先要格式，再写解析
对接一台新设备的日志，最耗时的一般不是配置发送端，而是搞清日志字段的含义。厂商的日志格式文档、已开通支持工单里提供的说明、以及设备实际输出的样例，是最可靠的三条获取路径。拿到格式说明后用真实样例验证解析规则，比按猜测写规则再反复试错快得多。需要注意跨版本字段可能变化，接口文档里没有的字段不要凭字段名猜含义。
基本信息
| 获取途径 | 厂商产品文档、技术支持工单、设备实际输出的日志样例 |
|---|---|
| 需要内容 | 字段定义与顺序、日志级别分类、事件类型说明、格式示例 |
| 验证方法 | 用真实样例对照解析规则，确认字段与值域解析正确 |
| 版本管理 | 记录设备型号与软件版本，跨版本字段变化时索取对应版本说明 |
| 留存要求 | 样例日志与解析规则一并归档，供后续问题复现与回归 |
典型使用场景
- 新设备接入：在配置日志发送之前先确认格式与字段定义
- 解析规则开发：按文档实现字段提取，并用真实样例做回归验证
- 设备升级后日志解析异常：核对版本对应的格式说明，修正解析规则
- 日志字段缺失：向厂商确认该字段是否在当前版本支持或有开关控制
- SIEM 对接：确认字段映射关系，保证事件关联与报表口径正确
- 疑难问题报障：向厂商提供样例日志与已做排查，缩短响应时间
对接准备清单
对接准备清单
[ ] 设备型号与软件版本（精确到版本号）
[ ] 日志配置方式：syslog 发送、API 拉取或其他
[ ] 格式说明或字段定义文档（向厂商索取对应版本）
[ ] 真实样例日志若干条，覆盖不同级别与事件类型
[ ] 解析规则与验证记录，随设备版本一并归档
[ ] 厂商支持渠道与已有工单号，便于追问信息获取读法
| 信息类型 | 用途 | 没有它会怎样 |
|---|---|---|
| 字段定义 | 确定每个字段的含义与取值范围 | 只能靠猜，解析结果可能长期错误且难以察觉 |
| 日志级别 | 区分普通操作与严重事件 | 告警分级失效，重要事件被混在信息日志里 |
| 事件类型说明 | 为日志分类与统计提供依据 | 报表分类混乱，趋势分析不可用 |
| 样例日志 | 验证解析规则的正确性 | 无法确认解析是否生效，问题排查无从下手 |
| 版本对应关系 | 确认字段随版本的变化 | 升级后解析失效，日志出现字段错位或缺失 |
跨版本字段变化是日志解析最常见的失效原因。设备升级后应把日志解析纳入验证清单，确认关键字段仍然正确提取，而不是等报表数字异常才发现。