请解释 Logstash 中 aggregate 插件的工作机制，并说明它适合在哪些场景下使用？

回答思路

1. 【回答框架 1】aggregate 插件用于在事件流中按任务或 ID 聚合多个事件，将多个事件的字段合并到一个事件中。它通过内存中的 map 存储每个任务的中间状态，当事件到达时，根据配置的 task_id 找到对应状态，执行 code 中定义的合并逻辑，并在达到超时或满足条件时输出聚合结果。
2. 【回答框架 2】适用场景包括：将多个日志事件合并为一个完整记录，例如将请求开始和结束日志合并为一条包含耗时和状态的记录；在批处理或流处理中，将分散的指标聚合为汇总信息；在需要关联多个事件（如订单创建和支付）时，将相关字段合并到同一事件中。
3. 【回答框架 3】使用 aggregate 时需注意内存管理，因为所有任务状态都保存在内存中，大量任务可能导致内存溢出。同时，超时设置需合理，过短可能丢失未完成聚合，过长则延迟输出。此外，聚合逻辑通过 Ruby 代码实现，需确保代码正确性和性能。
4. 【回答框架 4】与其它插件（如 mutate、split）相比，aggregate 专注于跨事件聚合，而 mutate 处理单个事件字段，split 将事件拆分。选择时需根据数据流和聚合需求判断。
5. 【关键点 1】aggregate 插件按 task_id 聚合多个事件，合并字段到单个事件。
6. 【关键点 2】适用于将分散日志合并为完整记录，如请求开始和结束日志。
7. 【关键点 3】内存中存储任务状态，需关注内存使用和超时设置。
8. 【关键点 4】聚合逻辑用 Ruby 代码实现，需保证正确性和性能。
9. 【易错点 1】忽略内存限制，大量任务可能导致 OOM。
10. 【易错点 2】超时设置不当，导致聚合结果丢失或延迟。
11. 【易错点 3】聚合代码错误，导致字段合并异常或数据丢失。