发布网友 发布时间:2022-04-24 12:48
共7个回答
懂视网 时间:2022-05-08 00:37
写程序有时候真的有点难,要考虑各种情况。
应用在运行中,会不断生成日志文件。假如要实现一个日志收集的工具,不考虑其它的分析功能,只考虑收集,有哪些方面要考虑的?
首先看下一般的log框架是如何输出日志的:
可能是这样的:a.log.1, a.log.2, a.log.3, a.log.4, a.log.5 循环输出;
可能是这样的: a.2014-5-5.log, a.2014-5-6.log, a.2014-5-7.log,每天生成一个日志文件;
可能是这样的:log.out,每次重启都会生成一个新的log.out,覆盖旧的文件。
那么,我们有哪些方面要实现和注意的?
下面解释下logstash是如何实现和处理上面的问题的:
可以配置path参数(Array),其中支持globs风格的匹配,如:
path => [ "/var/log/messages", "/var/log/*.log" ]
可以配置exclude参数(Array),排除掉不需要的文件,如:
exclude => "*.gz"
logstash把进度保存到所谓的sincedb里,实际上即这样的一个文本文件,默认是放在home目录下的,如:
.sincedb_e794081d6134aace51b759aea8cc3be2
.sincedb_f7a0c8a0def03e0c572511ceea0b9f63
后面是日志文件,即path的hash值。这样就区分了不同的文件名的日志文件的进度保存问题。
sincedb文件里是类似这样的内容:
6511055 0 2051 118617881
5495516 0 2051 155859036
6348913 0 2051 148511449
上面的4列分别是:
inode, major number, minor number, pos。
其中major number和minor number是设备相关的数字,参考:http://unix.stackexchange.com/questions/73988/linux-major-and-minor-device-numbers
inode是文件系统给文件分配的是一个号码,参考:http://zh.wikipedia.org/wiki/Inode
因此logstash区分了设备,文件名,文件的不同版本。
这里引出了一个新问题,用inode来判断文件的不同版本,是否够准确了?因为inode是会回收再使用的。
比如依次执行下面的命令,可以发现,两个文件的inode是一样的:
touch teststat testrm test touch teststat test
但是因为logstash是没有close掉文件,所以是一直持有inode,所以新的同名的日志文件会有一个新的inode。
也正是因为这样,如果logstash监视的日志文件如果被删除了,还是可以继续把删除的文件的内容处理完。
利用inode这点特性,有时可以做一些补救工作,比如不小心把mysql的文件删掉了,还是可以把数据dump出来,因为mysql进程还持有数据文件的inode。
另外,logstash默认是每隔1秒就尝试读取文件有没有新内容,默认是15秒就扫描,检查有没有新文件。对应stat_interval和discover_interval参数。
还有一些小细节:
比如每次最多只读取出16394字节的数据,防止占用过多的内存,每5秒判断下是否需要保存新的pos。
如果日志文件被删除了,也会删除sincedb文件。
当读取到新文件内容时,pos会增加,在保存新的pos到sincedb时,logstash采用了临时文件的办法:
先建立一个临时文件,写入新内容,再调用操作系统提供的remane函数,原子性地替换原来的sincedb文件。
这种实际上是比较常用的技巧了,redis也是这样子做的。
很遗憾,这是不能的,除非是分布式事务,否则,总有可能丢失或者重复发送数据。任何日志收集软件或者消息队列软件都是如此。
具体的实现代码就不贴了,因为比较易读,其中logstash使用了filewatch这个库,可以用gem来安装。相关的代码在线查看:
https://github.com/elasticsearch/logstash/blob/v1.4.1/lib/logstash/inputs/file.rb
https://github.com/jordansissel/ruby-filewatch/tree/master/lib/filewatch
fluentd也是一个很流行的日志收集工具。
简单再看了下fluentd的in_tail插件,发现里面还有自己当年提交的一个防止内存占用过大的建议:)
https://github.com/fluent/fluentd/blob/master/lib/fluent/plugin/in_tail.rb
iflines.size>=MAX_LINES_AT_ONCE
# not to use too much memory in case the file is very large
read_more=true
即每最多读取1000行,就提交数据,并保存pos。fluentd的in_tail插件的原理和logstash的file input是差不多的,都是用inode来区分文件是否更新。
但是fluentd只保存了inode和pos,没有logstash那样把设备都考虑进去了。
另外fluentd保存pos时,都是以文件追加的方式来保存的,没有像logstash那样是用rename文件来保存到新文件里。显然logstash的实现更加合理。
扯远一点,logstash部署要比fluentd方便,尽管两者都是用ruby写的,不同的是logstash默认是jruby,只要有JVM就可以跑,fluentd则要安装ruby环境,比较麻烦。
logstash大有一统江湖之势,这句话忘记在哪里看到的了。在github上的logstash的start有2000多个。
logstash + elasticsearch + Kibana的日志收集,搜索,展现的一条龙服务非常流行。
http://unix.stackexchange.com/questions/73988/linux-major-and-minor-device-numbers
http://zh.wikipedia.org/wiki/Inode
https://github.com/elasticsearch/logstash/blob/v1.4.1/lib/logstash/inputs/file.rb
热心网友 时间:2022-05-07 21:45
很难,尤其是对中国人热心网友 时间:2022-05-07 23:03
把写程序说的比登天还难?我只能呵呵了,其实只要走对路,写代码比吃饭还简单,当然要有10年的积累。比如银行系统,各种物联网设备等。如果专研一个行业的系统,很久,我跟你说,就是小学学历,都能比外面的博士都强!应为他们如果也要搞你这个行业,也会碰到同样的坑,也需要时间积累的。特别是一些需要大量实验后得出的独特算法。没有做过实验就想出结果是不可能的。再说说技术升级,并不是所有技术都要去学的,就算穷尽你一生都不可能学完。只要把目前你研究的行业的需要的技术学一下就行了。而且目前很多都不需要你写了,程序员最反对重复造轮子,直接拿别人的用就行了。当然前提是你得看得懂。当你有10年以上工作经验后你会发现,你已经有一个(军火库)了,常用代码库,这和刚毕业的大学生可是有天壤之别的。在开发项目时你可以一跃千里,根本不用重头开发。而且到这个级别了,其实完全可以找两个徒弟帮你写,你自己写核心代码。这样不要说30岁,50岁我觉得可能还有战斗力。只要有算法,其他都是浮云,哪怕你不会新语言,但是你有算法,一样吃的开。热心网友 时间:2022-05-08 00:38
编程难不难?那可不是闹着玩的。不从事这一行的永远不知道这行的艰辛,还咋巴着小眼睛问编程好不好学?热心网友 时间:2022-05-08 02:29
写程序说简单就简单,说难就难,为什么呢?说简单,是因为程序的执行都是死的,一样的代码不会出现两个结果,程序不会说谎。说难,是因为程序考研的事你解决问题的逻辑能力,必须要严谨,哪怕你一个小小的疏忽可能都会造成整个程序的不可用。 具体如何写,那要取决于你想学习哪门计算机语言。具体写法都会有一些不同,但是主要的编程思想都是一样的,计算机语言之间都是换汤不换药。如果你没学过写程序,即使我在这里告诉你怎么写,估计你也不会理解,如果有兴趣,不如自己亲自体验一下。热心网友 时间:2022-05-08 04:37
也不一定,要看什么程序热心网友 时间:2022-05-08 07:02
你是做数控的吗