Logstash：使用多行附加到上一行

Question

我有一个看起来像这样的过滤器：

    multiline {
        pattern => "(^.+Exception.*)|(^\tat .+)"
        negate => false
        what => "previous"
    }

但是由于某种原因，它没有附加到带有^ \\ tat的行的前一行。 有时确实如此，但大多数时候却没有。 它连接到很远的那条线上。 我的代码没有发现任何问题。

有人知道这是否是错误吗？

编辑：这项工作暂时正常，但几分钟后不再工作。 它是缓冲区溢出吗？ 我将如何调试呢？

编辑：成功示例：

2014-06-20 09:09:07,989 http-bio-8080-exec-629 WARN com.rubiconproject.rfm.adserver.filter.impl.PriorityFilter - Request : NBA_DIV=Zedge_Tier1_App_MPBTAG_320x50_ROS_Android&NBA_APPID=4E51A330AD7A0131112022000A93D4E6&NBA_PUBID=111657&NBA_LOCATION_LAT=&NBA_LOCATION_LNG=&NBA_KV=device_id_sha-1_key=5040e46d15bd2f37b3ba58860cc94c1308c0ca4b&_v=2_0_0&id=84472439740784460, Response : Unable to Score Ads.. Selecting first one and Continuing...
    java.lang.IndexOutOfBoundsException: Index: 8, Size: 1
    at java.util.ArrayList.rangeCheck(ArrayList.java:604)
    at java.util.ArrayList.get(ArrayList.java:382)

编辑：失败示例：

2014-06-20 09:02:31,139 http-bio-8080-exec-579 WARN  com.rubiconproject.rfm.adserver.web.AdRequestController - Request : car=vodafone UK&con=0&model=iPhone&bdl=com.racingpost.general&sup=adm,dfp,iAd&id=8226846&mak=Apple&sze=320x50&TYP=1&rtyp=json&app=F99D88D0FDEC01300BF5123139244773&clt=MBS_iOS_SDK_2.4.0&dpr=2.000000&apver=10.4&osver=7.1&udid=115FC62F-D4FF-44E0-8D92-5A060043EFDD&pub=111407&tud=3&osn=iPhone OS&, Response : No Ad Selected to Serve..Exiting
    at java.util.ArrayList.get(ArrayList.java:382)

我的文件有13000多行，并且在出错时会附加到几百行。 但是奇怪的是，每条线都以完全相同的偏移量连接到一行（偏移量是指跳过的几百行）。

Answer 1

您的日志是Java堆栈日志。 您可以尝试使用此模式。 使用日期作为模式，这是每个日志的开始。

input {
    stdin{}
}

filter {
   multiline {
     pattern => "^(?>\d\d){1,2}-(?:0?[1-9]|1[0-2])-(?:(?:0[1-9])|(?:[12][0-9])|(?:3[01])|[1-9])"
     what => "previous"
   }
}

output {
    stdout {
            codec => "rubydebug"
    }
}

此模式解析日期，如果该行不是以日期开头，logstash将对其进行多行显示。 我已经尝试过使用您的日志，它在两个日志上都可以使用。

希望这可以帮到你。