要编写一个用于 td agent 的正则表达式，可以按照以下步骤进行：

1. 确定要匹配的文本模式：首先，确定要匹配的文本模式，例如日期、IP 地址、日志级别等。这将有助于您构建正则表达式来提取所需的信息。

2. 使用在线工具测试正则表达式：使用在线工具（如 https://regex101.com/）来测试正则表达式。在工具中，您可以输入测试文本并编写正则表达式来匹配该文本。这将帮助您验证正则表达式是否按预期工作。

3. 编写 td agent 配置文件：根据您确定的文本模式和相应的正则表达式，编写 td agent 配置文件。以下是一个示例：

  @type tail
  path /var/log/sample.log
  pos_file /var/log/td-agent/sample.log.pos
  tag sample.log
  format /^(?\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}) \[(?\w+)\] (?.+)$/
  time_format %Y-%m-%d %H:%M:%S



  @type elasticsearch
  hosts localhost:9200
  index_name sample
  type_name log

在上面的示例中，我们使用 format 参数来定义正则表达式，该正则表达式匹配以下格式的日志行：YYYY-MM-DD HH:MM:SS [LOG_LEVEL] MESSAGE。我们使用命名捕获组来提取时间戳、日志级别和消息。然后，我们将提取的字段发送到 Elasticsearch。

4. 启动 td agent：保存上述配置文件，并启动 td agent。它将根据您的正则表达式从日志文件中提取所需的字段，并将其发送到 Elasticsearch 或其他目标。

请注意，正则表达式语法可能会有所不同，具体取决于您使用的编程语言或工具。因此，在编写正则表达式时，请参考相应的文档以确保语法正确。