请解释一下 Logstash 是什么，以及它在实际应用中的主要使用场景有哪些？

回答思路

1. 【回答框架 1】Logstash 是 Elastic Stack 中的一个开源服务端数据处理管道，能够同时从多个源头采集数据，对数据进行转换加工，然后发送到 Elasticsearch 或其他存储系统。它的核心机制是管道架构，由输入、过滤、输出三个插件阶段组成。
2. 【回答框架 2】输入阶段通过 input 插件接收来自文件、系统日志、网络端口、数据库等多种来源的数据；过滤阶段使用 filter 插件对数据进行解析、清洗、类型转换、字段增加或删除等处理，例如用 grok 解析日志格式、用 mutate 修改字段；输出阶段通过 output 插件将处理后的结果发送到指定目的地，最常见的是 Elasticsearch，也可输出到 Kafka、文件等。
3. 【回答框架 3】主要用途包括集中收集并处理各类应用和系统日志，统一日志格式以便检索分析；作为数据管道将不同来源的数据清洗转换为标准结构后导入 Elasticsearch；在 ELK 技术栈中承担数据采集和预处理环节，支撑日志监控、故障排查与安全分析等场景。
4. 【回答框架 4】Logstash 具有插件生态丰富、易于扩展和配置灵活的特点，但单节点处理性能有上限，面对高吞吐场景可结合 Beats 轻量采集器或 Kafka 缓冲区来分担压力，形成更稳定的数据链路。
5. 【回答框架 5】实际使用时需注意管道配置的合理性，过滤正则复杂度会影响吞吐量，建议根据数据量评估内存与并发设置，并做好监控和性能调优以保障可靠性。
6. 【关键点 1】Logstash 是一种带实时管道能力的数据采集和处理引擎，通常用于日志和事件数据。
7. 【关键点 2】其核心三要素是 input、filter、output 插件体系，中间可加 codec 编解码支持不同格式数据。
8. 【关键点 3】常见用途是统一日志采集、字段解析、数据清洗，并将结果写入 Elasticsearch 等目标。
9. 【关键点 4】在 Elastic Stack 中常与 Beats 或 Kafka 配合，以提升数据摄入的吞吐与可靠性。
10. 【易错点 1】不要把 Logstash 的管道处理能力等同于数据库 ETL，它更偏日志与流式数据。
11. 【易错点 2】不要忽视正则过滤对性能的影响，复杂 grok 可能导致吞吐下降。
12. 【易错点 3】不要忽略自身的资源占用，部署时需预留足够内存并避免与高负载应用混布。