Filebeat 5 中如何强制重新读取（重建）日志数据？

核心做法：Filebeat 用 registry 文件记录每个日志文件的读取位置。本文针对 Filebeat 5。优先用隔离配置与独立状态重放；如重置原实例，先停止并备份精确 registry 文件，再核对 paths、tail_files 与 ignore_older，不能保证无条件重读所有文件。

操作步骤

# 1. 停止 Filebeat
sudo service filebeat stop

# 2. 核实 Filebeat 5 实际 registry 是文件，备份后移动（不可套用于新版状态目录）
sudo mv /var/lib/filebeat/registry /var/lib/filebeat/registry.backup-$(date +%Y%m%d%H%M%S)

# 3. 启动 Filebeat
sudo service filebeat start

registry 文件记录了每个被监控文件的 inode 和读取偏移，删除后 Filebeat 失去"记忆"，会把所有文件当作新文件重新采集。

注意事项

1. 会产生重复数据：下游 Elasticsearch 里已有的日志会再写一遍。如需"重建"，应写入隔离目标或让下游按稳定文档 ID 去重，不例行删除生产索引。
2. 检查 prospector 路径配置：确认 paths 仍然匹配你要重读的日志文件。
3. clean_inactive / ignore_older：ignore_older 控制忽略旧文件，默认0表示禁用；clean_inactive 清理状态，不是同一年龄过滤开关。tail_files 为 true 也可能让新发现的文件从末尾开始。

常见问题（FAQ）

Q：只想重新读取某一个文件怎么办？
A：Filebeat 5 的 registry 是 JSON 文本，后续版本布局不同；不建议把手工改内部状态当作常规重放方法。用只匹配目标文件的隔离实例与独立状态，并避免与生产重复采集。

Q：删除 registry 后 Filebeat 还是不读旧文件？
A：检查 ignore_older 配置——超过此时长的文件会被忽略；改成 0 或足够大的值再试。

Q：生产环境这样做有什么风险？
A：重复数据占用存储、可能影响告警规则触发。建议先在测试环境验证流程，且尽量在低峰期操作。