查詢與分析概述
日志服務(wù)支持通過索引模式查詢和分析日志。該功能結(jié)合了SQL計(jì)算功能。本文介紹查詢與分析功能的基本語法、使用限制和SQL函數(shù)等信息。
如果您要查詢與分析日志，則必須將日志采集到Standard Logstore中，且在配置索引時(shí)打開對應(yīng)字段的開啟統(tǒng)計(jì)開關(guān)。更多信息，請參見管理Logstore、創(chuàng)建索引。
如果您需要查詢百億級的日志數(shù)據(jù)量，您可以反復(fù)執(zhí)行（10次以內(nèi)）某查詢語句獲取最終完整的結(jié)果。更多信息，請參見控制臺(tái)提示“查詢結(jié)果不精確”，如何解決？。
日志服務(wù)默認(rèn)存在保留字段。如果您要分析保留字段，請參見保留字段。
基本語法
查詢語句中建議不超過30個(gè)條件。
分析語句默認(rèn)分析當(dāng)前Logstore中的數(shù)據(jù)，不需要填寫FROM子句和WHERE子句。
分析語句不支持使用offset，不區(qū)分大小寫，末尾不需要加分號。
查詢語句和分析語句以豎線|分割。查詢語句可單獨(dú)使用，分析語句必須與查詢語句一起使用。即分析功能是基于查詢結(jié)果或全量數(shù)據(jù)進(jìn)行的。
查詢語句|分析語句類型 | 說明 |
查詢語句 | 查詢語句用于指定日志查詢時(shí)的過濾規(guī)則，返回符合條件的日志。查詢條件可使用關(guān)鍵詞、數(shù)值、數(shù)值范圍、空格、星號（*）等。 如果為空格或星號（*），表示無過濾條件。更多信息，請參見查詢語法。 |
分析語句 | 對查詢結(jié)果或全量數(shù)據(jù)進(jìn)行計(jì)算和統(tǒng)計(jì)。更多信息，請參見使用SPL查詢和分析日志、SQL分析語法與功能。 |
示例
* | SELECT status, count(*) AS PV GROUP BY status查詢與分析結(jié)果如下圖所示：
在Logstore中進(jìn)行實(shí)時(shí)查詢和分析操作，請參見查詢和分析日志。
高級功能
LiveTail：日志服務(wù)在控制臺(tái)提供了日志實(shí)時(shí)監(jiān)控的交互功能LiveTail，針對線上日志進(jìn)行實(shí)時(shí)監(jiān)控分析，減輕運(yùn)維壓力。
日志聚類：在采集日志時(shí)，將相似度高的日志聚合，提取共同的日志模式（Pattern），快速掌握日志全貌。
上下文查詢：通過查看指定日志的上下文信息，您可以在業(yè)務(wù)故障排查中快速查找相關(guān)故障信息，方便定位問題。
字段分析：此功能涵蓋了字段的基本分布情況、各種統(tǒng)計(jì)指標(biāo)以及TOP5的時(shí)間序列圖，為用戶提供了深入的數(shù)據(jù)洞察和可視化工具，便于理解和挖掘。
事件配置：事件配置為原始日志提供可視化、易操作的日志鉆取功能，方便您獲取更詳盡的日志信息。
跨LogStore查詢?nèi)罩荆⊿toreView）：通過StoreView功能，可實(shí)現(xiàn)跨地域、跨Store聯(lián)合查詢。
查詢功能使用限制
限制項(xiàng) | 說明 |
關(guān)鍵詞個(gè)數(shù) | 關(guān)鍵詞查詢時(shí)，除布爾邏輯符外的條件個(gè)數(shù)。每次查詢最多30個(gè)。 |
字段值大小 | 單個(gè)字段值最大為512 KB，超出部分不參與查詢。 如果單個(gè)字段長度大于512 KB，有一定幾率無法通過關(guān)鍵詞查詢到日志，但數(shù)據(jù)仍然是完整的。 |
操作并發(fā)數(shù) | 單個(gè)Project支持的最大查詢操作并發(fā)數(shù)為100個(gè)。 例如100個(gè)用戶同時(shí)在同一個(gè)Project的各個(gè)Logstore中執(zhí)行查詢操作。 |
