ELK：如何处理来自 2 行的数据？答案

【问题标题】：ELK : how to process data from 2 lines?ELK：如何处理来自 2 行的数据？
【发布时间】：2015-10-09 19:36:36
【问题描述】：

在我们的 Web 应用程序中，我们在方法的开头和结尾都有日志，如下所示：

2015-07-10 11:06:06,571 [INFO ][http-apr-80-exec-60] IDeviseService - Method findChangeForDate - Start by : bokc
2015-07-10 11:06:06,571 [INFO ][http-apr-80-exec-60] IDeviseService - Method findChangeForDate - End

我将其“拆分”为不同的标签（方法名：findChangeForDate，用户：bokc，时间：2015-07-10 11:06:06,571，线程：http-apr-80-exec-60，....） .

但是是否可以使用 ELK（ElasticSearch、Logstash、Kibana）来查找执行延迟，或者我是否必须直接在日志中添加此信息？

BokC

【问题讨论】：

标签： elasticsearch logstash kibana

【解决方案1】：

elapsed{} filter 可以计算您的“开始”和“停止”事件之间的差异。您为开始/结束事件添加标签，然后使用 elapsed{} 将它们关联起来。

  elapsed {
    start_tag => "myStartTag"
    end_tag => "myEndTag"
    unique_id_field => "myCorrelatingField"
    timeout => 300
    new_event_on_match => false
  }

【讨论】：

它看起来像我需要的。坦克。