Mesclar arquivos de log com diferentes formatos de registro de data e hora

Question

Eu tenho dois tipos de arquivos de log

Standard Syslog format

O timestamp é exibido abaixo

5:2015 Dec 21 07:35:06:ABC:foo1:1559: common.c:946:Enabling filter
6:2015 Dec 21 07:35:08:ABC:bar1:1461: api.c:124:Trigger activated
6:2015 Dec 21 07:35:16:BMC:kernel:-:<6>drivers/usb1_1.c:598:Error processing request on endpoint 0

Custom Log format

A data e hora são dadas na primeira linha do arquivo. as linhas seguintes são "relativas" à primeira linha. exemplo como abaixo:

Timestamp H:M:S 15:4:1 D:M:Y 16:1:2015
Firmware Version: 121020150140
[04:01]------------[ Logs ]------------
[04:03]Device Data: -> Supported Attributes -> 0x8033B
[04:01]Device Cleanup

[04:19]SendClearMsg ...
[04:23]Param:GetData failed
[04:51]Current Update Count:7
[05:01]MODECHK:Normal mode

um timestamp de 4:01 é 4 minutos, 1 segundo desde 15: 4: 1, que deve ser traduzido como 15: 08: 2.

Alguma sugestão para conseguir isso?

• traduza tempos relativos em tempo absoluto
• Mesclar com o syslog um arquivo grande, classificado por hora

Answer 1

Esta solução usa um script awk para converter as datas no primeiro arquivo para o número de segundos desde a época e preprende este número para a saída. Usamos date +%s --date para fazer o trabalho pesado e capturar a saída do comando na variável awk secs chamando a função getline do awk. (A sintaxe do awk é: comando | getline variável ).

awk <log1 >log1.new '
{ y = substr($0,3,4); m = $2; d = $3; hms = substr($0,15,8)
  "date \"+%s\" --date \"" d " " m " " y " " hms "\"" | getline secs
  print secs " " $0
}'

Um segundo script awk faz o mesmo para o segundo arquivo, mas apenas para a primeira linha com o registro de data e hora, que é salvo na variável awk base . Nas outras linhas, simplesmente adicionamos o deslocamento de minutos e segundos a essa base e usamos date para converter os segundos desde a época em uma data real, no formato do primeiro arquivo.

awk <log2 >log2.new '
/^Timestamp/{ split($5,x,":"); dmy = sprintf("%04d/%02d/%02d",x[3],x[2],x[1])
              split($3,x,":"); hms = sprintf("%02d:%02d:%02d",x[1],x[2],x[3])
              "date \"+%s\" --date \"" dmy " " hms "\"" | getline base
}
/^\[/ { mins = substr($0,2,2); secs = substr($0,5,2);
        tot = base + mins*60+secs
        "date \"+%Y %b %d %H:%M:%S\" --date @" tot | getline date
        print tot " -:" date " " substr($0,8)
}'

Os dois arquivos são então mesclados por uma classificação no campo numérico, e finalmente o número é removido por um sed.

sort -m -n -k1,1 log1.new log2.new |
sed 's/^[^ ]* //'

    

Answer 2

Isso adiciona os números relativos produzidos pelo seu arquivo de log personalizado ao número base original e atualiza todas as linhas

#!/usr/bin/env bash

f=$(head -n 1 custom_log_format.log)
base=$(sed 's/.*H:M:S \(.*\) D:M:Y.*//' <<<$f)

OLDIFS=$IFS
IFS=$'n' 
readarray lines < custom_log_format.log
IFS=$OLDIFS
for i in ${!lines[@]}
do
    b="${lines[$i]}"
    if [[ $b == "["* ]]
    then
        rel_time=$(sed 's/^\[\(.*[^ ]\)\].*//' <<<$b)
        time=$(echo $rel_time | awk -F: '{ print ($1 * 60) + $2 * 60 }')
        # convert base to seconds
        base_seconds=$(date -d"$base" +"%s")
        new_time_seconds=$(( base_seconds + time ))

        new_time=$(date -d"@$new_time_seconds" +"%H:%M:%S")
    fi
    echo ${b/$rel_time/$new_time}
done

saída

Timestamp H:M:S 15:4:1 D:M:Y 16:1:2015
Firmware Version: 121020150140
[15:09:01]------------[ Logs ]------------
[15:11:01]Device Data: -> Supported Attributes -> 0x8033B
[15:09:01]Device Cleanup

[15:27:01]SendClearMsg ...
[15:31:01]Param:GetData failed
[15:59:01]Current Update Count:7
[15:10:01]MODECHK:Normal mode