Flume原理解析【转】

1、Flume简介

　　flume 做为 cloudera 开发的实时日志收集系统，受到了业界的承认与普遍应用。Flume 初始的发行版本目前被统称为 Flume OG（original generation），属于 cloudera。

　　但随着 FLume 功能的扩展，Flume OG 代码工程臃肿、核心组件设计不合理、核心配置不标准等缺点暴露出来，尤为是在 Flume OG 的最后一个发行版本 0.9.4. 中，日

　　志传输不稳定的现象尤其严重，为了解决这些问题，2011 年 10 月 22 号，cloudera 完成了 Flume-728，对 Flume 进行了里程碑式的改动：重构核心组件、核心配置以

　　及代码架构，重构后的版本统称为 Flume NG（next generation）；改动的另外一缘由是将 Flume 归入 apache 旗下，cloudera Flume 更名为 Apache Flume。

　　备注：Flume参考资料

　　　　官方网站： http://flume.apache.org/
　　　　用户文档： http://flume.apache.org/FlumeUserGuide.html
　　　　开发文档： http://flume.apache.org/FlumeDeveloperGuide.html

2、Flume特色

　　flume是一个分布式、可靠、和高可用的海量日志采集、聚合和传输的系统。支持在日志系统中定制各种数据发送方，用于收集数据;同时，Flume提供对数据进行简单处理，

　　并写到各类数据接受方(好比文本、HDFS、Hbase等)的能力 。
　　flume的数据流由事件(Event)贯穿始终。事件是Flume的基本数据单位，它携带日志数据(字节数组形式)而且携带有头信息，这些Event由Agent外部的Source生成，当

　　Source捕获事件后会进行特定的格式化，而后Source会把事件推入(单个或多个)Channel中。你能够把Channel看做是一个缓冲区，它将保存事件直到Sink处理完该事件。

　　Sink负责持久化日志或者把事件推向另外一个Source。
 
　　1）flume的可靠性 
　　　　当节点出现故障时，日志可以被传送到其余节点上而不会丢失。Flume提供了三种级别的可靠性保障，从强到弱依次分别为：end-to-end（收到数据agent首先将

　　　　event写到磁盘上，当数据传送成功后，再删除；若是数据发送失败，能够从新发送。），Store on failure（这也是scribe采用的策略，当数据接收方crash时，将

　　　　数据写到本地，待恢复后，继续发送），Besteffort（数据发送到接收方后，不会进行确认）。

　　2）flume的可恢复性
　　　　仍是靠Channel。推荐使用FileChannel，事件持久化在本地文件系统里(性能较差)。

3、Flume的一些核心概念

　　Client：Client生产数据，运行在一个独立的线程。

　　Event： 一个数据单元，消息头和消息体组成。（Events能够是日志记录、 avro 对象等。）
　　Flow： Event从源点到达目的点的迁移的抽象。
　　Agent： 一个独立的Flume进程，包含组件Source、 Channel、 Sink。（Agent使用JVM 运行Flume。每台机器运行一个agent，可是能够在一个agent中包含

　　　　　　多个sources和sinks。）
　　Source： 数据收集组件。（source从Client收集数据，传递给Channel）
　　Channel： 中转Event的一个临时存储，保存由Source组件传递过来的Event。（Channel链接 sources 和 sinks ，这个有点像一个队列。）
　　Sink： 从Channel中读取并移除Event， 将Event传递到FlowPipeline中的下一个Agent（若是有的话）（Sink从Channel收集数据，运行在一个独立线程。）

3.一、Agent结构　　

　　Flume 运行的核心是 Agent。Flume以agent为最小的独立运行单位。一个agent就是一个JVM。它是一个完整的数据收集工具，含有三个核心组件，分别是

　　 source、 channel、 sink。经过这些组件， Event 能够从一个地方流向另外一个地方，以下图所示。

　　

3.二、source

　　Source是数据的收集端，负责将数据捕获后进行特殊的格式化，将数据封装到事件（event） 里，而后将事件推入Channel中。 Flume提供了不少内置的
　　Source， 支持 Avro， log4j， syslog 和 http post(body为json格式)。可让应用程序同已有的Source直接打交道，如AvroSource，
　　SyslogTcpSource。 若是内置的Source没法知足须要， Flume还支持自定义Source。
　　

　　source类型：

　　

3.三、Channel

　　Channel是链接Source和Sink的组件，你们能够将它看作一个数据的缓冲区（数据队列），它能够将事件暂存到内存中也能够持久化到本地磁盘上， 直
　　到Sink处理完该事件。介绍两个较为经常使用的Channel， MemoryChannel和FileChannel。
　　

　　Channel类型：

　　

3.四、Sink

　　Sink从Channel中取出事件，而后将数据发到别处，能够向文件系统、数据库、 hadoop存数据， 也能够是其余agent的Source。在日志数据较少时，可
　　以将数据存储在文件系统中，而且设定必定的时间间隔保存数据。

　　

　　Sink类型：

　　

4、Flume拦截器、数据流以及可靠性

4.一、Flume拦截器

　　当咱们须要对数据进行过滤时，除了咱们在Source、 Channel和Sink进行代码修改以外， Flume为咱们提供了拦截器，拦截器也是chain形式的。

　　拦截器的位置在Source和Channel之间，当咱们为Source指定拦截器后，咱们在拦截器中会获得event，根据需求咱们能够对event进行保留仍是

　　抛弃，抛弃的数据不会进入Channel中。

　　

