Fluentd 报 "pattern not match" 错误怎么解决？

这个错误表示某行日志没匹配上 <parse> 段定义的正则/格式——Fluentd 解析不了它。排查思路固定三步：找到原始日志行 → 逐段对照 pattern → 修正正则或改用更宽松的解析器。

排查流程

1. 找到报错对应的原始日志。Fluentd 日志里 pattern not match 后面会带上原始行内容，复制出来。

2. 对照正则逐段检查。典型不匹配原因：

• 时间格式不符：%d/%b/%Y:%H:%M:%S %z 对应 10/Oct/2000:13:55:36 -0700，月份语言、时区格式都要一致；
• 字段分隔符假设错误（有的行多空格、有的字段为空）；
• 多行日志没配 multiline，第二行（如堆栈）单独进来必然不匹配。

3. 用工具调试正则：Rubular（rubular.com）或 Fluentd 文档推荐的在线工具，把日志行和正则贴进去逐步收窄。

防御性配置

与其让不匹配的日志反复报错，不如给个兜底：

<parse>
  @type none      # 或 regexp 放宽：^(?<message>.*)$
</parse>

先全量收进来，结构化解析放到下游（如观测云 Pipeline）集中处理，坏行不至于卡管道。

观测云对照

观测云 DataKit 的 Pipeline 支持在线调试：粘贴样例日志即刻看到 grok 解析结果；解析失败的日志可配置保留原文上报，在日志查看器中另行筛查，不会在采集侧报错误日志。

常见问题（FAQ）

Q：错误日志量大会影响性能吗？ 会——每次失败都有告警输出开销，尽快修 pattern 或放宽解析。

Q：能只针对某些 tag 严格解析吗？ 可以，parse 是 source 级配置；不同 tag 的 source 分开写。