Splunk แบ่งเหตุการณ์บันทึกหลายบรรทัดตามวันที่

ฉันมีการกำหนดค่าเริ่มต้นของ Splunk ซึ่งแยกข้อความบันทึกส่วนใหญ่ออกจากแอปพลิเคชัน Java มาตรฐานอย่างถูกต้อง เราไม่ลบล้างค่าเริ่มต้นใดๆ ที่เกี่ยวข้องกับการขึ้นบรรทัดใหม่ การรวมบรรทัด หรือรูปแบบวันที่ ในบางสถานการณ์ Splunk ดูเหมือนจะตรวจพบว่ามีวันที่ในเหตุการณ์บันทึกหลายบรรทัดและแยกเหตุการณ์ในบรรทัดนั้นอย่างไม่ถูกต้อง ฉันต้องการทราบวิธีการป้องกันไม่ให้สิ่งนี้เกิดขึ้น

ตัวอย่างด้านล่างมีบันทึกเหตุการณ์ 4 รายการ โดยแต่ละรายการเริ่มต้นด้วยการประทับเวลาวันที่และความรุนแรง โปรดทราบว่าเหตุการณ์ที่หนึ่งและที่ 4 เป็นเหตุการณ์บันทึกบรรทัดเดียว และเหตุการณ์ที่สองและสามเป็นเหตุการณ์บันทึกหลายบรรทัดที่มีรายละเอียดมากขึ้นซึ่งมีรายละเอียดมากขึ้น

ในกรณีของเหตุการณ์ที่สอง Splunk แยกเหตุการณ์นี้ทั้งหมดอย่างถูกต้อง อย่างไรก็ตาม สำหรับเหตุการณ์ที่สาม วันที่ที่เราเขียนถัดจาก "เกิดขึ้นบน" จะคลาดเคลื่อนไปหนึ่งหรือสองมิลลิวินาทีจากการประทับเวลาที่จุดเริ่มต้นของเหตุการณ์ เมื่อสิ่งนี้เกิดขึ้น Splunk จะแบ่งเหตุการณ์เหล่านี้ออกเป็นหลายๆ เหตุการณ์

เป็นที่น่าสังเกตว่าตัวคั่นบรรทัดสำหรับเหตุการณ์หลายบรรทัดมีแนวโน้ม \n. ฉันไม่แน่ใจ 100% ว่าตัวคั่นบรรทัดคืออะไรเมื่อสิ้นสุดแต่ละเหตุการณ์ แต่ก็มีแนวโน้มเช่นกัน \n.

มีวิธีใดที่จะป้องกันไม่ให้ Splunk ตรวจจับวันที่/เวลาที่อยู่ตรงกลางบรรทัดและแยกเหตุการณ์ตามโทเค็นนั้น

2021-08-27 20:57:34,860 ข้อผิดพลาด [<redacted>][<redacted>] <redacted>
2021-08-27 20:56:24,118 ข้อผิดพลาด [<redacted>][<redacted>] MESSAGE="
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
-- เกิดขึ้นเมื่อ: 08/27/2021 20:56:24:11 น.
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
2021-08-27 20:56:11,221 ข้อผิดพลาด [<redacted>][<redacted>] MESSAGE="
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
-- เกิดขึ้นเมื่อ: 08/27/2021 20:56:11:220
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
<แก้ไขแล้ว - ข้อมูลเพิ่มเติม>
2021-08-27 20:57:09,960 ข้อผิดพลาด [<redacted>][<redacted>] <redacted>

บอกให้ Splunk หยุดเหตุการณ์ก่อนวันที่มาที่จุดเริ่มต้นของบรรทัด และมันจะช่วยบอก Splunk ถึงรูปแบบการประทับเวลาที่คาดไว้:

LINE_BREAKER = ([\r\n]+)\d\d\d\d-\d\d-\d\d
TIME_PREFIX = ^
TIME_FORMAT = %Y-%m-%d %H:%M:S, %3N