Quando você precisa consultar um campo de log que não possui índice ou quando o valor indexado está truncado, a consulta baseada em scan permite pesquisar dados brutos de log diretamente, sem necessidade de configuração de índice.
Como funciona
O Simple Log Service suporta dois modos de consulta:
Consulta baseada em índice: as consultas são executadas em índices de campo pré-construídos. Rápida e econômica para campos consultados regularmente.
Consulta baseada em scan: as consultas fazem varredura dos dados brutos de log diretamente no momento da consulta. Nenhum índice é necessário — o scan lê o conteúdo real do log.
Os dois modos são complementares. Use consultas baseadas em índice para campos de alta frequência onde a velocidade importa, e consultas baseadas em scan para campos onde a indexação é impraticável ou não compensa o custo.
Baixos custos: não são necessários índices, e você não é cobrado pelo tráfego de índice ou armazenamento de índice.
Implementação flexível: você pode especificar tipos de campo com base em seus requisitos de negócios, independentemente de os índices terem sido criados ou os tipos de índice terem sido especificados.
Capacidade de pesquisa otimizada: mais funções são suportadas em comparação com a consulta baseada em índice.
Quando usar a consulta baseada em scan
A consulta baseada em scan aborda cenários que a consulta baseada em índice não pode lidar:
Consultar logs históricos não indexados. Se você optou por não indexar um campo para reduzir custos, ainda pode consultá-lo sob demanda com scan — sem reconstruir o índice.
Valores de campo que excedem o limite de comprimento do índice. Os índices cobrem apenas valores até o comprimento suportado; qualquer coisa além é invisível para a consulta baseada em índice. O scan lê o valor completo.
Nomes de campo dinâmicos ou imprevisíveis. Quando os nomes de campo não são conhecidos antecipadamente, não é possível criar índices com antecedência. O scan permite consultar qualquer campo no momento da consulta sem configuração prévia.
Alterações no tipo de campo. Após a alteração de um tipo de campo, o índice existente pode não corresponder ao novo tipo. O scan ignora o índice e lê os dados brutos diretamente.
Para mais informações sobre o recurso de análise baseada em scan, consulte Sintaxe da análise baseada em scan.
Consulta baseada em índice vs. consulta baseada em scan
|
Dimensão |
Consulta baseada em índice |
Consulta baseada em scan |
|
Configuração de campo |
Índice de campo obrigatório |
Nenhum índice necessário |
|
Velocidade de consulta |
Rápida (usa estruturas de índice pré-construídas) |
Mais lenta (faz varredura dos dados brutos de log no momento da consulta) |
|
Custo |
Taxas de tráfego de índice e armazenamento aplicáveis |
Sem taxas de tráfego de índice ou armazenamento |
|
Melhor para |
Consultas de alta frequência em campos conhecidos |
Consultas ad hoc, campos não indexados, esquemas dinâmicos |
|
Comprimento do valor do campo |
Limitado pelo comprimento do índice |
Lê o valor completo independentemente do comprimento |
|
Flexibilidade de tipo de campo |
Restrita pelo tipo de índice |
Lê dados brutos, não o tipo de índice |