华为云用户手册

云日志服务 LTS-SQL SPLIT函数:SPLIT函数语句

SPLIT函数语句语句说明示例参数 split split函数用于通过指定的分隔符拆分字符串，并返回拆分后的子串集合。 split(x, delimiter,[limit]) x：参数值为varchar类型。 delimiter：分隔符。 limit：限制字符串拆分的个数，大于0的整数。 split_part split_part函数通过指定的分隔符拆分字符串，并返回指定索引的内容。 split_part(x, delimiter, part) x：参数值为varchar类型。 delimiter：分隔符。 part：指定要返回字段的索引值。 split_to_map split_to_map函数用于使用指定的第一个分隔符拆分字符串，然后再使用指定的第二个分隔符进行第二次拆分。 split_to_map(x, delimiter01, delimiter02) x：参数值为varchar类型。 delimiter01：分隔符1。 delimiter02：分隔符2。

云日志服务 LTS
云日志服务 LTS-SQL SPLIT函数:示例及说明

示例及说明 split函数将目标字符串按指定字符串分割，limit用于限制分割后的最大单词数，若不填写，则默认全部分割。字段样例 Id：dc1dab7e-b045-4e77-bda4-914d083d1bf7 查询和分析语句 SELECT split(Id,'-'), split(Id,'-',2) 查询和分析结果表1 split函数查询和分析结果 EXPR$0 EXPR$1 ["dc1dab7e","b045","4e77","bda4","914d083d1bf7"] ["dc1dab7e","b045-4e77-bda4-914d083d1bf7"] split_part函数通过指定的分隔符拆分字符串，并返回指定索引的内容字段样例，索引下标从0开始。若索引下标超过分割数量或者为负数，则返回空字符串。字段样例 Id: dc1dab7e-b045-4e77-bda4-914d083d1bf7 查询和分析语句 SELECT split_part(Id,'-',1) 查询和分析结果表2 split_part函数查询和分析结果 EXPR$0 b045 split_to_map函数用于使用指定的第一个分隔符拆分字符串，然后再使用指定的第二个分隔符进行第二次拆分，展示形式为{“KEY1”:”VALUE1”,”KEY2”:”VALUE2”}。无法被二次分割的value值为空。字段样例 Request:request_id:"e3ac4b70c7d244f080d434e300d8065a”;request_time: "1674965051000” 查询和分析语句 SELECT split_to_map(Request,';',':') 查询和分析结果表3 split_to_map函数查询和分析结果 EXPR$0 {"request_id ":"e3ac4b70c7d244f080d434e300d8065a ","request_time":"1674965051000"}

云日志服务 LTS
云日志服务 LTS-SQL JOIN语法:示例

示例有两个表，access表示主机的接入指标包含路径，时延，状态码，host为主机指标包含cpu和内存。通过JOIN可以关联接入和主机指标，查看相同主机的不同维度的指标情况。 LEFT JOIN 查询语句 SELECT "access".__time, "access".host_ip, "access".cost, "host".cpu, "host".memory FROM log "access" LEFT JOIN (select memory,cpu,host_ip from log) host ON "access".host_ip = "host".host_ip 返回结果，总共60条数据。 RIGHT JOIN 查询语句 SELECT "access".__time, "host".host_ip, "access".cost, "host".cpu, "host".memory FROM log "access" RIGHT JOIN (select memory,cpu,host_ip from log) host ON "access".host_ip = "host".host_ip 返回结果，总共60条数据。 INNER JOIN 查询语句 SELECT "access".__time, "host".host_ip, "access".cost, "host".cpu, "host".memory FROM log "access" INNER JOIN (select memory,cpu,host_ip from log) host ON "access".host_ip = "host".host_ip 返回结果，总共45条数据。

