多集合操作

日志服务告警监控任务会将一个检索分析结果当做一个集合，最多可支持三个集合关联监控。

注意事项

• 监控任务最多选取集合操作结果中的前 1000 行数据用于告警触发。
• 关联监控三个集合时，监控任务最多选取各个检索分析结果中的前 100 行数据用于集合操作，并且监控任务会先对前两个集合进行操作，然后再将该操作结果与第三个集合进行集合操作。

工作原理

日志服务告警监控任务会将一个检索分析结果当做一个集合，并支持通过笛卡尔积、左联和右联等方式连接多个集合，组成一个结果集用于告警触发。

示例

笛卡尔积

本示例创建了一个告警策略用于监控网站访问日志，当 1 小时内 error 级别和 warning 级别的日志数量超过 100 时，触发告警。

• 告警配置
  
• 结果

  • 执行语句 1 结果

    Total
    89

  • 执行语句 2 结果

    Total
    20

  • 集合操作结果

    $1.Total	$2.Total
    89	20

左联

本示例用于展示多集合左联操作的结果。

• 告警配置
  
• 结果

  • 执行语句 1 结果

    uid	region
    10001	beijing
    10002	shanghai
    10003	guangzhou

  • 执行语句 2 结果

    uid	total	region
    10001	18	beijing
    10002	20	shanghai

  • 集合操作结果
    设置集合操作为左联，条件为$1.uid==$2.uid。

    uid	$1.region	$2.region	total
    10001	beijing	beijing	18
    10002	shanghai	shanghai	20
    10003	guangzhou	null	null

右联

本示例用于展示多集合右联操作的结果。

• 告警配置
  
• 结果

  • 执行语句 1 结果

    uid	region
    10001	beijing
    10002	shanghai
    10003	guangzhou

  • 执行语句 2 结果

    uid	total	region
    10001	18	beijing
    10002	20	shanghai

  • 集合操作结果
    设置集合操作为右联，条件为$1.uid==$2.uid。

    uid	$1.region	$2.region	total
    10001	beijing	beijing	18
    10002	shanghai	shanghai	20