    filter {
      elapsed {
        start_tag => "start event tag"
        end_tag => "end event tag"
        unique_id_field => "id field name"
        timeout => seconds
        new_event_on_match => true/false
      }
    }

此过滤器管理的事件必须具有一些特定的属性。描述任务开始的事件（“开始事件”）必须包含一个等于 start_tag 的标签。另一方面，描述任务结束的事件（“结束事件”）必须包含一个等于 end_tag 的标签。这两种事件都需要拥有一个 ID 字段，该字段唯一地标识该特定任务。此字段的名称存储在 unique_id_field 中。

您可以使用 Grok 过滤器来准备 Elapsed 过滤器的事件。配置示例如下

    filter {
      grok {
        match => { "message" => "%{TIMESTAMP_ISO8601} START id: (?<task_id>.*)" }
        add_tag => [ "taskStarted" ]
      }

grok {
  match => { "message" => "%{TIMESTAMP_ISO8601} END id: (?<task_id>.*)" }
  add_tag => [ "taskTerminated" ]
}

  elapsed {
    start_tag => "taskStarted"
    end_tag => "taskTerminated"
    unique_id_field => "task_id"
  }
}

Elapsed 过滤器收集所有“开始事件”。如果两个或多个“开始事件”具有相同的 ID，则仅记录第一个事件，其他事件将被丢弃。

当接收到与先前收集的“开始事件”匹配的“结束事件”时，就会发生匹配。配置属性 new_event_on_match 指示将 elapsed 信息插入到哪里：可以将其添加到“结束事件”中，也可以创建一个新的“匹配事件”。这两个事件都存储以下信息

标签 elapsed 和 elapsed_match
字段 elapsed_time，其中包含两个事件时间戳之间的秒差
一个包含任务 ID 的 ID 字段
字段 elapsed_timestamp_start，其中包含开始事件的时间戳

如果“结束事件”在“timeout”秒前未到达，则“开始事件”将被丢弃，并生成一个“过期事件”。此事件包含

标签 elapsed 和 elapsed_expired_error
名为 elapsed_time 的字段，其中包含“开始事件”的年龄（以秒为单位）
一个包含任务 ID 的 ID 字段
字段 elapsed_timestamp_start，其中包含开始事件的时间戳

Elapsed 过滤器配置选项

编辑

此插件支持以下配置选项以及稍后描述的通用选项。

设置	输入类型	必需
`end_tag`	字符串	是
`new_event_on_match`	布尔值	否
`start_tag`	字符串	是
`timeout`	数字	否
`unique_id_field`	字符串	是
`keep_start_event`	字符串	否

另请参见通用选项，了解所有过滤器插件支持的选项列表。

`end_tag`

编辑

这是必需的设置。
值类型为字符串
此设置没有默认值。

标识“结束事件”的标签的名称

`new_event_on_match`

编辑

值类型为布尔值
默认值为 false

此属性管理当“结束事件”与“开始事件”匹配时该执行什么操作。如果将其设置为 false（默认值），则 elapsed 信息将添加到“结束事件”中；如果将其设置为 true，则会创建一个新的“匹配事件”。

`start_tag`

编辑

这是必需的设置。
值类型为字符串
此设置没有默认值。

标识“开始事件”的标签的名称

`timeout`

编辑

值类型为数字
默认值为 1800

可以认为“结束事件”丢失后的秒数。“开始事件”将被丢弃，并生成一个“过期事件”。默认值为 30 分钟（1800 秒）。

`unique_id_field`

编辑

这是必需的设置。
值类型为字符串
此设置没有默认值。

包含任务 ID 的字段的名称。此值必须唯一地标识系统中的任务，否则无法匹配事件对。

`keep_start_event`

编辑

值类型为字符串
默认值为 first

此属性管理在为指定 ID 接收结束事件之前接收了多个与开始事件匹配的事件时该执行什么操作。有两个受支持的值：first 或 last。如果将其设置为 first（默认值），则将使用第一个与开始匹配的事件；如果将其设置为 last，则将使用最后一个事件。

通用选项

编辑

所有过滤器插件都支持这些配置选项

设置	输入类型	必需
`add_field`	哈希表	否
`add_tag`	数组	否
`enable_metric`	布尔值	否
`id`	字符串	否
`periodic_flush`	布尔值	否
`remove_field`	数组	否
`remove_tag`	数组	否

`add_field`

编辑

值类型为哈希表
默认值为 {}

如果此过滤器成功，则向此事件添加任意字段。字段名称可以是动态的，并使用 %{field} 包含事件的一部分。

示例

    filter {
      elapsed {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elapsed {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并且 %{host} 部分替换为事件中的该值。第二个示例还将添加一个硬编码字段。

`add_tag`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则向事件添加任意标签。标签可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      elapsed {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elapsed {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加一个标签 foo_hello（第二个示例当然会添加一个 taggedy_tag 标签）。

`enable_metric`

编辑

值类型为布尔值
默认值为 true

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可能的指标，但您可以禁用特定插件的指标收集。

`id`

编辑

值类型为字符串
此设置没有默认值。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个 ID。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有两个 Elapsed 过滤器。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elapsed {
        id => "ABC"
      }
    }

id 字段中的变量替换仅支持环境变量，不支持使用密钥存储中的值。

`periodic_flush`

编辑

值类型为布尔值
默认值为 false

定期调用过滤器刷新方法。可选。

`remove_field`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并使用 %{field} 示例包含事件的一部分

    filter {
      elapsed {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elapsed {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除名称为 foo_hello 的字段（如果存在）。第二个示例将删除一个额外的非动态字段。

`remove_tag`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      elapsed {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elapsed {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除标签 foo_hello（如果存在）。第二个示例还将删除一个令人不快的、不需要的标签。

« Drop 过滤器插件 Elastic 集成过滤器插件 »