Solución de problemas del pipeline de procesamiento de logs
Una vez que los datos de log se ingieren en Log Analytics, el procesamiento de datos comienza de forma asíncrona. Durante el procesamiento de datos, si se encuentra un error relacionado con el análisis o la interpretación de los datos de log, se muestra un mensaje de error junto con los datos de log en el explorador de logs.
Para detectar el error y solucionar los problemas de su pipeline de procesamiento de log identificando el tipo de error, utilice la métrica Errores de procesamiento. Para obtener información acerca de los pasos para acceder a la métrica Errores de procesamiento, consulte Supervisión de Log Analytics con métricas de servicios.
Cuando se detectan errores, la métrica Errores de procesamiento muestra una línea para cada tipo de recopilación activado en el arrendamiento o en el compartimento. Pase el cursor por los puntos de datos del gráfico para ver más detalles sobre el error. Siga estos pasos para ver las métricas por tipo de error:
-
Haga clic en el menú Opciones en la esquina superior derecha de la métrica Errores de procesamiento y seleccione Ver en explorador de métricas.
La métrica se muestra ahora en el explorador de métricas. Aquí, puede ver el gráfico con más detalle.
-
Haga clic en Editar consultas y seleccione Nombre de dimensión como
errorTypey Valor de dimensión como tipo de error detectado en el explorador de logs, por ejemplo,LogParserMismatch.Haga clic en Actualizar gráfico para refrescar la visualización del gráfico. El gráfico ahora mostrará las métricas de
errorType.Puede cambiar a la vista Tabla de datos para obtener una representación tabular de los puntos de datos de error recopilados.
A continuación se muestran los distintos tipos de errores notificados mediante esta métrica para el procesamiento de logs:
| Tipo de error | Descripción | Corrección recomendada |
|---|---|---|
|
|
Los analizadores definidos en el origen no coinciden con el registro de log. Por ejemplo,
|
Asegúrese de que existe al menos un analizador coincidente para analizar los datos. |
|
|
Los analizadores definidos en el origen no coinciden con el campo del registro de log. Por ejemplo, la expresión regular no coincide con el campo de los datos de log o la expresión XPath no existe en el campo del registro de log json o XML.
|
Asegúrese de que existe al menos un analizador de campos coincidente para analizar los datos del campo. |
|
|
Uno de los analizadores definidos en el origen ha sufrido un timeout debido a que la ejecución de la expresión regular ha tardado más de 3 segundos. La expresión regular puede ser compleja o el registro de log es demasiado largo para la expresión regular. Si esto ocurre tres veces para un grupo de datos (un grupo es un archivo zip de algunos registros de log), el resto de los registros de log del grupo no se analizan y se marcan con este tipo de error de análisis con el mensaje exceeded base parser regex timeout: 3. |
Utilice expresiones regulares más rápidas en los analizadores del origen para que el análisis no sufra un timeout. Consulte Escritura de expresiones regulares eficaces. |
|
|
El analizador definido para el campo ha sufrido un timeout debido a que la ejecución de la expresión regular ha tardado más de 3 segundos. La expresión regular puede ser compleja o el registro de log es demasiado largo para la expresión regular. Si esto ocurre tres veces para un grupo de datos (un grupo es un archivo zip de algunos registros de log), el resto de los registros de log del grupo no se analizan y se marcan con este tipo de error de análisis con el mensaje Parsing failure: exceeded max field parser regex timeout: 3, parser: baseparser, level1fieldparser, level2fieldparser. |
Utilice expresiones regulares más rápidas en los analizadores de campo del origen para que el análisis no sufra un timeout. Consulte Escritura de expresiones regulares eficaces. |
|
|
Existe una discrepancia entre los datos identificados para la recopilación y la definición del analizador. Por ejemplo,
Si esto ocurre en un grupo de datos, el resto de los registros de log del grupo no se analizan y se marcan con este tipo de error de análisis con el mensaje: Parsing failure: exceeded max number of base parser invalidtructure entries: 3. |
Verifique la definición del analizador y asegúrese de que los datos entrantes se ajustan a la definición proporcionada. Creación de un analizador |
|
|
Existe una discrepancia entre los datos identificados para su recopilación y la definición del analizador de campos. Por ejemplo,
Si esto ocurre tres veces para un grupo de datos, el resto de los registros log del grupo no se analizan y se marcan con este tipo de error de análisis con el mensaje: Fallo de análisis: se superó el número máximo de entradas estructuradas no válidas del analizador de campos: 3, analizador: baseparser, fieldparser. |
Verifique el analizador de campos y asegúrese de que los datos entrantes se ajustan a la definición proporcionada. Creación de un analizador |