, diğerleri atılır.