Logs Insight中@message多条件过滤异常问题求助

算力阿峰

2026-7-1

问题分析

你的查询逻辑存在核心问题：你将同一条日志的@message重复赋值给ms1、ms2、ms3三个字段，之后连续使用filter指令。由于每个filter都是对当前数据集的递进过滤，这相当于要求单条日志同时匹配三个完全不同的消息内容——显然没有任何一条日志会同时包含"Message not yet played"、"INFO: Processing event message"和"Message already played"，因此结果必然不符合预期。

正确实现方案

你需要的是分别统计不同消息类型的数量，而非筛选出同时满足所有条件的日志。以下是两种可行的实现方式：

方法1：标记消息类型后分组统计

先给每条日志打上对应的类型标签，再按流和类型统计数量：

fields @logStream as stream, @message
| filter stream like /qt-/
| eval message_type = case(
    @message like /Message not yet played/, "未播放消息",
    @message like /INFO: Processing event message/, "处理中事件",
    @message like /Message already played/, "已播放消息",
    "其他类型"
)
| stats count() as n_messages by stream, message_type

方法2：单条语句统计多类型数量

如果需要在同一结果行展示不同类型的计数，可使用count_if函数：

fields @logStream as stream, @message
| filter stream like /qt-/
| stats 
    count_if(@message like /Message not yet played/) as 未播放消息数,
    count_if(@message like /INFO: Processing event message/) as 处理中事件数,
    count_if(@message like /Message already played/) as 已播放消息数
    by stream

原查询错误总结