4.二、Flume数据流

　　1）Flume 的核心是把数据从数据源收集过来，再送到目的地。为了保证输送必定成功，在送到目的地以前，会先缓存数据，待数据真正到达目的地后，

　　　　删除本身缓存的数据。
　　2） Flume 传输的数据的基本单位是 Event，若是是文本文件，一般是一行记录，这也是事务的基本单位。 Event 从 Source，流向 Channel，再到 Sink，

　　　　自己为一个 byte 数组，并可携带 headers 信息。 Event 表明着一个数据流的最小完整单元，从外部数据源来，向外部的目的地去。

　　

　　值得注意的是，Flume提供了大量内置的Source、Channel和Sink类型。不一样类型的Source,Channel和Sink能够自由组合。组合方式基于用户设置的配置文件，很是灵活。

　　好比：Channel能够把事件暂存在内存里，也能够持久化到本地硬盘上。Sink能够把日志写入HDFS, HBase，甚至是另一个Source等等。Flume支持用户创建多级流，

　　也就是说，多个agent能够协同工做，而且支持Fan-in、Fan-out、Contextual Routing、Backup Routes，这也正是Flume强大之处。以下图所示：

　　

4.三、Flume可靠性

　　Flume 使用事务性的方式保证传送Event整个过程的可靠性。 Sink 必须在Event 被存入 Channel 后，或者，已经被传达到下一站agent里，又或者，

　　已经被存入外部数据目的地以后，才能把 Event 从 Channel 中 remove 掉。这样数据流里的 event 不管是在一个 agent 里仍是多个 agent 之间流转，

　　都能保证可靠，由于以上的事务保证了 event 会被成功存储起来。好比 Flume支持在本地保存一份文件 channel 做为备份，而memory channel 将

　　event存在内存 queue 里，速度快，但丢失的话没法恢复。

5、Flume使用场景

　　Flume在英文中的意思是水道， 但Flume更像能够随意组装的消防水管，下面根据官方文档，展现几种Flow。

5.一、多个agent顺序链接

　　

　　能够将多个Agent顺序链接起来，将最初的数据源通过收集，存储到最终的存储系统中。这是最简单的状况，通常状况下，应该控制这种顺序链接的
　　Agent 的数量，由于数据流经的路径变长了，若是不考虑failover的话，出现故障将影响整个Flow上的Agent收集服务。 

5.二、多个Agent的数据汇聚到同一个Agent 

　　

　　这种状况应用的场景比较多，好比要收集Web网站的用户行为日志， Web网站为了可用性使用的负载集群模式，每一个节点都产生用户行为日志，能够为
　　每 个节点都配置一个Agent来单独收集日志数据，而后多个Agent将数据最终汇聚到一个用来存储数据存储系统，如HDFS上。

5.三、多级流

　　Flume还支持多级流，什么多级流？结合在云开发中的应用来举个例子，当syslog， java， nginx、 tomcat等混合在一块儿的日志流开始流入一个agent
　　后，能够agent中将混杂的日志流分开，而后给每种日志创建一个本身的传输通道。

　　

5.四、load balance功能

　　

　　上图Agent1是一个路由节点，负责将Channel暂存的Event均衡到对应的多个Sink组件上，而每一个Sink组件分别链接到一个独立的Agent上 。

6、Flume核心组件

　　Flume主要由3个重要的组件构成：
　　1）Source： 完成对日志数据的收集，分红transtion 和 event 打入到channel之中
　　　　 Flume提供了各类source的实现，包括Avro Source、 Exce Source、 Spooling
　　　　Directory Source、 NetCat Source、 Syslog Source、 Syslog TCP Source、
　　　　Syslog UDP Source、 HTTP Source、 HDFS Source， etc。
　　2）Channel： Flume Channel主要提供一个队列的功能，对source提供中的数据进行简单的缓存。
　　　　 Flume对于Channel， 则提供了Memory Channel、 JDBC Chanel、 File Channel，etc

　　3）Sink： Flume Sink取出Channel中的数据，进行相应的存储文件系统，数据库，或者提交到远程服务器。
　　　　包括HDFS sink、 Logger sink、 Avro sink、 File Roll sink、 Null sink、 HBasesink， etc。

6.一、Source

　　Spool Source 如何使用？
　　在实际使用的过程当中，能够结合log4j使用，使用log4j的时候，将log4j的文件分割机制设为1分钟一次，将文件拷贝到spool的监控目录。

　　 log4j有一个TimeRolling的插件，能够把log4j分割的文件到spool目录。基本实现了实时的监控。 Flume在传完文件以后，将会修 改文

　　件的后缀，变为.COMPLETED（后缀也能够在配置文件中灵活指定）

　　Exec Source 和Spool Source 比较
　　1） ExecSource能够实现对日志的实时收集，可是存在Flume不运行或者指令执行出错时，将没法收集到日志数据，没法何证日志数据

　　　　的完整性。
　　2） SpoolSource虽然没法实现实时的收集数据，可是可使用以分钟的方式分割文件，趋近于实时。
　　3）总结：若是应用没法实现以分钟切割日志文件的话，能够两种 收集方式结合使用。

6.二、Channel

　　1）MemoryChannel能够实现高速的吞吐， 可是没法保证数据完整性
　　2）MemoryRecoverChannel在官方文档的建议上已经建义使用FileChannel来替换。
　　　　FileChannel保证数据的完整性与一致性。在具体配置不现的FileChannel时，建议FileChannel设置的目录和程序日志文件保存的目录

　　　　设成不一样的磁盘，以便提升效率。 

6.三、Sink

　　Flume Sink在设置存储数据时，能够向文件系统中，数据库中， hadoop中储数据，在日志数据较少时，能够将数据存储在文件系中，并

　　且设定必定的时间间隔保存数据。在日志数据较多时，能够将相应的日志数据存储到Hadoop中，便于往后进行相应的数据分析。