云日志服务 LTS
云日志服务 LTS-SQL JOIN语法:语法

语法 select key from t1 LEFT|RIGHT|INNER JOIN t2 on t1.key=t2.key 当前日志服务支持LEFT JOIN、RIGHT JOIN和INNER JOIN三种JOIN子句方式。具体功能如下：表1 JOIN方式说明 LEFT JOIN 以左表（t1）的结果为基础，关联右表（t2）数据。当表名为纯数字时，需要给表名加上双引号转换成字符串。例如：表名是123，JOIN语句中该表应写成“123”。 RIGHT JOIN 以右表（t2）的结果为基础，关联左表（t1）数据。 INNER JOIN 两个表的结果（elb1，elb2）交集数据

云日志服务 LTS
云日志服务 LTS-SQL IP地址函数:IP函数语句

IP函数语句语句说明示例 IPV4_MATCH(address,subnet) 如果subnet属于address的子网地址则返回true，否则返回false。如果 address不是有效的IPv4地址，则返回false。如果 address是整数而不是字符串，则此函数更效率。 SELECT IPV4_MATCH (address,subnet) IPV4_PARSE(address) 将address解析为整数的IPv4地址。如果address是有效的IPv4地址，则它可以被解析。如果address不是有效的IPv4地址，则返回null。 SELECT IPV4_PARSE(address) IPV4_STRINGIFY(address) 将整数address转换为以点分隔的IPv4地址字符串。如果address是有效的IPv4地址的整数，则它可以被解析。如果address不能表示为IPv4地址，则返回null。 SELECT IPV4_STRINGIFY(address)

云日志服务 LTS
云日志服务 LTS-SQL IP地址函数:示例及说明

示例及说明 IPV4_MATCH(address, subnet)函数 IPV4_MATCH函数，如果address属于subnet的子网ip，则返回true，否则返回false。如果address不是有效的IPv4地址，则返回false。如果address 是整数而不是字符串，则此函数具有更高的执行效率。字段样例 Ipv4: 192.168.1.18 查询和分析语句 select IPV4,IPV4_MATCH(Ipv4, '192.168.0.0/16') 查询和分析结果表1 查询和分析结果 IPV4 EXPR$1 192.168.1.18 true IPV4_PARSE(address)/ IPV4_STRINGIFY(address)函数将address解析为整数的IPv4地址。如果address是有效的IPv4地址，则它可以被解析。如果address不是有效的IPv4地址，则返回null。字段样例 Ipv4: 192.168.0.1 Num: 3232235521 查询和分析语句 select IPV4_PARSE(Ipv4), IPV4_STRINGIFY(Num) 查询和分析结果表2 查询和分析结果 EXPR$0 EXPR$1 -1062731775 192.168.0.1

云日志服务 LTS
云日志服务 LTS-SQL IP函数:示例及说明

示例及说明 ip_to_province函数统计请求总数Top3的省份。查询和分析语句 SELECT count(*) AS PV, ip_to_province(client_ip) AS province GROUP BY province ORDER BY PV desc LIMIT 3 查询和分析结果表2 查询和分析结果 PV province 101 广东 83 上海 78 山东 ip_to_country函数统计请求总数的Top3的国家或地区。查询和分析语句 SELECT count(*) AS PV, ip_to_country(client_ip) AS country GROUP BY country ORDER BY PV desc LIMIT 3 查询和分析结果表3 查询和分析结果 PV country 100 中国 76 美国 55 加拿大 ip_to_city函数统计请求总数的Top3的城市。查询和分析语句 SELECT count(*) AS PV, ip_to_city(client_ip) AS city GROUP BY city ORDER BY PV desc LIMIT 3 查询和分析结果表4 查询和分析结果 PV city 109 广州 89 上海 23 西安 ip_to_provider函数统计请求总数的Top3的运营商。查询和分析语句 SELECT count(*) AS PV, ip_to_provider(client_ip) AS provider GROUP BY provider ORDER BY PV desc LIMIT 3 查询和分析结果表5 查询和分析结果 PV provider 115 电信 65 att.com 44 联通 ip_to_geo函数根据传入的ip返回经纬度。查询和分析语句 SELECT count(*) AS PV, ip_to_geo (client_ip) AS geo GROUP BY geo ORDER BY PV desc LIMIT 3 查询和分析结果表6 查询和分析结果 PV geo 101 *, * 83 47.369013, -68.326674 78 32.715891, -117.161588

