Объединить два столбца в один с помощью EKL Stack

#elasticsearch #logstash #kibana #logstash-grok

#elasticsearch #logstash #kibana #logstash-grok

Вопрос:

Привет, у меня есть CSV-файл, содержащий следующие данные: — Мой CSV-файл В принципе, мне нужны те записи из csv-файла, которые только утверждены, но не удалены из столбца предупреждений, который я выделил в csv-файле.

Если вы видите в столбце оповещения HD записи 20, то столбцы C2 записи 14 и L1 записи 21 только УТВЕРЖДЕНЫ, но не очищены.

Итак, я хочу, чтобы те записи, предупреждение о которых подтверждено, но не очищено, с использованием EKL Stack.

Ответ №1:

Вы можете использовать фильтр по истекшему времени для сопоставления записей, который также покажет вам, какие из них не совпадают.

Специально для вашего примера вы могли бы разделить столбец предупреждений на два: один с «элементом» (например, H1, HG), а другой с «действием» (например, Утверждено, очищено). Установите для фильтра start_tag значения «Утверждено» и end_tag «Очищено» и используйте новый «элемент» в качестве unique_id_field .

К элементам, которые совпадают, будут добавлены новые поля. Если вы соберете набор «Утверждено» «H1» и удалите прошедший «Очищенный» «H1», вы обнаружите отставшие.

Комментарии:

1. :- Можете, пожалуйста, привести какой-нибудь пример ..?