Boolesche, Vergleichs-, numerische, Datetime- und andere Funktionen

a + b

Addition

a - b

Subtraktion

a * b

Multiplikation

a / b

Division

a ^ b

Potenzierung. 2 ^ 3 gibt 8 zurück

a % b

Rest oder Modulus. 10 % 3 gibt 1 zurück

=

Gleich

!=

Ungleich

<

kleiner als

>

größer als

<=

kleiner als oder gleich

>=

größer als oder gleich

abs(a: number)

Zahl

Absoluter Wert

ceil(a: number)

Zahl

Aufrunden (die kleinste ganze Zahl, die größer ist als der Wert von a).

floor(a: number)

Zahl

Abrunden (die größte ganze Zahl, die kleiner ist als der Wert von a).

greatest(a: number, ...numbers: number[])

Zahl

Liefert den größten Wert.

least(a: number, ...numbers: number[])

Zahl

Liefert den kleinsten Wert.

log(a: number)

Zahl

Natürlicher Logarithmus

sqrt(a: number)

Zahl

Quadratwurzel

bin(period: Period)

Zeitstempel

Rundet den Wert von @timestamp auf den angegebenen Zeitraum und kürzt ihn dann. bin(5m) rundet beispielsweise den Wert von @timestamp auf die nächstgelegenen fünf Minuten.

So können mehrere Protokolleinträge in einer Abfrage gruppiert werden. Im folgenden Beispiel wird die Anzahl von Ausnahmen pro Stunde zurückgegeben:

filter @message like /Exception/ 
    | stats count(*) as exceptionCount by bin(1h)
    | sort exceptionCount desc

Für die Funktion bin werden folgende Zeiteinheiten und Abkürzungen unterstützt. Alle Einheiten und Abkürzungen, die mehr als ein Zeichen enthalten, können durch Hinzufügen von „s“ pluralisiert werden. Somit kann sowohl hr als auch hrs verwendet werden, um Stunden anzugeben.

datefloor(timestamp: Timestamp, period: Period)

Zeitstempel

Kürzt den Zeitstempel auf den angegebenen Zeitraum. Zum Beispiel kürzt datefloor(@timestamp, 1h) alle Werte von @timestamp auf die letzte volle Stunde.

dateceil(timestamp: Timestamp, period: Period)

Zeitstempel

Rundet den Zeitstempel auf den angegebenen Zeitraum auf und kürzt ihn dann. Zum Beispiel kürzt dateceil(@timestamp, 1h) alle Werte von @timestamp auf die nächste volle Stunde.

fromMillis(fieldName: number)

Zeitstempel

Interpretiert das Eingabefeld als die Anzahl der Millisekunden seit der Unix-Epoche und konvertiert es in einen Zeitstempel.

toMillis(fieldName: Timestamp)

Zahl

Konvertiert den im benannten Feld gefundenen Zeitstempel in eine Zahl, die die Millisekunden seit der Unix-Epoche darstellt. Beispiel: toMillis(@timestamp) konvertiert den Zeitstempel 2022-01-14T13:18:031.000-08:00 zu 1642195111000.

now()

Zahl

Gibt die Uhrzeit in Epochensekunden zurück, zu der die Abfrageverarbeitung gestartet wurde. Diese Funktion akzeptiert keine Argumente.

Sie können dies verwenden, um Ihre Abfrageergebnisse nach der aktuellen Uhrzeit zu filtern.

Die folgende Abfrage gibt beispielsweise alle 4xx-Fehler der letzten zwei Stunden zurück:

parse @message "Status Code: *;" as statusCode\n 
| filter statusCode >= 400 and statusCode <= 499  \n 
| filter toMillis(@timestamp) >= (now() * 1000 - 7200000)

Das folgende Beispiel gibt alle Protokolleinträge der letzten fünf Stunden zurück, die entweder das Wort error oder enthalten failure

fields @timestamp, @message 
| filter @message like /(?i)(error|failure)/ 
| filter toMillis(@timestamp) >= (now() * 1000 - 18000000)

ispresent(fieldName: LogField)

Boolesch

Gibt true zurück, wenn das Feld existiert.

coalesce(fieldName: LogField, ...fieldNames: LogField[])

LogField

Liefert den ersten Nicht-Null-Wert aus der Liste.

jsonParse(fieldName: string)

Karte | Liste | Leer

Gibt eine Map oder Liste zurück, wenn die Eingabe eine Zeichenkettendarstellung eines JSON-Objekts oder eines JSON-Arrays ist. Gibt einen leeren Wert zurück, wenn es sich bei der Eingabe nicht um eine der Repräsentationen handelt.

jsonStringify(fieldName: Map | List)

String

Gibt eine JSON-Zeichenfolge aus einer Karte oder Listendaten zurück.

isValidIp(fieldName: string)

boolesch

Gibt zurücktrue, ob das Feld eine gültige IPv4 IPv6 Oder-Adresse ist.