云日志服务 LTS
云日志服务 LTS-SQL IP函数:IP函数语句

IP函数语句表1 IP函数语句语句说明示例 ip_to_province 分析目标IP地址所属省份。 ip_to_province(x) ip_to_country 分析目标IP地址所属国家或地区。 ip_to_country(x) ip_to_city 分析目标IP地址所属城市。 ip_to_city(x) ip_to_provider 分析目标IP地址所对应的网络运营商。 ip_to_provider(x) ip_to_geo 根据传入的ip返回ip所在的经纬度。 ip_to_geo(x)

云日志服务 LTS
云日志服务 LTS-SQL JSON函数:示例及说明

示例及说明 json_extract函数获取Results字段中EndTime字段的值。字段样例 Results:[{"EndTime":1626314520},{"FireResult":2}] 查询和分析语句 SELECT json_extract(Results, '$.[0].EndTime') 查询和分析结果表2 查询和分析结果 EXPR$0 1626314520 json_extract_scalar函数从Results字段中获取RawResultCount字段的值，并将这些值转换为bigint类型进行求和。字段样例 Results:[{"EndTime":1626314520},{"RawResultCount":1}] 查询和分析语句 SELECT sum(cast(json_extract_scalar(Results,'$.[1].RawResultCount') AS bigint) ) 查询和分析结果表3 查询和分析结果 EXPR$0 1546

云日志服务 LTS
云日志服务 LTS-SQL JSON函数:JSON函数语句

JSON函数语句表1 JSON函数语句语句说明示例返回值类型 json_extract 用于从JSON对象或JSON数组中提取一组JSON值（数组或对象）。 json_extract(x, json_path) JSON格式的string类型 json_extract_scalar 用于从JSON对象或JSON数组中提取一组标量值（字符串、整数或布尔值）。如果指定JSON路径下不是标量，则返回null。 json_extract_scalar(x,json_path) varchar类型

云日志服务 LTS
云日志服务 LTS-SQL其他函数:其他函数语句

其他函数语句表1 其他函数语句关键字说明示例 CAST(value AS TYPE) 转换数据类型。只支持转换为VARCHAR、 FLOAT。 SELECT fieldname1, CAST(fieldname1 AS VARCHAR) CASE WHEN boolean_expr1 THEN result1 \[ WHEN boolean_expr2 THEN result2 ... \] \[ ELSE resultN \] END 简单CASE函数。 SELECT CASE WHEN httpStatus = 200 THEN 1 ELSE 0 END NULLIF(value1, value2) 如果value1和value2相等，返回空值，否则返回value1。 SELECT fieldname1, fieldname2, NULLIF(fieldname1, fieldname2) NVL(expr,expr-for-null) 如果"expr"为空值或空白字符串，则返回"expr-for-null"。 SELECT NVL(str1, 'expr-for-null')

云日志服务 LTS
云日志服务 LTS-SQL最值函数:功能描述

功能描述 SQL提供最值函数，对字段进行最值求解，具体请参见表1 最值函数对零个或多个字段进行操作，并返回单个值。在最值函数的使用中请注意以下几点：如果没有设置字段，则返回空值。字段必须能够转换为常见的数据类型。如果所有字段都为空值，则返回空值。如果只有部分字段为空值，这些字段会被忽略。如果字段中既有数字也有字符串，则函数将它们作为字符串进行比较。如果所有字段都是整数，则函数将它们作为LONG值进行比较。如果所有字段都是数字且至少有一个是FLOAT值，则函数将它们作为FLOAT值进行比较。

