Phrase search - syntax, limitations, and examples - Simple Log Service

La búsqueda de frases encuentra una secuencia exacta de términos en los registros, a diferencia de las consultas tokenizadas estándar.

Descripción general

De forma predeterminada, SLS utiliza consultas tokenizadas. Por ejemplo, abc def coincide con todos los registros que contienen tanto abc como def, sin importar el orden. Para encontrar una secuencia exacta de términos, utilice la búsqueda de frases.

Nota

La búsqueda de frases coincide con la secuencia de tokens generada por la tokenización, no con los caracteres sin procesar de la cadena original. Si un carácter de la frase se configura como delimitador en la configuración del índice, solo se usa para dividir tokens y no se trata como parte del contenido coincidente. Por ejemplo, si las comas, los corchetes y los espacios están configurados como delimitadores, #"aa,bb", #"[aa bb]" y #",aa bb," se analizan como la misma secuencia de tokens aa, bb y devuelven resultados idénticos. Si dichos caracteres no están configurados como delimitadores, o si el campo usa una configuración de tokenización diferente, los resultados pueden variar.

Una búsqueda de frases se ejecuta en dos pasos:

Primero, SLS ejecuta una búsqueda estándar (sin frase). Por ejemplo, #"abc def" ejecuta primero una búsqueda estándar para "abc def".

Nota
Este paso inicial está limitado a 10,000 resultados.
SLS filtra estos resultados para buscar la frase exacta y devuelve las coincidencias finales.

Sintaxis

Nota

SLS Query Skill for intelligent log query and analysis: Consulte y analice datos de registros de SLS en un agente de IA local mediante lenguaje natural.

Búsqueda específica de campo
```
key:#"abc def"
```
Búsqueda de texto completo
```
#"abc def"
```

Limitaciones

Los resultados de la búsqueda de frases solo admiten navegación secuencial de páginas. No se admiten saltos aleatorios entre páginas.
El histograma de distribución de registros muestra los resultados de la búsqueda inicial sin frase, no los resultados finales de la búsqueda de frases.
La búsqueda de frases no se puede combinar con una coincidencia aproximada.
La búsqueda de frases requiere comillas dobles ("").
El operador NOT no es compatible con las instrucciones de búsqueda de frases. Por ejemplo, not #"abc def" es una consulta no válida.
Las instrucciones analíticas no se pueden usar con la búsqueda de frases. Por ejemplo, #"abc" | select *** no es compatible. La función de análisis rápido tampoco está disponible para búsquedas de frases.

Paginación

Cada cambio de página desencadena una nueva búsqueda de frases para recuperar el siguiente conjunto de resultados.

Cada búsqueda de frases procesa hasta 10,000 registros. Una página puede mostrar menos registros que la configuración de Items per page y aun así permitir la navegación a la página siguiente. Esto significa que hubo menos coincidencias que el valor de Items per page en el lote actual de 10,000 registros.

Por ejemplo, con 20,000 registros en total y 100 por página: si una búsqueda de frases devuelve solo 89 registros pero la opción de página siguiente está disponible, significa que solo 89 de los primeros 10,000 registros coincidieron. Al navegar a la página siguiente, se activa una segunda búsqueda de frases en los 10,000 registros restantes.

Ejemplos

Consulte los registros que contienen redo_index/1.
- Una búsqueda sin frase como "redo_index/1" usa el índice de texto completo para coincidir con palabras clave. SLS divide la consulta por el delimitador (/) y devuelve entradas que contienen tokens como redo_index y 1. Esto produce coincidencias imprecisas como /redo_index/318/.../1/... o /redo_index/14912/.../1/....
- La búsqueda de frases #"redo_index/1" coincide con la frase completa redo_index/1. Solo se devuelven los registros que contienen la cadena exacta redo_index/1. El campo de ruta del archivo muestra el segmento completo /redo_index/1/, lo que confirma que la búsqueda de frases conserva el término tal cual.
Consulte los registros que contienen 02/Mar (debug).
- La búsqueda sin frase time_local: 02/Mar usa el índice de texto completo para coincidir con palabras clave.
  
  Los resultados incluyen un registro con valor time_local igual a 01/Mar/2025:15:02:56. Aunque la fecha es 01/Mar, no 02/Mar, esta entrada coincide porque 02 aparece en el componente de hora 15:02:56 y Mar en la fecha. Los tokens coinciden de forma independiente.
- La búsqueda de frases time_local: #"02/Mar" coincide con la frase completa 02/Mar.
  
  Un registro coincidente tiene el valor time_local igual a 02/Mar/2025:23:59:56, que contiene la frase exacta 02/Mar.