Logstash「經過」過濾器 - 雙「開始」事件

Question

如果我這樣定義，所以我elapsed過濾器：

elapsed { 
    start_tag => "task-started" 
    end_tag => "task-terminated" 
    unique_id_field => "task-id" 
    timeout => 1200 
    new_event_on_match => true 
} 

如果有2級與start_tag和相同task-id連續的事件會發生什麼？

我能想到的幾種可能性：

• 開始時間將被重置爲
• 第一項活動將被視爲一個錯誤，因爲它沒有得到第二個「開始」事件時「結束」事件，所以會發出一個錯誤事件，然後第二個事件將被正常處理。
• 第二個「開始」事件將被忽略

那麼，哪一個是什麼呢？

Answer 1

已用過濾器收集所有「開始事件」。如果兩個或更多的「開始事件」具有相同的ID，則只記錄第一個，其他的則被丟棄。