云日志服务 LTS
云日志服务 LTS-SQL聚合函数:聚合函数语句

聚合函数语句表1 聚合函数语句语句说明示例 COUNT(*) 统计行数。 SELECT COUNT(*) COUNT(DISTINCT expr) 统计字段中去重后的行数，字段值可以是字符串或者数字，返回值为估算值（默认存在2.3%的标准误差）。 SELECT COUNT(DISTINCT host) SUM(expr) 返回数字总和。 SELECT SUM(visitCount) MIN(expr) 返回数字中的最小值。 SELECT MIN(visitCount) MAX(expr) 返回数字中的最大值。 SELECT MAX(visitCount) AVG(expr) 返回平均值。 SELECT AVG(visitCount) EARLIEST(expr) 表达式必须是数值类型的，返回expr的最早的值，即查询的时候最先遇到的值。 SELECT EARLIEST(visitCount) LATEST(expr) 表达式必须是数值类型的，返回expr的最新的值，即查询的时候最后遇到的值。 SELECT LATEST(visitCount) APPROX_QUANTILE_DS(expr, probability) 计算数值expr的近似分位数，probability应介于0和1之间。 APPROX_QUANTILE_DS(expr, probability)

云日志服务 LTS
云日志服务 LTS-云日志服务LogBack SDK:参数获取方法

参数获取方法区域表表2 区域表区域名称 RegionName 华北-北京二 cn-north-2 华北-北京四 cn-north-4 华北-北京一 cn-north-1 华东-上海二 cn-east-2 华东-上海一 cn-east-3 华南-广州 cn-south-1 华南-深圳 cn-south-2 西南-贵阳一 cn-southwest-2 亚太-新加坡 ap-southeast-3 日志组ID：在云日志服务控制台，选择“日志管理”，鼠标悬浮在日志组名称上，可查看日志组名称和日志组ID。日志流ID：单击日志组名称对应的按钮，鼠标悬浮在日志流名称上，可查看日志流名称和日志流ID。

云日志服务 LTS
云日志服务 LTS-设置云端结构化字段和tag字段:设置云端结构化字段

设置云端结构化字段在进行结构化配置字段提取之后，可对结构化字段进行设置，详细请参考表1。表1 结构化字段设置规则日志提取方式字段名称字段类型是否可修改字段是否可删除正则分析（自动生成）用户自定义。名称必须以字母开始，且仅包含字母和数字。是是正则分析（手动输入）支持在输入正则表达式时进行命名。支持使用系统默认命名field1、field2、field3等。是是 JSON格式智能提取字段名称，可定义别名。是是分隔符默认名称field1、field2、field3……，可进行修改。是是 Nginx 根据Nginx配置生成，可定义别名。是是自定义模板用户自定义。是是正则分析（手动输入）、JSON格式、分隔符、Nginx和自定义模板的字段名称需要满足如下要求：只支持输入英文、数字、中划线、下划线及小数点，不能包含双下划线、下划线加点且不能以小数点开头或结尾。长度为1-64个字符。

云日志服务 LTS
云日志服务 LTS-设置云端结构化字段和tag字段:设置tag字段

设置tag字段设置结构化配置时，可以对日志维度信息进行tag字段设置。设置完成后可以在日志分析页面对设置字段进行SQL查询。在字段提取步骤中，选择“tag字段”页签，单击“添加字段”。图1 添加tag字段在tag字段列表中，输入需要设置 tag“字段名称”，例如hostIP。 tag字段功能上线前，已设置的结构化配置，在修改结构化配置进行tag字段设置时，系统tag不会带出示例字段。如需添加多个字段可单击“添加字段”，继续添加。设置完成后，单击“保存”。 tag支持的系统字段包括：category、clusterId、clusterName、containerName、hostIP、hostId、hostName、nameSpace、pathFile、podName。 tag不支持的系统字段包括：groupName、logStream、lineNum、content、logContent、logContentSize、collectTime。日志提取字段和tag字段可以同时设置。

云日志服务 LTS
云日志服务 LTS-数组函数:mv_ordinal_of函数

mv_ordinal_of函数返回数组中第一次出现expr的基于1的索引，如果未出现，则返回-1。语法：mv_ordinal_of(arr, expr) 表30 参数说明参数名称描述类型是否必选 arr 原始数组 Array（String/Number）是 expr 指定元素 String/Number，必须与数组中元素类型相同。是返回值类型：Integer类型示例：SELECT MV_ORDINAL_OF(ARRAY['1','2','3','4','5'], '2') 表31 查询分析结果类型场景查询语句 MV_ORDINAL_OF(ARRAY['1','2','3','4','5'], '2') 返回结果 2

