Consulta e análise de logs usando um padrão de índice - Simple Log Service: Central de Documentação do Alibaba Cloud

Antes de começar

O Simple Log Service oferece recursos de consulta e análise de logs. Get started with log query and analysis.
Colete logs em um Logstore Standard (Gerencie um logstore). Após crie um índice, as consultas e análises aplicam-se apenas a logs incrementais. Para consultar historical log files, reindex-os.
Para consultar dezenas de bilhões de logs, veja What do I do if the "The results are inaccurate" error message appears in the console?.
O Simple Log Service inclui campos reservados por padrão. Reserved fields descreve como analisá-los.

Consulta e análise

O Simple Log Service permite consultar bilhões de logs em segundos e analisar os resultados com SQL. Uma instrução de pesquisa pode ser executada isoladamente, mas uma instrução analítica deve seguir uma instrução de pesquisa para analisar os resultados da consulta ou o conjunto completo de dados.

Nota

SLS Query Skill for intelligent log query and analysis: O Simple Log Service fornece um Agent Skill para consultar e analisar dados de log do SLS com linguagem natural em um AI Agent local.

Sintaxe básica

Uma consulta consiste em uma instrução de pesquisa e uma instrução analítica opcional, separadas por uma barra vertical (|). A instrução de pesquisa pode ser executada sozinha, mas a instrução analítica deve vir após uma instrução de pesquisa.

Search statement | Analytic statement

Tipo	Descrição
Instrução de pesquisa	Uma instrução de pesquisa especifica regras de filtragem e retorna os logs correspondentes. O formato da consulta é `Instrução de pesquisa`, por exemplo: `status: 200`. As condições de pesquisa incluem palavras-chave, números, intervalos numéricos, espaços e asteriscos (). Um espaço ou asterisco () corresponde a todos os logs. Query syntax and features. Importante Não use mais de 30 condições em uma instrução de pesquisa.
Instrução analítica	Para usar análises, colete logs em um Logstore Standard e ative Enable Analytics para os campos necessários ao configurar o índice. Uma instrução analítica calcula e analisa os resultados da consulta ou o conjunto completo de dados. Funções e sintaxe suportadas: SQL functions: As funções SQL são geralmente usadas para calcular, transformar e formatar dados — somas, médias, operações de string e processamento de datas. SQL clauses: As cláusulas SQL constroem instruções completas de consulta ou manipulação de dados. Elas definem a source de dados, condições, agrupamento, classificação, entre outros. Nested subqueries: Uma subconsulta aninhada é uma instrução SELECT inserida dentro de outro SELECT para análises complexas. Federated query and analysis of Logstore and MySQL data: Execute consultas federadas entre dados de Logstore e MySQL usando a sintaxe `JOIN` e salve os resultados no MySQL. Use SPL to query and analyze logs: Use a SLS Processing Language (SPL) para extrair informações estruturadas, manipular campos e filtrar dados de log. Importante Por padrão, uma instrução analítica analisa os dados no Logstore atual. As cláusulas `FROM` e `WHERE` não são obrigatórias. As instruções analíticas não diferenciam maiúsculas de minúsculas, não suportam o parâmetro `offset` e não exigem ponto e vírgula ao final.

O Simple Log Service fornece arquivos de gramática ANTLR para desenvolver aplicações personalizadas baseadas em consultas SLS.

Arquivos de gramática ANTLR:

Exemplo

* | SELECT status, count(*) AS PV GROUP BY status

Na aba Statistical Chart, os resultados da consulta e da análise aparecem como um gráfico de linhas mostrando a distribuição de PV dos códigos de status HTTP (499, 200, 301, 302, 304, 400). O painel General Configuration à direita permite alternar os tipos de gráfico e configure os campos dos eixos x e y.

Recursos avançados

LiveTail: Monitore logs em tempo real para reduzir a carga de trabalho de O&M.
LogReduce: Extraia padrões de logs semelhantes durante a coleta para obter uma visão geral rápida dos dados de log.
Contextual query: Visualize o contexto do log para solução de problemas.
Field analysis: Consulte a distribuição de campos, métricas estatísticas e os cinco principais gráficos de séries temporais.
Event configuration: Configure eventos para extrair detalhes dos logs brutos.
StoreView overview: Use o StoreView para execute consultas federadas entre regiões e stores.

