Splunk împărțirea evenimentelor de jurnal pe mai multe linii după dată

Am o configurație Splunk în mare parte implicită, care împarte corect majoritatea mesajelor mele de jurnal dintr-o aplicație Java standard. Nu depășim niciuna dintre valorile implicite referitoare la întreruperile de rând, îmbinarea liniilor sau formatele de dată. În unele situații, Splunk pare să detecteze că există o dată pe un eveniment de jurnal cu mai multe linii și împarte incorect evenimentul pe acea linie. Aș dori să știu cum să previn acest lucru.

Un exemplu este inclus mai jos cu 4 evenimente de jurnal - fiecare începând cu o ștampilă dată, timp și severitate. Rețineți că primul și al 4-lea eveniment sunt evenimente de jurnal cu o singură linie, iar al doilea și al treilea sunt evenimente de jurnal mai detaliate, care includ mai multe detalii.

În cazul celui de-al doilea eveniment, Splunk împarte corect acest eveniment în întregime. Pentru cel de-al treilea eveniment, însă, data pe care o scriem lângă „a avut loc” este oprită cu o milisecundă sau două față de marcajul de timp de la începutul evenimentului. Când se întâmplă acest lucru, Splunk împarte aceste evenimente în mai multe evenimente.

Este de remarcat faptul că separatorul de linii pentru evenimentele cu mai multe linii este probabil \n. Nu sunt 100% sigur care este separatorul de linii la sfârșitul fiecăruia dintre evenimente, dar este, de asemenea, probabil \n.

Există vreo modalitate de a împiedica Splunk să detecteze un marcaj de dată/ora în mijlocul unei linii și să împartă evenimentul pe baza acelui simbol?

2021-08-27 20:57:34,860 EROARE [<redact>][<redacted>] <redacted>
2021-08-27 20:56:24,118 EROARE [<redacted>][<redacted>] MESSAGE="
<redactat - mai multe informații>
<redactat - mai multe informații>
-- AU AVENIT LA: 27.08.2021 20:56:24:11
<redactat - mai multe informații>
<redactat - mai multe informații>
<redactat - mai multe informații>
<redactat - mai multe informații>
<redactat - mai multe informații>
2021-08-27 20:56:11,221 EROARE [<redacted>][<redacted>] MESSAGE="
<redactat - mai multe informații>
<redactat - mai multe informații>
-- AU AVENIT LA: 27.08.2021 20:56:11:220
<redactat - mai multe informații>
<redactat - mai multe informații>
<redactat - mai multe informații>
<redactat - mai multe informații>
<redactat - mai multe informații>
2021-08-27 20:57:09,960 EROARE [<redacted>][<redacted>] <redacted>

Spune-i lui Splunk să întrerupă evenimentele înainte de o dată care apare la începutul unui rând. Și ar ajuta să-i spuneți lui Splunk formatul așteptat al marcajelor de timp:

LINE_BREAKER = ([\r\n]+)\d\d\d\d-\d\d-\d\d
TIME_PREFIX = ^
TIME_FORMAT = %Y-%m-%d %H:%M:S,%3N