Boolesche, Vergleichs-, numerische, Datetime- und andere Funktionen

a + b

Addition

a - b

Subtraktion

a * b

Multiplikation

a / b

Division

a ^ b

Potenzierung. 2 ^ 3 gibt 8 zurück

a % b

Rest oder Modulus. 10 % 3 gibt 1 zurück

=

Gleich

!=

Ungleich

<

Kleiner als

>

Größer als

<=

Kleiner als oder gleich

>=

Größer als oder gleich

abs(a: number)

number

Absoluter Wert

ceil(a: number)

number

Aufrunden (die kleinste ganze Zahl, die größer ist als der Wert von a).

floor(a: number)

number

Abrunden (die größte ganze Zahl, die kleiner ist als der Wert von a).

greatest(a: number, ...numbers: number[])

number

Liefert den größten Wert.

least(a: number, ...numbers: number[])

number

Liefert den kleinsten Wert.

log(a: number)

number

Natürlicher Logarithmus

round(a: number [, d: number])

number

Rundet den Wert vona. Rundet mit einem Argument auf die nächste Ganzzahl. Bei zwei Argumenten wird auf d Dezimalstellen gerundet.

sqrt(a: number)

number

Quadratwurzel

haversine(lat1: number, lon1: number, lat2: number, lon2: number)

number

Berechnet die Großkreisentfernung in Kilometern zwischen zwei geographischen Punkten, die durch Breiten- und Längengrad in Grad angegeben sind.

toNumber(fieldName: string)

number

Konvertiert einen Zeichenfolgenfeldwert in einen numerischen Wert.

toInt(fieldName: string)

number

Konvertiert einen Feldwert in eine Ganzzahl (32-Bit).

toLong(fieldName: string)

number

Konvertiert einen Feldwert in eine lange Ganzzahl (64 Bit).

toDouble(fieldName: string)

number

Konvertiert einen Feldwert in eine Gleitkommazahl mit doppelter Genauigkeit.

bin(period: Period)

Zeitstempel

Rundet den Wert von @timestamp auf den angegebenen Zeitraum und kürzt ihn dann. bin(5m) rundet beispielsweise den Wert von @timestamp auf die nächstgelegenen fünf Minuten.

So können mehrere Protokolleinträge in einer Abfrage gruppiert werden. Im folgenden Beispiel wird die Anzahl von Ausnahmen pro Stunde zurückgegeben:

filter @message like /Exception/ 
    | stats count(*) as exceptionCount by bin(1h)
    | sort exceptionCount desc

Für die Funktion bin werden folgende Zeiteinheiten und Abkürzungen unterstützt. Alle Einheiten und Abkürzungen, die mehr als ein Zeichen enthalten, können durch Hinzufügen von „s“ pluralisiert werden. Somit kann sowohl hr als auch hrs verwendet werden, um Stunden anzugeben.

datefloor(timestamp: Timestamp, period: Period)

Zeitstempel

Kürzt den Zeitstempel auf den angegebenen Zeitraum. Zum Beispiel kürzt datefloor(@timestamp, 1h) alle Werte von @timestamp auf die letzte volle Stunde.

dateceil(timestamp: Timestamp, period: Period)

Zeitstempel

Rundet den Zeitstempel auf den angegebenen Zeitraum auf und kürzt ihn dann. Zum Beispiel kürzt dateceil(@timestamp, 1h) alle Werte von @timestamp auf die nächste volle Stunde.

fromMillis(fieldName: number)

Zeitstempel

Interpretiert das Eingabefeld als die Anzahl der Millisekunden seit der Unix-Epoche und konvertiert es in einen Zeitstempel.

toMillis(fieldName: Timestamp)

number

Konvertiert den im benannten Feld gefundenen Zeitstempel in eine Zahl, die die Millisekunden seit der Unix-Epoche darstellt. Beispiel: toMillis(@timestamp) konvertiert den Zeitstempel 2022-01-14T13:18:031.000-08:00 zu 1642195111000.

now()

number

Gibt den Zeitpunkt zurück, zu dem die Abfrageverarbeitung gestartet wurde, in Epochensekunden. Diese Funktion benötigt keine Argumente.