Limites de consulta

Item	Descrição
Número de palavras-chave	Até 30 condições por consulta, excluindo operadores lógicos.
Tamanho do valor do campo	Tamanho máximo de um único valor de campo: 512 KB. O conteúdo que exceder esse limite não será indexado. Logs com valores de campo superiores a 512 KB podem não aparecer em pesquisas por palavras-chave, mas os dados do log permanecem intactos. Nota Para configure o comprimento máximo do valor do campo, consulte Why are field values truncated during query and analysis?
Operações simultâneas	Um único projeto suporta até 100 consultas simultâneas. Por exemplo, 100 usuários podem consultar diferentes Logstores no mesmo projeto simultaneamente.
Resultados retornados	Até 100 resultados por página. Navegue pelas páginas para visualize todos os resultados.
Pesquisa aproximada	Durante uma pesquisa aproximada, o Simple Log Service corresponde a até 100 termos e retorna logs contendo esses termos que atendem aos critérios de pesquisa. Fuzzy search.
Classificação de resultados	Os resultados são classificados por tempo em ordem decrescente, com precisão de segundos ou nanossegundos.

Limites

Limite	Instância de uso geral	SQL Dedicado
Limite	Instância de uso geral	Aprimoramento SQL	Precisão Total
Simultaneidade	Até 15 consultas simultâneas por projeto.	Até 100 consultas simultâneas por projeto.	Até 5 consultas simultâneas por projeto.
Volume de dados	Até 400 MB por consulta (excluindo dados em cache). O excesso de dados é truncado com um marcador de resultado de consulta incompleto.	Até 2 GB por consulta (excluindo dados em cache). O excesso de dados é truncado com um marcador de resultado de consulta incompleto.	Ilimitado.
Ativação do modo	Ativado por padrão.	Ative pelo botão de alternância. SQL enhancement.	Ative pelo botão de alternância. SQL complete accuracy.
Custo	Gratuito.	Cobrado com base no tempo real de CPU utilizado.	Cobrado com base no tempo real de CPU utilizado.
Efetividade dos dados	Aplica-se apenas aos dados gravados após a ativação do recurso. Para analisar dados históricos, reindex os dados.	Aplica-se apenas aos dados gravados após a ativação do recurso. Para analisar dados históricos, reindex os dados.	Aplica-se apenas aos dados gravados após a ativação do recurso. Para analisar dados históricos, reindex os dados.
Retorno de resultados	Por padrão, uma consulta retorna até 100 linhas e 100 MB. Consultas que excedem 100 MB retornam um erro. Para retornar mais dados, use a LIMIT clause.	Por padrão, uma consulta retorna até 100 linhas e 100 MB. Consultas que excedem 100 MB retornam um erro. Para retornar mais dados, use a LIMIT clause.	Por padrão, uma consulta retorna até 100 linhas e 100 MB. Consultas que excedem 100 MB retornam um erro. Para retornar mais dados, use a LIMIT clause.
Tamanho do valor do campo	O comprimento máximo padrão do valor do campo é de 2 KB (2.048 bytes), configurável até 16 KB (16.384 bytes). O conteúdo que exceder o limite é excluído da análise e da recuperação. Nota Para alterar o limite, defina Maximum Length of Text Field. A configuração atualizada aplica-se apenas a dados incrementais. Crie um índice.	O comprimento máximo padrão do valor do campo é de 2 KB (2.048 bytes), configurável até 16 KB (16.384 bytes). O conteúdo que exceder o limite é excluído da análise e da recuperação. Nota Para alterar o limite, defina Maximum Length of Text Field. A configuração atualizada aplica-se apenas a dados incrementais. Crie um índice.	O comprimento máximo padrão do valor do campo é de 2 KB (2.048 bytes), configurável até 16 KB (16.384 bytes). O conteúdo que exceder o limite é excluído da análise e da recuperação. Nota Para alterar o limite, defina Maximum Length of Text Field. A configuração atualizada aplica-se apenas a dados incrementais. Crie um índice.
Tempo limite	Tempo limite máximo: 55 segundos.	Tempo limite máximo: 55 segundos.	Tempo limite máximo: 55 segundos.
Número de bits para valores de campo do tipo double	Máximo de 52 bits para valores de campo do tipo double. Números de ponto flutuante codificados com mais de 52 bits perdem precisão.	Máximo de 52 bits para valores de campo do tipo double. Números de ponto flutuante codificados com mais de 52 bits perdem precisão.	Máximo de 52 bits para valores de campo do tipo double. Números de ponto flutuante codificados com mais de 52 bits perdem precisão.

Simple Log Service:Consulta e análise baseadas em índice

Antes de começar