文档

查询和分析日志

更新时间:

创建索引后,您可以在查询和分析页面对采集到的日志进行实时查询和分析。

前提条件

创建索引。如果您要分析日志,则需创建字段索引开启统计

操作视频

您可以参见如下视频完成查询和分析操作。

步骤一:输入查询和分析语句

  1. 登录日志服务控制台

  2. 在Project列表区域,单击目标Project。

  3. 日志存储 > 日志库页签中,单击目标Logstore。

  4. 可选:默认情况下,打开查询和分析页面时,系统会自动执行一次查询操作,展示查询结果。您可以单击页面右上角的设置图标,在查询设置页签下,关闭该功能或设置查询时间。

    image.png

  5. 输入查询语句或分析语句。

    • 查询语句用于日志数据的查看、简单搜索和过滤。用户使用查询语句,通过特定条件(例如时间范围、请求类型、关键字等)筛选出感兴趣的数据集。查询语句可以单独使用,语法说明请参见查询语法

    • 分析语句用于对日志数据进行过滤、转换、统计、聚合等操作,例如统计一段时间内数据的平均值、获取数据的同比和环比结果。分析语句必须配合查询语句一起使用,格式为查询语句|分析语句,语法说明请参见函数概览

    • 使用Data Explorer,用户可以简单、快速地构建查询和分析语句,无需编写SQL代码。具体操作,请参见通过Data Explorer构建查询和分析语句

  6. 设置日志数据的时间范围。有以下三种设置方式,如果在分析语句中设置了时间范围,则查询分析结果以该时间范围为准。

    重要

    执行查询和分析语句后,默认只返回100行。如果您希望返回更多数据,可使用LIMIT语法。更多信息,请参见LIMIT子句

    • 在页面顶端的下拉列表中,选择时间范围例如最近15分钟

    • 分析语句中通过__time__字段指定时间范围(闭合区间),例如* | SELECT * FROM log WHERE __time__>1558013658 AND __time__< 1558013660

    • 分析语句中指定时间时,使用from_unixtime函数to_unixtime函数转换时间格式。例如:

      • * | SELECT * FROM log WHERE from_unixtime(__time__) > from_unixtime(1664186624) AND from_unixtime(__time__) < now()

      • * | SELECT * FROM log WHERE __time__ > to_unixtime(date_parse('2022-10-19 15:46:05', '%Y-%m-%d %H:%i:%s')) AND __time__ < to_unixtime(now())

步骤二:查看查询和分析结果

直方图

分布直方图

  • 将鼠标悬浮在绿色数据块上时,您可以查看该数据块代表的时间范围和日志命中次数。

  • 双击绿色数据块,您可以查看更细时间粒度的日志分布,同时原始日志页签中将同步展示指定时间范围内的查询结果。

原始日志

单击原始日志页签,查看日志查询和分析结果。

image.png

序号

说明

1

单击表格原始,切换日志格式。

2

  • image.png:复制日志内容。

  • image.png:SLS Copilot,基于日志内容总结信息、查找错误信息等。

  • 查询日志-004:查看指定日志在原始文件中的上下文信息。只有通过Logtail采集到的日志才支持上下文浏览功能。具体操作,请参见上下文查询

  • LiveTail:实时监控日志内容,提取关键日志信息。只有通过Logtail采集到的日志才支持LiveTail功能。 具体操作,请参见LiveTail

3

  • 下载日志:支持选择下载范围和下载工具。具体操作,请参见下载日志

  • image.png>JSON设置:设置JSON展示类型和展示级别。

  • image.png>事件配置:为原始日志配置事件

4

  • image.png:收藏视图。在区域5设置显示字段后,可以收藏显示视图。在区域4上方的下拉列表选择视图。

  • image.png>tag设置:将字段设置为系统Tag。

    Tag

  • image.png>别名:开启后,字段名称将被别名替换,未设置别名的字段仍展示字段名称。设置字段别名的步骤,请参见创建索引

5

  • 显示字段区域,单击目标字段后的image.png,将索引字段从显示字段中清除,在右侧的日志信息中不再显示。

  • 索引字段区域,单击目标字段后的image.png,将字段添加到显示字段中,在右侧的日志信息中显示。

  • image.png:查看字段的基本分布情况统计指标等信息。具体操作,请参见快速分析

可选步骤

image.png

统计图表

执行查询和分析语句后,您可以在统计图表页签中查看可视化的查询和分析结果。

  • 查看查询和分析结果:统计图表是日志服务根据查询与分析语句渲染出的结果。日志服务提供表格、线图、柱状图等多种图表类型。目前,统计图表包括Pro版本和普通版本。具体操作,请参见统计图表(Pro版本)概述统计图表概述

  • 添加图表到仪表盘:仪表盘是日志服务提供的实时数据分析大盘。单击添加到仪表盘,将查询和分析结果以图表形式保存到仪表盘中。具体操作,请参见可视化概述

  • 设置交互事件:交互事件是数据分析中不可缺少的功能之一,通过改变数据维度的层次、变换分析的粒度从而获取数据中更详尽的信息。具体操作,请参见交互事件

  • 创建定时SQL任务:日志服务提供定时SQL功能,用于定时分析数据、存储聚合数据、投影与过滤数据。具体操作,请参见定时SQL

日志聚类

日志聚类页签中,单击开启日志聚类,可实现在采集日志时聚合相似度高的日志。具体操作,请参见日志聚类

image.png

SQL增强

当您在使用SQL分析时,如果数据量较大,日志服务无法在一次查询中完整分析这个时间段内的所有日志。通过开启SQL独享版,增加计算资源,可以提升单次分析的数据量。更多信息,请参见开启SQL独享版

Scan扫描

在某些场景下无法创建索引、没有创建索引,但仍需要查询或分析日志,可以使用扫描功能。更多信息,请参见扫描(Scan)日志

告警

单击另存为告警图标,为查询和分析结果设置告警。具体操作,请参见快速设置日志告警

快速查询

单击快速查询图标,将某一查询和分析语句保存为快速查询。具体操作,请参见快速查询

分享

单击image.png图标,复制本页面链接,分享给其他用户。

相关文档

  • 本页导读 (1)
文档反馈