多重搜索没有达到我的预期

Question

我们选择的消息格式使用称为范围的字段来控制所需的聚合级别（按 request_type、站点、区域、集群）。范围通过下拉菜单设置并作为令牌传递。我想使用多重搜索来合并 4 个不同搜索的结果。因此，如果范围是站点，则仅显示站点搜索的结果。

实际搜索：

index=cloud_aws namespace=cloudship lambda=SCScloudshipStepFunctionStats metric_type=*_v0.3 
| spath input=message 
| multisearch 
    [search $request_type_token$ | where "$scope_token$" == "request_type" ] 
    [search $request_type_token$ $site_token$ | where "$scope_token$" == "site"] 
    [search $request_type_token$ $site_token$ $zone_token$ | where "$scope_token$" == "zone"] 
    [search scope=$scope_token$ $request_type_token$ $site_token$ $zone_token$ $cluster_token$ | where "$scope_token$" == "cluster"] 
| timechart cont=FALSE span=$span_token$ sum(success) by request_type

用文字值替换标记后进行搜索。

index=cloud_aws namespace=cloudship lambda=SCScloudshipStepFunctionStats metric_type=*_v0.3 
| spath input=message 
| multisearch 
    [search request_type="*" 
    | where "site" == "request_type" ]
    [search request_type="*" site="RTP" 
    | where "site" == "site"]
    [search request_type="*" site="RTP" zone="*" 
    | where "site" == "zone"] 
    [search scope=site request_type="*" site="RTP" zone="*" cluster="*" 
    | where "site" == "cluster"] 
| timechart cont=FALSE span=hour sum(success) by request_type

但是......这个查询的结果相当于根本没有搜索，我基本上不过滤任何东西。

index=cloud_aws namespace=cloudship lambda=SCScloudshipStepFunctionStats metric_type=*_v0.3 
| spath input=message 
| timechart cont=FALSE span=hour sum(success) by request_type

此查询和上面的查询给出相同的结果。我在这里缺少什么？当我分别执行多重搜索的每个部分时，结果是正确的。除了“where“site”==“site””搜索之外，我得到的所有结果都是空的。但是当我运行整个查询时，我根本没有得到任何过滤。帮助！

Answer 1

首先，我认为您正在寻找的是 site 的 值 以匹配 request_type （在最初的 multisearch search 行） - 但您在 where 子句中实际检查的是文本 < code>“site” 等于文本 “request_type”。当然，事实并非如此！

首先删除 multisearch 的第二行（因为将 site 与 site 进行比较将始终为真），并且使用 upper() 和 match()：

index=cloud_aws namespace=cloudship lambda=SCScloudshipStepFunctionStats metric_type=*_v0.3 
| spath input=message 
| multisearch 
    [search request_type="*" site=*
    | eval request_type=upper(request_type), site=upper(site)
    | where "site" == "request_type" ]
    [search request_type="*" site="RTP" zone="*" 
    | eval zone=upper(zone), site=upper(site)
    | where match(site,zone)] 
    [search scope=site request_type="*" site="RTP" zone="*" cluster="*" 

使用 cluster="rtp" 而不是 cluster=* 会更容易 在这里，但我留下了这个习惯用法upper()ing 和 match()ing 用于读取一致性

    | where match(site,cluster)] 
| timechart cont=FALSE span=hour sum(success) by request_type