云日志服务 LTS
云日志服务 LTS-数组函数:mv_ordinal函数

mv_ordinal函数返回所提供的基于1的索引处的数组元素，或对于超出范围的索引返回null。语法：mv_ordinal(arr, index) 表26 参数说明参数名称描述类型是否必选 arr 原始数组 Array（String/Number）是 index 指定索引位置 Integer 是返回值类型：String/Integer/Long/Boolean/Double类型示例：SELECT MV_ORDINAL(ARRAY['1','2','3','4','5'], 2) 表27 查询分析结果类型场景查询语句 MV_ORDINAL (ARRAY['1','2','3','4','5'], 2) 返回结果 2

云日志服务 LTS
云日志服务 LTS-数组函数:string_to_mv函数

string_to_mv函数使用指定的分隔符str2将str1拆分为数组。语法：string_to_mv(str1, str2) 表22 参数说明参数名称描述类型是否必选 str1 原始字符串 String 是 str2 指定字符 String 是返回值类型：Array类型示例：SELECT STRING_TO_MV('1-2-3-4-5','-') 表23 查询分析结果类型场景查询语句 STRING_TO_MV('1-2-3-4-5','-') 返回结果 ["1","2","3","4","5"]

云日志服务 LTS
云日志服务 LTS-数组函数:mv_offset函数

mv_offset函数返回所提供的基于0的索引处的数组元素，或对于超出范围的索引返回null。语法：mv_offset(arr, index) 表24 参数说明参数名称描述类型是否必选 arr 原始数组 Array（String/Number）是 index 指定索引位置 Integer 是返回值类型：String/Integer/Long/Boolean/Double类型示例：SELECT MV_OFFSET(ARRAY['1','2','3','4','5'], 2) 表25 查询分析结果类型场景查询语句 MV_OFFSET(ARRAY['1','2','3','4','5'], 2) 返回结果 3

云日志服务 LTS
云日志服务 LTS-数组函数:mv_offset_of函数

mv_offset_of函数返回数组中第一次出现expr的基于0的索引，如果未出现，则返回-1。语法：mv_offset_of(arr, expr) 表28 参数说明参数名称描述类型是否必选 arr 原始数组 Array（String/Number）是 expr 指定元素 String/Number，必须与数组中元素类型相同。是返回值类型：Integer类型示例：SELECT MV_OFFSET_OF(ARRAY['1','2','3','4','5'], '2') 表29 查询分析结果类型场景查询语句 MV_OFFSET_OF(ARRAY['1','2','3','4','5'], '2') 返回结果 1

云日志服务 LTS
云日志服务 LTS-数组函数:mv_contains函数

mv_contains函数判断数组中是否包含指定元素。如果包含，则返回true，同contains。语法：mv_contains(expr, ele) 表12 参数说明参数名称描述类型是否必选 expr 原始数组 Array（String/Number）是 ele 指定的元素 String/Number，必须与数组中元素类型相同。是返回值类型：Boolean类型示例：SELECT MV_CONTAINS(ARRAY['1','2'],'1') 表13 查询分析结果类型场景查询语句 MV_CONTAINS(ARRAY['1','2'],'1') 返回结果 true

云日志服务 LTS
云日志服务 LTS-数组函数:mv_prepend函数

mv_prepend函数将指定的元素添加到数组的开始位置。语法：mv_prepend(expr, arr) 表14 参数说明参数名称描述类型是否必选 expr 指定的元素 String/Number，必须与数组中元素类型相同。是 arr 原始数组 Array（String/Number）是返回值类型：Array类型示例：SELECT MV_PREPEND('1', ARRAY ['1','2']) 表15 查询分析结果类型场景查询语句 MV_PREPEND ('1', ARRAY['1','2']) 返回结果 ["1","1","2"]

