    filter {
      elapsed {
        start_tag => "start event tag"
        end_tag => "end event tag"
        unique_id_field => "id field name"
        timeout => seconds
        new_event_on_match => true/false
      }
    }

此过滤器管理的事件必须具有一些特定属性。描述任务开始的事件（“开始事件”）必须包含一个等于 start_tag 的标签。另一方面，描述任务结束的事件（“结束事件”）必须包含一个等于 end_tag 的标签。这两种事件都需要拥有一个唯一标识该特定任务的 ID 字段。此字段的名称存储在 unique_id_field 中。

您可以使用 Grok 过滤器来为 elapsed 过滤器准备事件。配置示例可以是

    filter {
      grok {
        match => { "message" => "%{TIMESTAMP_ISO8601} START id: (?<task_id>.*)" }
        add_tag => [ "taskStarted" ]
      }

grok {
  match => { "message" => "%{TIMESTAMP_ISO8601} END id: (?<task_id>.*)" }
  add_tag => [ "taskTerminated" ]
}

  elapsed {
    start_tag => "taskStarted"
    end_tag => "taskTerminated"
    unique_id_field => "task_id"
  }
}

elapsed 过滤器收集所有“开始事件”。如果两个或多个“开始事件”具有相同的 ID，则仅记录第一个，其他则被丢弃。

当收到与先前收集的“开始事件”匹配的“结束事件”时，会发生匹配。配置属性 new_event_on_match 告诉将经过时间信息插入到何处：可以将它们添加到“结束事件”或可以创建新的“匹配事件”。这两个事件都存储以下信息

标签 elapsed 和 elapsed_match
字段 elapsed_time，其中包含两个事件时间戳之间的差异（以秒为单位）
包含任务 ID 的 ID 字段
字段 elapsed_timestamp_start，其中包含开始事件的时间戳

如果“结束事件”在“超时”秒之前未到达，则会丢弃“开始事件”并生成“过期事件”。此事件包含

标签 elapsed 和 elapsed_expired_error
一个名为 elapsed_time 的字段，其中包含“开始事件”的年龄（以秒为单位）
包含任务 ID 的 ID 字段
字段 elapsed_timestamp_start，其中包含“开始事件”的时间戳

Elapsed 过滤器配置选项

编辑

此插件支持以下配置选项以及稍后描述的通用选项。

设置	输入类型	必需
`end_tag`	字符串	是
`new_event_on_match`	布尔值	否
`start_tag`	字符串	是
`timeout`	数字	否
`unique_id_field`	字符串	是
`keep_start_event`	字符串	否

另请参阅通用选项，以获取所有过滤器插件支持的选项列表。

`end_tag`

编辑

这是一个必需的设置。
值类型为字符串
此设置没有默认值。

用于标识“结束事件”的标签的名称

`new_event_on_match`

编辑

值类型为布尔值
默认值为false

此属性管理当“结束事件”与“开始事件”匹配时要执行的操作。如果将其设置为 false（默认值），则将经过时间信息添加到“结束事件”；如果将其设置为 true，则会创建一个新的“匹配事件”。

`start_tag`

编辑

这是一个必需的设置。
值类型为字符串
此设置没有默认值。

用于标识“开始事件”的标签的名称

`timeout`

编辑

值类型为数字
默认值为 1800

在经过此秒数后，“结束事件”可以被视为丢失。相应的“开始事件”将被丢弃，并生成“过期事件”。默认值为 30 分钟（1800 秒）。

`unique_id_field`

编辑

这是一个必需的设置。
值类型为字符串
此设置没有默认值。

包含任务 ID 的字段的名称。此值必须唯一标识系统中的任务，否则无法匹配这对事件。

`keep_start_event`

编辑

值类型为字符串
默认值为 first

此属性管理当在指定 ID 的结束事件之前接收到多个匹配为开始事件的事件时要执行的操作。有两个支持的值：first 或 last。如果设置为 first（默认值），则将使用匹配的第一个事件作为开始事件；如果设置为 last，则将使用最后一个事件。

通用选项

编辑

所有过滤器插件都支持这些配置选项

设置	输入类型	必需
`add_field`	哈希	否
`add_tag`	数组	否
`enable_metric`	布尔值	否
`id`	字符串	否
`periodic_flush`	布尔值	否
`remove_field`	数组	否
`remove_tag`	数组	否

`add_field`

编辑

值类型为哈希
默认值为 {}

如果此过滤器成功，则向此事件添加任何任意字段。字段名称可以是动态的，并且可以使用 %{field} 来包含事件的部分。

示例

    filter {
      elapsed {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elapsed {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功后，如果存在字段 foo_hello，则会添加该字段，其值为上面所示的值，并且 %{host} 部分将替换为事件中的该值。第二个示例还将添加一个硬编码的字段。

`add_tag`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则向事件添加任意标签。标签可以是动态的，并且可以使用 %{field} 语法来包含事件的部分。

示例

    filter {
      elapsed {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elapsed {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功后，会添加一个标签 foo_hello（第二个示例当然会添加一个 taggedy_tag 标签）。

`enable_metric`

编辑

值类型为布尔值
默认值为 true

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可以记录的指标，但是您可以禁用特定插件的指标收集。

`id`

编辑

值类型为字符串
此设置没有默认值。

向插件配置添加唯一的 ID。如果未指定 ID，则 Logstash 将生成一个 ID。强烈建议在您的配置中设置此 ID。当您有两个或多个相同类型的插件时，例如，如果您有 2 个 elapsed 过滤器，则此操作特别有用。在这种情况下添加命名的 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elapsed {
        id => "ABC"
      }
    }

id 字段中的变量替换仅支持环境变量，不支持使用秘密存储中的值。

`periodic_flush`

编辑

值类型为布尔值
默认值为false

以固定的时间间隔调用过滤器刷新方法。可选。

`remove_field`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并且可以使用 %{field} 来包含事件的部分。示例

    filter {
      elapsed {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elapsed {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功后，如果存在名称为 foo_hello 的字段，则会删除该字段。第二个示例将删除一个额外的非动态字段。

`remove_tag`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则从此事件中删除任意标签。标签可以是动态的，并且可以使用 %{field} 语法来包含事件的部分。

示例

    filter {
      elapsed {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elapsed {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功后，如果存在标签 foo_hello，则会删除该标签。第二个示例还将删除一个不想要的标签。

« Drop 过滤器插件 Elastic Integration 过滤器插件 »