请阐述 Logstash 在异常场景下的容错设计思路，包括它如何应对系统故障以及数据恢复的机制有哪些？

回答思路

1. 【回答框架 1】Logstash 的容错主要体现在管道内部的队列机制上。默认使用内存队列，数据在管道各阶段之间传递，如果某个阶段处理失败，可以配置重试或丢弃策略，但内存队列在进程重启时会丢失数据。
2. 【回答框架 2】为提高可靠性，可启用持久化队列（persistent queue），它将队列数据写入磁盘，确保在 Logstash 重启后能恢复未处理的事件。持久化队列通过页机制和检查点实现数据安全，并支持队列容量限制。
3. 【回答框架 3】对于输出端故障，如 Elasticsearch 不可用，Logstash 会持续重试发送，并可通过配置调整重试次数和退避策略。同时，结合死信队列（dead letter queue）可将处理失败的事件单独存储，便于后续分析或重放。
4. 【回答框架 4】系统级故障如服务器宕机，可通过部署多实例实现高可用，并利用外部系统（如 Kafka）作为缓冲层，增强整体容错性。数据恢复通常依靠持久化队列、死信队列以及外部存储的重放机制。
5. 【回答框架 5】监控告警也是容错的重要部分，通过监控 Logstash 的队列状态和错误日志，及时发现并处理故障，避免数据丢失。
6. 【关键点 1】内存队列不保证数据不丢失，持久化队列可实现重启恢复
7. 【关键点 2】输出失败会重试，可配置死信队列存储失败事件
8. 【关键点 3】多实例和外部缓冲（如 Kafka）提升整体可用性
9. 【关键点 4】监控队列和错误日志有助于及时发现故障
10. 【易错点 1】不要认为默认配置下 Logstash 不会丢数据，内存队列在进程崩溃时会丢失数据
11. 【易错点 2】持久化队列会增加磁盘 I/O 和延迟，需要合理配置队列大小和页容量
12. 【易错点 3】死信队列只能处理输出端失败，输入解析失败等场景需单独处理