如何填充先前记录/行中缺少的字段值?

时间:2019-05-20 19:50:14

标签: logstash-grok

我有一个如下的统计日志文件。

我可以使用grok调试器解析文件,如下所示。

(%{TIME:Time})?\s+%{WORD:Name}\s*+%{NUMBER:Success}\s*+% 
{NUMBER:Fail}\s*+%{NUMBER:Timeout}\s*+%{NUMBER:Reject}\s*+% 
{NUMBER:Retransmission_detected}\s*+%{NUMBER:Duplicate_answered}\s*+% 
{NUMBER:Thrput}\s*+%{NUMBER:Response_time_Avg}\s*+% 
{NUMBER:Response_time_Min}\s*+%{NUMBER:Response_time_Max}

示例输入文件:

19-01-01  Name                                                  Succ    Fail  Timeout  Reject Retransmission  Duplicate   Thrput   Response time (ms)
                                                                                                    Detected   Answered    (/s)    Avg    Min    Max
07:52:44  DCIPDiameter                                             0       0        0       0              0          0       0      -      -      -
          ProviderGet                                              0       0        0       0              0          0       0      -      -      -
          ProviderUpdate                                           0       0        0       0              0          0       0      -      -      -
          ProviderCleanup                                          0       0        0       0              0          0       0      -      -      -
07:52:54  DCIPDiameter                                             0       0        0       0              0          0       0      -      -      -
          ProviderGet                                              0       0        0       0              0          0       0      -      -      -
          ProviderUpdate                                           0       0        0       0              0          0       0      -      -      -
          ProviderCleanup                                          0       0        0       0              0          0       0      -      -      -

我想在所有没有记录的时间中填充时间,直到找到具有时间字段的记录。

0 个答案:

没有答案