AppLogs 查询语言

在查询末尾使用 Count 将返回与查询约束匹配的日志消息总数。

logtype="Windows Event Logs" and source CONTAINS "Microsoft-Windows-Security-Auditing" count

结果获取满足上述条件的日志消息数量。

以下搜索将生成一个 groupby 表格，并附有 聚合值的额外列。

例如，当您希望获取 groupby 表格中分组值的聚合结果时，此组合非常有用。

logtype="IIS Access Logs" AVG(timetaken) MIN(timetaken) MAX(timetaken) groupby stemuri

在此查询中，将显示不重复 stemuri 的 Min、Max、Avg 和 Count。

•  组合使用 timeslice 和聚合

以下搜索将生成一个 timeslice 表格，并附有 聚合值的额外列。

例如，当您希望按时间维度获取聚合结果时，可以使用此组合。

logtype="IIS Access Logs" AVG(timetaken) MIN(timetaken) MAX(timetaken) timeslice 1h

在此查询中，将显示按一小时时间切片的 Min、Max、Avg 和 Count。

• 组合使用 groupby 和 timeslice

以下搜索将生成一个 timeslice 表格，并附有 groupby 值的额外列。从左到右，各列依次为：timeslice、count 和值。

例如，当您希望同时对结果进行时间切片和按给定约束分组时，可以在查询中同时使用 groupby 和 timeslice。

logtype="SysLogs" groupby application timeslice 1d

在此查询中，将显示按天时间切片且"application"字段具有相同值的日志条目数量。

• 多重 groupby

以下搜索将生成一个包含多个 groupby 选项的表格。

例如，当您有多个 groupby 选项时，可以使用逗号分隔的 groupby，从而在单个表格中整合并查看多层次分组结果。

logtype="ServerLogs" groupby sourcefilename,loglevel,threadname

在此查询中，多个 groupby 条件被组合在一起。

• Include（包含字段）

在搜索查询中使用 Include 将只显示指定字段的搜索结果。

logtype="SysLogs" | include(application,message)

在此查询中，搜索输出将连同 application、message 一起显示。

• Exclude（排除字段）

在搜索查询中使用 Exclude 将在搜索结果中省略指定字段。

logtype="SysLogs" | exclude(pid)

在此查询中，搜索输出将不显示 pid 字段。

• Before（之前）

使用此运算符，您可以查看一小时、一天或一周前同一时间点的查询结果。

例如，当您希望获取给定查询在某一时间之前的结果时，请使用 before。

logtype="Apache Access Logs" avg(responsesize) | before 7d

该查询将获取一周前同一时间点的 avg(responsesize)。

• Timeslice with before（时间切片与之前）

在查询中使用此功能，您可以按频繁的时间间隔比较一小时、一天或一周前同一时间点的查询结果。

例如，当您希望按指定频率比较上周同一天的状态码趋势时，可以将 timeslice 与 before 结合使用。

logtype="IIS Access Logs" and statuscode>400 timeslice 1h | before 7d

该查询将按一小时间隔获取一周前同一时间点的状态码 > 400。

• Count with before（计数与之前）

在查询中使用此功能，您可以比较一小时、一天或一周前同一时间点的查询结果计数。

例如，当您希望比较上周同一天的失败状态码数量时，可以将 count 与 before 结合使用。

logtype="IIS Access Logs" and statuscode>200 count | before 7d

该查询将获取一周前同一时间点的失败状态码。

• Having（条件过滤）

使用此运算符，您可以对 groupby 查询应用条件并获取所需的输出结果。

logtype="Apache Access Logs" groupby requesturi having avg(responsesize)>10240

该查询获取 avg(responsesize)>10240 的 requesturi 输出结果。

• Sort（排序）

根据某些字段对请求进行排序。

例如，当您希望根据某些值对结果进行整理或分类时，可以使用 sort。

logtype="Apache Access Logs" groupby requesturi sort avg(responsesize)

该查询获取按 avg(responsesize) 值排序的 requesturi 输出结果。

• STARTSWITH（以……开头）

返回以给定搜索条件开头的值。其结果类似于在末尾使用星号（*）的 LIKE 查询，即搜索 STARTSWITH "Log" 类似于搜索 LIKE "Log*"。

logtype="Windows Event Logs" and source STARTSWITH "Micro"

该查询获取所有以"Micro"开头的来源的结果。

• LIKE（模糊匹配）

区分大小写，允许在值中使用星号作为通配符。
例如，LIKE "Log*n" 将同时匹配 Logon 和 Login。

logtype="Windows Event Logs" and source LIKE "Microsoft*Auditing"

该查询获取来源包含 Microsoft Security Auditing、Microsoft Windows Auditing 等的所有结果。

• in（在集合中）

类似于对多个值使用 'or' 与 '='，集合中的所有值都将被比较。
例如，Status in("200","404","500") 等同于 (status="200" or status="404" or status="500")。

logtype="Apache Access Logs" and referer in("Refer 2, "Refer 1")

