数据流示意
数据流示意
应用日志文件
↓ Filebeat（采集、轻量解析）
↓ Logstash（复杂解析、富化、路由，可选）
↓ Elasticsearch（索引、存储、检索）
↓ Kibana（Discover 检索 / 可视化 / 看板）| Beats | 部署在源头的轻量采集器，常驻开销小 |
|---|---|
| Logstash | 重加工层：grok 解析、字段处理、多路输出 |
| Elasticsearch | 倒排索引 + 列存，全文检索与聚合能力强 |
| Kibana | 检索界面与可视化，支持 KQL 与看板 |
采集端可以先只做搬运，把解析加工集中在管道层，方便后续统一改字段。