成功采集到日志数据并正确配置索引之后，您可以在日志服务控制台中实时查看采集到的日志数据，并通过检索条件查询指定时间范围的日志数据。本文介绍检索日志的操作步骤。
注意事项
日志数据在日志服务中的存储时间由日志项目的日志保存时间决定，已经过期删除的日志无法进行查询。
前提条件
- 已创建日志项目和日志主题。
- 已通过 LogCollector 或其他方式采集到日志数据。
- 检索日志之前，必须先开启索引。开启索引的操作步骤，请参考配置索引。
操作步骤
- 登录日志服务控制台。
- 在顶部导航栏中，选择日志服务所在的地域。
- 在左侧导航栏中，选择常用功能 > 检索分析。
- 在检索分析页面的左侧列表中，选择指定的日志项目和日志主题。
- 在指定日志主题的检索分析页面，指定时间范围。
时间范围默认为 5 分钟，您也可以自定义检索的时间范围。日志数据的存储时间不在指定的查询时间范围内时，该数据不会被检索到。 - 指定检索条件，并单击检索分析。
日志服务支持的检索方式请参考检索概述，支持的检索语法请参考检索语法。
- 只检索日志，不做统计分析时，只需输入检索条件即可。
- 检索条件为空，表示查询指定时间范围内的所有日志。
查看检索结果
检索日志后，您可以在原始日志页签中查看检索结果。
日志数据大约1分钟上报一次，如果原始日志页签中没有实时数据，请等待一分钟后刷新重试。
日志直方图
日志直方图用于展示符合查询条件的日志在不同时间段的分布情况。如果无需展示直方图，您可以单击隐藏图表。
- 鼠标指向某一蓝色数据块时，可以查看该数据块代表的时间范围、该时间段内符合查询条件的数量和本次检索是否精确。
- 单击某一蓝色数据块，可以下钻查看该时间段内更细粒度的日志分布情况，同时原始日志页签中也会同步展示指定时间范围内命中的原始日志信息。
- 查询结果为结果精确时，表示已返回指定时段内符合查询条件的所有结果。
- 耗时：展示本次查询所使用的时间。
- 超时：查询范围内的数据量过大，或查询语法复杂、字段过多，超出了每个分区的数据处理能力。此时页面显示超时，建议您缩小时间范围并再次查询。
原始日志
页面默认以原始方式展示近 5 分钟内采集的日志数据。
- 时间列展示日志时间，即日志数据上报到服务端的时间或日志中记录的时间字段。
- 日志内容列展示原始日志内容，包括
__source__ 等预留字段。
序号 | 说明 |
|---|
1 | 单击原始或者表格，切换日志格式。
默认以原始方式展示日志。 |
2 | - 换行：系统默认开启换行，即各个日志字段换行展示，一个字段独占一行，显示更加直观。
- 紧凑布局：勾选紧凑布局后，系统将隐藏时间列，并在日志内容列展示日志时间。
- 过滤预置字段：勾选过滤预置字段后，系统将隐藏日志服务的预留字段。关于预留字段的详细说明，请参考预留字段。
- 更多配置：
- 过滤空字段： 勾选过滤空字段后，系统不会展示值为空的字段。
- 使用分页器翻页：勾选使用分页器翻页，您可以通过分页器进行翻页。
 - 平铺展示JSON类字段：勾选平铺展示JSON类字段后，系统将平铺展示 JSON 字段，平铺后的格式为 KEY1.KEY2，例如
child_type.kind:"SERVER"。
仅对索引数据类型是 JSON 的字段生效。 - 树形展示JSON字段：勾选树形展示JSON字段后，系统将树形展示 JSON 字段。
仅对索引数据类型是 JSON 的字段生效。 - 批量展开或折叠字段值：当字段值超长时，默认会被折叠展示，您可以在更多配置中单击展开，批量展开当前所有被折叠的字段值。被展开后的字段值，需要被折叠展示时，您可以单击折叠。
|
3 | 单击日志时间前面的展开图标，系统将显示原始日志区域，您可以在原始日志区域中完成如下操作。
 - 只展示指定的字段
在原始日志区域单击目标字段前的眼睛图标，再单击日志时间前面的收起图标，每条日志仅展示您所指定的字段。
 - 添加查询
在原始日志区域单击目标字段前的+图标，系统会将该键值对作为检索条件，并通过 AND 操作符拼接检索语句中。
针对索引数据类型是 JSON 的字段，勾选平铺展示JSON类字段后，才支持一键添加查询。 - 从检索结果排除
在原始日志区域单击目标字段前的-图标，系统会将该键值对作为检索条件并通过 NOT 操作符拼接检索语句中。
针对索引数据类型是 JSON 的字段，勾选平铺展示JSON类字段后，才支持一键排除查询。
|
4 | - 上下文查询：单击目标日志对应的上下文查询图标，可以查看指定日志在日志源文件中的上下文信息，即采集时间之前和之后的数条日志数据。详细说明请参考上下文查询。
说明 仅 1.0.6 及后续版本的 LogCollector 采集到的日志支持上下文查询，通过 SDK 调用 PutLogs 接口等其他方式上传的日志数据不支持上下文查询。 - 复制：单击目标日志对应的复制图标，可以复制单条日志到剪切板。复制后的日志文本为 JSON 格式。
- 展开或折叠字段值：单击目标日志对应的展开或折叠图标，展开或折叠此条日志的字段值。
|
5 | - 复制：选中某个字段值后，单击复制，可复制该字段值。
- 检索此值：选中某个字段值后，单击检索此值，系统会将该字段值添加到检索语句中。
- 添加到检索条件：选中某个字段值后，单击添加到检索条件，系统会将该键值对作为检索条件，并通过 AND 操作符拼接检索语句中。
- 从检索结果排除：选中某个字段值后，单击从检索结果排除，系统会将该键值对作为检索条件并通过 NOT 操作符拼接检索语句中。
|
6 | - 下载日志：单击下载日志，可以将原始日志数据或检索分析结果下载到本地，进行数据查看或进一步分析。详细说明请参考下载日志。
- 定时 SQL 分析：单击存为定时SQL分析，可创建定时 SQL 分析任务。详细说明，请参考创建定时 SQL 分析任务。
|
7 | - 快速分析：单击字段名称即可快速分析该字段的各个值在最近一段时间内的分布情况。详细说明请参考快速分析。
如果是 JSON 二级字段，为二级字段设置字段索引后，才支持在快速分析区域展示二级字段列表。 - 字段的隐藏与展示：在显示字段中字段名称右侧单击隐藏图标，可以在检索分析结果中将该字段设为隐藏状态。在隐藏字段中字段名称右侧单击展示图标，该字段即可恢复显示。
- 设置显示顺序：支持鼠标拖动字段，自定义设置字段之间的显示顺序。字段较多时，也可以通过搜索框快速定位指定字段。
|
按照高精度时间戳排序日志
您在采集日志时，开启纳秒时间精度功能，然后在检索分析日志页面，选择纳秒检索精度，可实现日志按照纳秒时间戳排序。在采集时开启纳秒时间精度的具体操作，请参考启用 LogCollector 高精度时间。