Sie können dies verwenden, um Ihre Abfrageergebnisse nach der aktuellen Uhrzeit zu filtern.

Die folgende Abfrage gibt beispielsweise alle 4xx-Fehler der letzten zwei Stunden zurück:

parse @message "Status Code: *;" as statusCode\n 
| filter statusCode >= 400 and statusCode <= 499  \n 
| filter toMillis(@timestamp) >= (now() * 1000 - 7200000)

Das folgende Beispiel gibt alle Logeinträge der letzten fünf Stunden zurück, die entweder das Wort error oder enthalten failure

fields @timestamp, @message 
| filter @message like /(?i)(error|failure)/ 
| filter toMillis(@timestamp) >= (now() * 1000 - 18000000)

parseDate(fieldName: string, format: string [, timezone: string])

number

Analysiert eine Datumszeichenfolge mithilfe eines Java-Musters in Millisekunden. DateTimeFormatter Das optionale timezone Argument gibt die Zeitzone an, die für das Parsen verwendet werden soll.

Beispiel: fields parseDate(field, "yyyy-MM-dd", "UTC") as epoch

formatDate(timestamp: LogField, format: string [, timezone: string])

Zeichenfolge

Formatiert einen Zeitstempel mithilfe einer Formatzeichenfolge im strftime-Stil. Auch als Alias verfügbar. strftime Das optionale timezone Argument gibt die Zeitzone für die Formatierung an.

Beispiel: fields formatDate(@timestamp, "%Y-%m-%d", "UTC") as date

ispresent(fieldName: LogField)

Boolesch

Gibt true zurück, wenn das Feld existiert.

coalesce(fieldName: LogField, ...fieldNames: LogField[])

LogField

Liefert den ersten Nicht-Null-Wert aus der Liste.

case(cond1, val1, cond2, val2, ..., [default])

LogField

Wertet die Bedingungen der Reihe nach aus und gibt den Wert für die erste wahre Bedingung zurück. Wenn keine Bedingung erfüllt ist und eine Standardeinstellung angegeben ist, wird die Standardeinstellung zurückgegeben. Unterstützt bis zu 10 Zweige.

if(condition: Boolean, trueValue: LogField, falseValue: LogField)

LogField

Wertet eine Bedingung aus und gibt zurück, trueValue ob die Bedingung wahr ist oder falseValue nicht.

isNumeric(fieldName: LogField)

Boolesch

Gibt zurücktrue, ob der Feldwert als Zahl geparst werden kann.

Beispiel: filter isNumeric(@duration)

messageSize(fieldName: LogField)

number

Gibt die Bytelänge eines Zeichenkettenfeldes zurück.

Beispiel: fields messageSize(@message) as size

queryStartTime()

number

Gibt die Startzeit des Abfragefensters als Epochen-Millisekunden zurück.

queryEndTime()

number

Gibt die Endzeit des Abfragefensters als Epochen-Millisekunden zurück.

queryTimeRange()

number

Gibt die Dauer des Abfragefensters in Millisekunden zurück.

jsonParse(fieldName: string)

Karte | Liste | Leer

Gibt eine Map oder Liste zurück, wenn die Eingabe eine Zeichenfolgendarstellung eines JSON-Objekts oder eines JSON-Arrays ist. Gibt einen leeren Wert zurück, wenn die Eingabe nicht zur Repräsentation gehört.

jsonStringify(fieldName: Map | List)

Zeichenfolge

Gibt eine JSON-Zeichenfolge aus Karten- oder Listendaten zurück.

jsonArraySize(fieldName: LogField)

number

Gibt die Elementanzahl eines JSON-Array-Zeichenfolgenfeldes zurück.