返回結(jié)果 | 每次查詢時(shí)，每頁最多顯示100條查詢結(jié)果，您可翻頁讀取完整的查詢結(jié)果。 |
模糊查詢 | 執(zhí)行模糊查詢時(shí)，日志服務(wù)最多查詢到符合條件的100個(gè)詞，并返回包含這100個(gè)詞并滿足查詢條件的所有日志。更多信息，請參見模糊查詢。 |
查詢結(jié)果排序 | 默認(rèn)按照秒級時(shí)間（如果存在納秒級則以納秒級時(shí)間）從最新開始展示。 |
分析功能使用限制
限制項(xiàng) | 普通實(shí)例 | 獨(dú)享實(shí)例 |
操作并發(fā)數(shù) | 單個(gè)Project支持的最大分析操作并發(fā)數(shù)為15個(gè)。 例如最大支持15個(gè)用戶同時(shí)在一個(gè)Project的各個(gè)Logstore中執(zhí)行分析操作。 | 單個(gè)Project支持的最大分析操作并發(fā)數(shù)為100個(gè)。 例如最大支持100個(gè)用戶同時(shí)在一個(gè)Project的各個(gè)Logstore中執(zhí)行分析操作。 |
數(shù)據(jù)量 | 單個(gè)Shard單次僅支持分析1 GB數(shù)據(jù)。 | 單次分析最大支持掃描2000億行數(shù)據(jù)。 |
開啟模式 | 默認(rèn)開啟。 | 通過開關(guān)開啟。具體操作，請參見開啟SQL獨(dú)享版。 |
費(fèi)用 | 免費(fèi)。 | 根據(jù)實(shí)際使用的CPU時(shí)間付費(fèi)。 |
數(shù)據(jù)生效機(jī)制 | 分析功能只對開啟統(tǒng)計(jì)功能后寫入的數(shù)據(jù)生效。 如果您需要分析歷史數(shù)據(jù)，請對歷史數(shù)據(jù)重建索引。更多信息，請參見重建索引。 | 分析功能只對開啟統(tǒng)計(jì)功能后寫入的數(shù)據(jù)生效。 如果您需要分析歷史數(shù)據(jù)，請對歷史數(shù)據(jù)重建索引。更多信息，請參見重建索引。 |
返回結(jié)果 | 執(zhí)行分析操作后，默認(rèn)最多返回100行數(shù)據(jù)。 如果您需要返回更多數(shù)據(jù)，請使用LIMIT語法。更多信息，請參見LIMIT子句。 | 執(zhí)行分析操作后，默認(rèn)最多返回100行數(shù)據(jù)。 如果您需要返回更多數(shù)據(jù)，請使用LIMIT語法。更多信息，請參見LIMIT子句。 |
字段值大小 | 單個(gè)字段值最大長度為16 KB（16384字節(jié)），超出部分不參與分析。 說明 默認(rèn)支持的字段值最大長度為2048字節(jié)，即2 KB。如果您需要修改字段值的最大長度，可設(shè)置統(tǒng)計(jì)字段（text）最大長度。更新索引設(shè)置只對增量數(shù)據(jù)有效。具體操作，請參見創(chuàng)建索引。 | 單個(gè)字段值最大長度為16 KB（16384字節(jié)），超出部分不參與分析。 說明 默認(rèn)支持的字段值最大長度為2048字節(jié)，即2 KB。如果您需要修改字段值的最大長度，可設(shè)置統(tǒng)計(jì)字段（text）最大長度。更新索引設(shè)置只對增量數(shù)據(jù)有效。具體操作，請參見創(chuàng)建索引。 |
超時(shí)時(shí)間 | 分析操作的最大超時(shí)的時(shí)間為55秒。 | 分析操作的最大超時(shí)的時(shí)間為55秒。 |
Double類型的字段值位數(shù) | Double類型的字段值最多52位。 如果浮點(diǎn)數(shù)編碼位數(shù)超過52位，會(huì)造成精度損失。 | Double類型的字段值最多52位。 如果浮點(diǎn)數(shù)編碼位數(shù)超過52位，會(huì)造成精度損失。 |