# Разбить строку на два сообщения в logstash

**URL:** <https://discuss.elastic.co/t/logstash/103111>\
**Category:** Вопросы на русском языке\
**Created:** [October 7, 2017, 11:05am UTC](https://discuss.elastic.co/t/logstash/103111 "2017-10-07T11:05:45Z")\
**Posts on this page:** 3\
**Page:** 1

<div class="post-metadata">

**Author:** ![11116](https://avatars.discourse-cdn.com/v4/letter/1/6bbea6/32.png) [@11116](https://discuss.elastic.co/u/11116)\
**Post date:** [October 7, 2017, 11:05am UTC](https://discuss.elastic.co/t/logstash/103111/1 "2017-10-07T11:05:45Z")

</div>

Здравствуйте!

У меня есть логи вида  
time:timestamp|user:user\_id|status1:321|status2:1234  
Не очень хочется держать в эластике одинаковые по сути поля с разными названиями (status1, status2 И так далее), да и статистику по ним получать будет очень неудобно. Единственный выход я нахожу в том, чтобы такие строки разбивать на две и такие пронумерованные параметры индексировать отдельным сообщением.  
Можно ли логстэшем как то разбить это сообщение так, чтобы оно отправилось в эластик двумя сообщениями?  
Первое  
time: timestamp  
user: user\_id  
status: {num:1, code:321}  
Второе:  
time: timestamp  
user: user\_id  
status: {num:2, code:123}

Или я что-то упускаю и все можно сделать гораздо проще?🙃  
Увы, саму структуру логов поменять у меня нет возможности, работаю с тем, что есть(

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [October 7, 2017, 1:47pm UTC](https://discuss.elastic.co/t/logstash/103111/2 "2017-10-07T13:47:49Z")

</div>

Как-то так [https://www.elastic.co/guide/en/logstash/5.6/plugins-filters-split.html](https://www.elastic.co/guide/en/logstash/5.6/plugins-filters-split.html)?

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [November 4, 2017, 1:47pm UTC](https://discuss.elastic.co/t/logstash/103111/3 "2017-11-04T13:47:52Z")

</div>

Closed on November 4, 2017, 1:47pm UTC

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.