Beispiel: fields jsonArraySize(Operation) as arrayLen

jsonArrayContains(fieldName: LogField, value: string)

Boolesch

Gibt true (1) zurück, wenn das JSON-Array im Feld den angegebenen Wert enthält. Gibt false (0) für ein ungültiges JSON-Format, kein Array oder ein leeres Array zurück. Verwendet einen Vergleich zwischen Groß- und Kleinschreibung.

Beispiel: filter jsonArrayContains(@roles, "admin")

isValidIp(fieldName: string)

boolesch

Gibt true zurück, wenn das Feld eine gültige IPv4- oder IPv6-Adresse ist.

isValidIpV4(fieldName: string)

boolesch

Gibt true zurück, wenn das Feld eine gültige IPv4-Adresse ist.

isValidIpV6(fieldName: string)

boolesch

Gibt true zurück, wenn das Feld eine gültige IPv6-Adresse ist.

isIpInSubnet(fieldName: string, subnet: string)

boolesch

Gibt true zurück, wenn das Feld eine gültige IPv4- oder IPv6-Adresse innerhalb des angegebenen IPv4- oder IPv6-Subnetzes ist. Verwenden Sie bei der Angabe des Subnetzes die CIDR-Notation wie 192.0.2.0/24 oder 2001:db8::/32, wobei 192.0.2.0 oder 2001:db8:: der Anfang des CIDR-Blocks ist.

isIpv4InSubnet(fieldName: string, subnet: string)

boolesch

Gibt true zurück, wenn das Feld eine gültige IPv4-Adresse innerhalb des angegebenen v4-Subnetzes ist. Verwenden Sie bei der Angabe des Subnetzes die CIDR-Notation wie 192.0.2.0/24, wobei 192.0.2.0 der Anfang des CIDR-Blocks ist.

isIpv6InSubnet(fieldName: string, subnet: string)

boolesch

Gibt true zurück, wenn das Feld eine gültige IPv6-Adresse innerhalb des angegebenen v6-Subnetzes ist. Verwenden Sie bei der Angabe des Subnetzes die CIDR-Notation wie 2001:db8::/32, wobei 2001:db8:: der Anfang des CIDR-Blocks ist.

ipv4ToNumber(fieldName: string)

number

Konvertiert eine IPv4-Adresszeichenfolge in ihre numerische Darstellung.

isPrivateIP(fieldName: string)

boolesch

Gibt zurücktrue, ob sich die IP-Adresse in einem privaten Bereich befindet (RFC 1918).

isPublicIP(fieldName: string)

boolesch

Gibt zurücktrue, ob die IP-Adresse öffentlich routbar ist.

isReservedIP(fieldName: string)

boolesch

Gibt zurücktrue, ob sich die IP-Adresse in einem reservierten Bereich befindet.

isempty(fieldName: string)

Zahl

Gibt 1 zurück, wenn das Feld fehlt oder eine leere Zeichenkette ist.

isblank(fieldName: string)

Zahl

Gibt 1 zurück, wenn das Feld fehlt, eine leere Zeichenkette ist oder nur Leerzeichen enthält.

concat(str: string, ...strings: string[])

Zeichenfolge

Verkettet die Zeichenketten.

ltrim(str: string)

ltrim(str: string, trimChars: string)

Zeichenfolge

Wenn die Funktion kein zweites Argument hat, entfernt sie die Whitespaces von der linken Seite der Zeichenfolge. Wenn die Funktion ein zweites Zeichenfolgen-Argument hat, entfernt sie keine Whitespaces. Stattdessen entfernt sie die Zeichen in trimChars links von str. Beispielsweise gibt ltrim("xyZxyfooxyZ","xyZ") "fooxyZ" zurück.

rtrim(str: string)

rtrim(str: string, trimChars: string)

Zeichenfolge

Wenn die Funktion kein zweites Argument hat, entfernt sie die Whitespaces von der rechten Seite der Zeichenfolge. Wenn die Funktion ein zweites Zeichenfolgen-Argument hat, entfernt sie keine Whitespaces. Stattdessen entfernt sie die Zeichen von trimChars rechts von str. Beispielsweise gibt rtrim("xyZfooxyxyZ","xyZ") "xyZfoo" zurück.