此查询获取类似于 (referer="Refer 2" or referer="Refer 1") 的结果。

• notin（不在集合中）

类似于对多个值使用 'and' 与 '!='，集合中的所有值都将被比较。
例如，status notin("200","404","500") 等同于 (status!="200" and status!="404" and status!="500")。

logtype="Apache Access Logs" and referer notin("Refer 2, "Refer 1")

此查询获取类似于 (referer!="Refer 2" or referer!="Refer 1") 的结果。

• histo（直方图）

为数值字段生成直方图。类似于 groupby，但返回的是值的范围而非共同值。

logtype="Apache Access Logs" histo responsesize 

该查询根据响应大小生成直方图。

注意：

您也可以将 histogram 与 groupby 结合使用，以进一步对日志数据进行分区和分析。

例如：

logtype="Apache Access Logs" histo responsesize groupby requesturi

该查询按计数对 requesturi 进行分组，histo 则根据响应大小进行分类。

logtype="Apache Access Logs" groupby requesturi histo responsesize

该查询按响应大小的直方图对请求进行分组，并根据计数对 URL 进行分组。

• range（范围）

用于从直方图中获取自定义范围。range 只能在 histo 之后使用。

例如，status notin("200","404","500") 等同于 (status!="200" and status!="404" and status!="500")。

logtype="Apache Access Logs" histo responsesize range(3800 to 4000,4200 to 4400)

该查询获取指定自定义范围值的直方图。

• range interval（范围间隔）

用于从直方图中获取自定义时间间隔的结果。range interval 只能在 histo 之后使用。

例如，在直方图字段后指定范围间隔时，将获取自定义时间间隔的直方图。

logtype="Apache Access Logs" histo timetaken 1s

该查询获取 1s 自定义时间间隔的直方图。

• top（最新值）

将 top 与 groupby 查询结合使用，可从分组元素中提取最新值。通过 top 查询，您可以从日志中检索重要指标。

 logtype="IIS Access Logs" top(ServerIP,stemuri,clientip) groupby Methodname

通过上述查询，您可以获取各种主题状态的最新值，例如主题偏移量和延迟计数。

• limit（限制结果数）
  

与 groupby 查询结合使用，可显示超过默认十条的分组元素结果。调整 limit 值以获取所需数量的结果。默认情况下，groupby 查询将返回前 10 条结果。要获取更多结果，需要使用 limit N。N 的最大允许值为 1000。

logtype="Infrastructure Events" groupby SourceName limit 30

通过上述查询，您可以检索按来源名称分类的最多 30 条日志条目。

• percentage（百分比）

使用 percentage 从日志中获取一般统计信息。您可以通过以下查询查找失败请求的百分比。

logtype="IIS Access Logs" and statuscode>=400 percentage

• percentile and percents（百分位数与百分数）

使用 percentile 和 percent 可更准确地解读性能数据。

logtype="IIS Access Logs" percentile(TimeTaken percents(95))

通过上述查询，您可以查找请求处理时间的第 95 百分位数。

• 组合使用 percentile、timeslice 和聚合

以下搜索将生成一个趋势图，同时将平均值和百分位数值显示为趋势线。聚合百分位 timeslice 查询提供在特定时间间隔内聚合的百分位数值。

例如，当您希望按时间维度比较平均值和百分位数结果时，可以使用此组合。

logtype="IIS Access Logs" avg(TimeTaken) percentile(TimeTaken) percents(99) timeslice 15m

not（排除）：

返回从查询结果中排除特定结果后的值。

logtype="Windows Event Log" and level!="Information" not (computername like "*PRODUCTION01*" or computername like "*production1*") groupby computername

该查询获取 Windows Event Log 中级别不为"Information"且计算机名称不包含"PRODUCTION01"或"production1"的所有日志条目。

最近搜索：

您可以从最近搜索历史记录中重复使用之前的搜索，而无需每次重新输入。请按以下步骤查看：

1. 1. 点击搜索框中的  图标。
   2. 您可以在已保存的搜索下方查看最近的搜索查询。您还可以保存搜索查询以供将来使用。
      
      
      

自动值建议

借助自动值建议功能，您可以使用最相关的字段值实时动态调整和修改查询。系统会自动为每个字段推荐多达一千个频繁出现的值，从而实现更精准的过滤和高效的故障排除。

要使用自动值建议，请按照以下简单步骤操作：

1. 导航到 AppLogs 标签页。
2. 输入搜索查询（例如 logtype="Automation Logs"）。
3. 输入时，系统将自动建议字段名称及其字段值。

字段浏览器 

通过字段浏览器中的字段值调整搜索结果，实时修改查询。您可以按照以下简单步骤操作：

1. 导航到 AppLogs 标签页。

2. 输入搜索查询（例如 logtype="Nginx Access Logs"）。

3. 日志结果显示后，从日志输出表格的左侧访问字段浏览器，以查看字段列表和日志结果的前五个值。

   

相关文章：

• 支持的日志类型
• 保存搜索查询
• 使用日志模板按模式相似性对消息进行聚类
• AppLogs 告警
• 导出和分享日志

延伸阅读

博客：10 个有助于管理日志的过滤模式