Logstash “elapsed” 过滤器 - 双“start”事件

Question

如果我像这样定义我的elapsed 过滤器：

elapsed {
  start_tag => "task-started"
  end_tag => "task-terminated"
  unique_id_field => "task-id"
  timeout => 1200
  new_event_on_match => true
}

如果有两个连续的事件，start_tag 和相同的task-id 会发生什么？

我能想到几种可能性：

• 开始时间将重置为第二个“开始”事件时间
• 第一个事件因为没有得到“结束”事件而被认为是错误，所以会发出一个错误事件，然后第二个事件会被正常处理。
• 第二个“开始”事件将被忽略

那是哪一个？

Answer 1

经过的过滤器收集所有“开始事件”。如果两个或多个“开始事件”具有相同的 ID，则只记录第一个，丢弃其他的。