trim(str: string)

trim(str: string, trimChars: string)

Zeichenfolge

Wenn die Funktion kein zweites Argument hat, entfernt sie die Whitespaces von beiden Seiten der Zeichenfolge. Wenn die Funktion ein zweites Zeichenfolgen-Argument hat, entfernt sie keine Whitespaces. Stattdessen entfernt sie die Zeichen aus trimChars von beiden Seiten von str. Beispielsweise gibt trim("xyZxyfooxyxyZ","xyZ") "foo" zurück.

strlen(str: string)

number

Liefert die Länge der Zeichenkette in Unicode-Codepunkten.

toupper(str: string)

Zeichenfolge

Konvertiert die Zeichenkette in Großbuchstaben.

tolower(str: string)

Zeichenfolge

Konvertiert die Zeichenkette in Kleinbuchstaben.

substr(str: string, startIndex: number)

substr(str: string, startIndex: number, length: number)

Zeichenfolge

Gibt eine Teilzeichenkette aus dem durch das Zahlenargument angegebenen Index bis zum Ende der Zeichenkette zurück. Wenn die Funktion ein zweites Zahlenargument hat, enthält sie die Länge der abzurufenden Teilzeichenkette. Beispielsweise gibt substr("xyZfooxyZ",3, 3) "foo" zurück.

replace(fieldName: string, searchValue: string, replaceValue: string)

Zeichenfolge

Ersetzt alle Instances von searchValue in fieldName: string mit replaceValue.

Beispiel: Die Funktion replace(logGroup,"smoke_test","Smoke") sucht nach Protokollereignissen, bei denen das Feld logGroup den Zeichenfolgenwert smoke_test enthält und den Wert durch die Zeichenfolge Smoke ersetzt.

regexReplace(fieldName: string, pattern: string, replacement: string)

Zeichenfolge

Ersetzt alle Teilzeichenfolgen, die dem regulären Ausdruck pattern entsprechenreplacement, durch. Verwendet die RE2-Regex-Syntax.

strcontains(str: string, searchValue: string)

strcontains(str: string, searchValue: string, caseInsensitive: boolean)

number

Gibt 1 zurück, wenn str searchValue enthält; ansonsten 0. Wenn der dritte Parameter auf gesetzt ist, wird bei der Übereinstimmung nicht zwischen Groß true - und Kleinschreibung unterschieden.

startsWith(str: string, searchValue: string)

number

Gibt 1 zurück, wenn mit str beginnt, searchValue andernfalls 0.

endsWith(str: string, searchValue: string)

number

Gibt 1 zurück, wenn mit searchValue 1 str endet, andernfalls 0.

urlencode(str: string)

Zeichenfolge

URL-encodes die Zeichenfolge.

urldecode(str: string)

Zeichenfolge

URL-decodes die Zeichenfolge.

base64encode(str: string)

Zeichenfolge

Base64-encodes die Zeichenfolge.

base64decode(str: string)

Zeichenfolge

Base64-decodes die Zeichenfolge.

split(str: string, delimiter: string)

Array

Teilt eine Zeichenfolge durch das angegebene Trennzeichen und gibt ein Array von Teilzeichenfolgen zurück.

hexToAscii(value: string)

Zeichenfolge

Konvertiert eine hexadezimale Zeichenfolge in ASCII-Text.

Beispiel: fields hexToAscii("48656c6c6f") as text

hexToDec(value: string)

number

Konvertiert eine hexadezimale Zeichenfolge in eine Dezimalzahl.

Beispiel: fields hexToDec("0xff") as dec

decToHex(value: number)

Zeichenfolge

Konvertiert eine dezimale Ganzzahl in eine hexadezimale Zeichenfolge in Kleinbuchstaben mit Präfix. 0x Negative Zahlen erzeugen ein -0x Präfix. Non-integers sind gekürzt.

Beispiel: fields decToHex(255) as hex