云日志服务 LTS
云日志服务 LTS-数组函数:mv_append函数

mv_append函数将指定的元素添加到数组的末尾。语法：mv_append(arr, expr) 表16 参数说明参数名称描述类型是否必选 arr 原始数组 Array（String/Number）是 expr 指定的元素 String/Number，必须与数组中元素类型相同。是返回值类型：Array类型示例：SELECT MV_APPEND(ARRAY['1','2'],'1') 表17 查询分析结果类型场景查询语句 MV_APPEND(ARRAY['1','2'], '1') 返回结果 ["1","2","1"]

云日志服务 LTS
云日志服务 LTS-数组函数:mv_slice函数

mv_slice函数返回从start到end索引的数组。语法：mv_slice(arr, start, end) 表18 参数说明参数名称描述类型是否必选 arr 原始数组 Array（String/Number）是 start 起始位置 Integer 是 end 结束位置 Integer 是返回值类型：Array类型示例：SELECT MV_SLICE(ARRAY['1','2','3','4','5'], 2, 4) 表19 查询分析结果类型场景查询语句 MV_SLICE(ARRAY['1','2','3','4','5'], 2, 4) 返回结果 ["3","4"]

云日志服务 LTS
云日志服务 LTS-数组函数:mv_to_string函数

mv_to_string函数使用指定的分隔符str连接arr所有元素。语法：mv_to_string(arr, str) 表20 参数说明参数名称描述类型是否必选 arr 原始数组 Array（String/Number）是 str 指定字符 String 是返回值类型：String类型示例：SELECT MV_TO_STRING(ARRAY['1','2','3','4','5'],'-') 表21 查询分析结果类型场景查询语句 MV_TO_STRING(ARRAY['1','2','3','4','5'],'-') 返回结果 1-2-3-4-5

云日志服务 LTS
云日志服务 LTS-数组函数:cardinality函数

cardinality函数计算数组中元素的个数，参数类型必须相同。语法：cardinality(expr) 表6 参数说明参数名称描述类型是否必选 expr 原始数组 Array（String/Number）是返回值类型：Integer类型示例：SELECT CARDINALITY(ARRAY['1','2','3']) 表7 查询分析结果类型场景查询语句 CARDINALITY(ARRAY['1','2','3']) 返回结果 3

云日志服务 LTS
云日志服务 LTS-数组函数:array函数

array函数将参数构建成数组，参数类型必须相同。语法：array[expr1,expr ...] 表2 参数说明参数名称描述类型是否必选 expr 原始数据 String/Integer/Long/Double/Float 是返回值类型：Array类型示例：SELECT ARRAY['1','2','3','4','5'] 表3 查询分析结果类型场景查询语句 ARRAY['1','2','3','4','5'] 返回结果 ["1", "2", "3", "4", "5"]

云日志服务 LTS
云日志服务 LTS-数组函数:contains函数

contains函数判断数组中是否包含指定元素。如果包含，则返回true。语法：contains(expr, ele) 表10 参数说明参数名称描述类型是否必选 expr 原始数组 Array（String/Number）是 ele 指定的元素 String/Number，必须与数组中元素类型相同。是返回值类型：Boolean类型示例：SELECT CONTAINS(ARRAY['1','2'],'1') 表11 查询分析结果类型场景查询语句 CONTAINS(ARRAY['1','2'],'1') 返回结果 true

云日志服务 LTS
云日志服务 LTS-数组函数:array_position函数

array_position函数获取指定元素的下标，下标从1开始。如果指定元素不存在，则返回0。语法：array_position(expr, ele) 表4 参数说明参数名称描述类型是否必选 expr 原始数组数组类型。是 ele 指定的元素数组中的一个元素，必须与数组中元素类型相同。是返回值类型：Integer类型示例：SELECT ARRAY_POSITION(ARRAY['1','2','3'],'2') 表5 查询分析结果类型场景查询语句 ARRAY_POSITION(ARRAY['1','2','3'],'2') 返回结果 2

云日志服务 LTS

共100000条

undefined

意见反馈

0/200

提交取消

提交成功！非常感谢您的反馈，我们会继续努力做到更好反馈提交失败！请稍后重试！