ChatGPT3.5介绍说filestream是旧版log类型的替代者，提供了更多的功能和改进，该类型对于新加入文件默认是从尾部开始同步，简单测试后直接上了一台线上机器，log同步QPS破万，马上把ES机器 CPU跑满，妥妥地从文件头部开始读取同步，首次失败，。

ChatGPT继续查询说可以tail_files参数控制log和filestream类型加入新文件时是否从尾部读取的行为，出于谨慎加入tail_files: true参数后尝试同步测试环境的api log，发现依然是从头部开始读取，参数未生效，二次失败。

继续咨询ChatGPT tail_files不生效的可能原因，表示如果之前已经读取过了文件，即便后续修改了tail_files从尾部读取也不会生效，需要删除状态文件registry/filebeat/data.json，最终找到了7.17中对应的log.json文件进行删除，而后重启filebeat发现依然是从头读取整个文件，三次失败。

所谓尽信大模型则不如无大模型确实是有道理的，最终停掉filebeat同步后开始自主探究。