如何在Google Cloud Logs中按一天中的特定小时过滤日志？

针对每天同一时段（比如16点整到16点59分）的日志过滤需求，不同日志查询系统有对应的时间处理方案，以下是几种常见场景的可行方法：

Splunk 环境 #

Splunk提供了专门的时间提取函数，直接用hour()函数即可筛选：

hour(_time) = 16

如果需要基于本地时间而非UTC筛选，用strftime转换为小时字符串后匹配：

strftime(_time, "%H") = "16"

也可以先提取小时字段再过滤：

| eval event_hour = hour(_time)
| where event_hour = 16

Elasticsearch/Kibana #

如果你的索引已经自动生成了时间维度字段（Kibana默认会生成），直接用date_hour字段筛选最高效：

@timestamp.date_hour: 16

如果没有预生成字段，用脚本查询提取小时：

{
  "query": {
    "script": {
      "script": "doc['@timestamp'].value.getHour() == 16"
    }
  }
}

SQL 类日志系统（BigQuery、Athena 等） #

用SQL的EXTRACT函数提取时间戳的小时部分：

SELECT *
FROM logs
WHERE EXTRACT(HOUR FROM timestamp) = 16;

若时间戳带时区，需明确指定时区（比如UTC）：

SELECT *
FROM logs
WHERE EXTRACT(HOUR FROM timestamp AT TIME ZONE 'UTC') = 16;

关于你之前的失败原因 #

• 正则匹配报错：因为timestamp是时间类型字段，不是字符串，正则仅支持匹配字符串类型字段，所以无法直接用正则匹配时间戳。
• timestamp.hour报错：绝大多数日志查询系统不支持直接通过.访问时间对象的属性，必须使用系统提供的专用时间处理函数来提取小时。

内容的提问来源于stack exchange，提问作者domdomegg