isValidIpV4(fieldName: string)

boolesch

Gibt zurücktrue, ob das Feld eine gültige IPv4 Adresse ist.

isValidIpV6(fieldName: string)

boolesch

Gibt zurücktrue, ob das Feld eine gültige IPv6 Adresse ist.

isIpInSubnet(fieldName: string, subnet: string)

boolesch

Gibt zurücktrue, ob es sich bei dem Feld um eine gültige IPv4 IPv6 Adresse im angegebenen v4- oder v6-Subnetz handelt. Verwenden Sie bei der Angabe des Subnetzes die CIDR-Notation wie 192.0.2.0/24 oder 2001:db8::/32, wobei 192.0.2.0 oder 2001:db8:: der Anfang des CIDR-Blocks ist.

isIpv4InSubnet(fieldName: string, subnet: string)

boolesch

Gibt zurücktrue, ob das Feld eine gültige IPv4 Adresse innerhalb des angegebenen v4-Subnetzes ist. Verwenden Sie bei der Angabe des Subnetzes die CIDR-Notation wie 192.0.2.0/24, wobei 192.0.2.0 der Anfang des CIDR-Blocks ist.

isIpv6InSubnet(fieldName: string, subnet: string)

boolesch

Gibt zurücktrue, ob das Feld eine gültige IPv6 Adresse innerhalb des angegebenen v6-Subnetzes ist. Verwenden Sie bei der Angabe des Subnetzes die CIDR-Notation wie 2001:db8::/32, wobei 2001:db8:: der Anfang des CIDR-Blocks ist.

isempty(fieldName: string)

Anzahl

Gibt 1 zurück, wenn das Feld fehlt oder eine leere Zeichenkette ist.

isblank(fieldName: string)

Anzahl

Gibt 1 zurück, wenn das Feld fehlt, eine leere Zeichenkette ist oder nur Leerzeichen enthält.

concat(str: string, ...strings: string[])

Zeichenfolge

Verkettet die Zeichenketten.

ltrim(str: string)

ltrim(str: string, trimChars: string)

Zeichenfolge

Wenn die Funktion kein zweites Argument hat, entfernt sie die Whitespaces von der linken Seite der Zeichenfolge. Wenn die Funktion ein zweites Zeichenfolgen-Argument hat, entfernt sie keine Whitespaces. Stattdessen entfernt sie die Zeichen in trimChars links von str. Beispielsweise gibt ltrim("xyZxyfooxyZ","xyZ") "fooxyZ" zurück.

rtrim(str: string)

rtrim(str: string, trimChars: string)

Zeichenfolge

Wenn die Funktion kein zweites Argument hat, entfernt sie die Whitespaces von der rechten Seite der Zeichenfolge. Wenn die Funktion ein zweites Zeichenfolgen-Argument hat, entfernt sie keine Whitespaces. Stattdessen entfernt sie die Zeichen von trimChars rechts von str. Beispielsweise gibt rtrim("xyZfooxyxyZ","xyZ") "xyZfoo" zurück.

trim(str: string)

trim(str: string, trimChars: string)

Zeichenfolge

Wenn die Funktion kein zweites Argument hat, entfernt sie die Whitespaces von beiden Seiten der Zeichenfolge. Wenn die Funktion ein zweites Zeichenfolgen-Argument hat, entfernt sie keine Whitespaces. Stattdessen entfernt sie die Zeichen aus trimChars von beiden Seiten von str. Beispielsweise gibt trim("xyZxyfooxyxyZ","xyZ") "foo" zurück.

strlen(str: string)

Zahl

Liefert die Länge der Zeichenkette in Unicode-Codepunkten.

toupper(str: string)

Zeichenfolge

Konvertiert die Zeichenkette in Großbuchstaben.

tolower(str: string)

Zeichenfolge

Konvertiert die Zeichenkette in Kleinbuchstaben.

substr(str: string, startIndex: number)

substr(str: string, startIndex: number, length: number)

Zeichenfolge

Gibt eine Teilzeichenkette aus dem durch das Zahlenargument angegebenen Index bis zum Ende der Zeichenkette zurück. Wenn die Funktion ein zweites Zahlenargument hat, enthält sie die Länge der abzurufenden Teilzeichenkette. Beispielsweise gibt substr("xyZfooxyZ",3, 3) "foo" zurück.

replace(fieldName: string, searchValue: string, replaceValue: string)

Zeichenfolge

Ersetzt alle Instances von searchValue in fieldName: string mit replaceValue.

Beispiel: Die Funktion replace(logGroup,"smoke_test","Smoke") sucht nach Protokollereignissen, bei denen das Feld logGroup den Zeichenfolgenwert smoke_test enthält und den Wert durch die Zeichenfolge Smoke ersetzt.

strcontains(str: string, searchValue: string)

Zahl

Gibt 1 zurück, wenn str searchValue enthält; ansonsten 0.