本文介绍日志服务分析功能支持的分析函数和语法。 ## 分析语句检索分析语句由**检索条件**和 **SQL 分析语句**构成，两者通过英文竖线（`|`）分割，表示在检索条件筛选过的数据中进行分析与计算。 ### 分析语句结构 ```SQL &{检索条件} | &{SQL 分析语句} ``` |语句结构 |说明 | |---|---| |检索条件 |用于指定筛选规则，表示在检索条件筛选过的数据中进行分析与计算。日志检索必须符合查询语法，详细说明请参考[检索概述](/docs/6470/1206701)和[检索语法](/docs/6470/1206705)。|\ | |无需进行日志分析时，仅输入检索条件即可。 | |SQL 分析语句 |用于指定查询结果的分析和计算方式。支持多种 [SQL 函数](/docs/6470/1792730#5eed26e1)和 [SQL 语法](/docs/6470/1792730#df27e769)。|\ | |如果需要分析日志数据，则必须同时输入检索条件和 SQL 分析语句。|\ | |:::tip|\ | |通常情况下，SQL 分析语句中不需要设置 FROM 子句，默认分析指定日志主题中的数据。嵌套查询的最内层除外，即在嵌套子查询中，SELECT 语句中必须指定 FROM 子句。|\ | |SQL 分析语句不支持使用 offset，不区分大小写，不需要在末尾加半角分号（;）表示语句结束。|\ | |在分析语句中，需要使用单引号（''）包裹代表字符串的字符，无符号包裹或被双引号（""）包裹的字符为字段名或列名。例如`'time'` 代表字符串，`time` 或 `"time"` 代表字段名或列名。|\ | ||\ | |:::| ### 分析语句示例 |分析范围 |检索分析语句示例 |说明 | |---|---|---| |基于全量数据进行日志分析 |```SQL|统计不同状态码的访问次数。 |\ | |* \| SELECT status, count(*) AS PV GROUP BY status| |\ | |```| |\ | | | | |基于检索结果进行日志分析 |```SQL|在状态码为 200 的请求中统计访问次数。 |\ | |status:200 \| SELECT COUNT(*) AS PV| |\ | |```| |\ | | | | ## SQL 函数 |函数 |说明 | |---|---| |[聚合函数](/docs/6470/1206710) |对一组值执行计算并返回单一的值。 | |[日期和时间函数](/docs/6470/1206711) |支持对日志中的日期和时间进行格式转换，分组聚合等处理。 | |[字符串函数](/docs/6470/1206712) |支持使用指定的分隔符对字符串进行拆分。 | |[正则式函数](/docs/6470/1206713) |通过正则表达式匹配进行字符串替换等操作。 | |[同比与环比函数](/docs/6470/1206699) |对数值类数据进行同比、环比。 | |[数学计算函数](/docs/6470/1206714) |计算数值类数据。 | |[数学统计函数](/docs/6470/1206715) |对数值进行统计学分析与计算。 | |[数组函数](/docs/6470/1206716) |解析数组形式的数据。 | |[JSON 函数](/docs/6470/1206717) |解析 JSON 格式等数据。 | |[IP 函数](/docs/6470/1206718) |通过 IP 地址分析其所属城市、国家、运营商等信息。 | |[URL 函数](/docs/6470/1206719) |支持 URL 中进行提取、编码解码等分析操作。 | |[估算函数](/docs/6470/1206722) |对数值类数据进行估算。 | |[二进制函数](/docs/6470/1206723) |解析二进制类型的数据。 | |[位运算函数](/docs/6470/1206725) |对二进制类型的数据进行 AND、OR、NOT 等位运算。 | |[地理函数](/docs/6470/1206726) |对经纬度进行 Geohash 编码。 | |[颜色函数](/docs/6470/1206727) |支持 BAR、COLOR 等颜色函数 | |[电话号码函数](/docs/6470/1206728) |分析中国内地地域电话号码的归属地、运营商等信息。 | |[单位换算函数](/docs/6470/1206729) |换算数据量或时间间隔的单位。 | |[窗口漏斗函数](/docs/6470/1206730) |支持在滑动的时间窗口中查询事件链并计算事件链中发生的最大连续事件数。 | |[窗口函数](/docs/6470/1254754) |用于聚合、排序等操作。不同于普通聚合函数，窗口函数支持为每一行数据生成一个结果。 | |[类型转换函数](/docs/6470/1254755) |转换及查看字段的数据类型。 | |[算数运算语法](/docs/6470/1206731) |支持加法、减法、乘法、除法等运算。 | |[比较运算符](/docs/6470/1206732) |支持多种比较运算符，用于判断值的大小关系。 | |[逻辑运算符](/docs/6470/1206733) |支持 AND、OR 和 NOT 逻辑运算。 | ## SQL 语法 |语法 |说明 | |---|---| |[SELECT 语法](/docs/6470/1206023) |从表中选取列数据，默认从当前日志主题中选取符合筛选条件的数据。 | |[AS 语法](/docs/6470/1206026) |为指定的字段名称指定别名。 | |[GROUP BY 语法](/docs/6470/1206027) |结合聚合函数，根据一个或多个字段对查询分析的结果进行分组。 | |[ORDER BY 语法](/docs/6470/1206028) |根据指定的字段名对检索和分析结果进行排序。 | |[LIMIT 语法](/docs/6470/1206029) |限制由 SELECT 语句返回的数据数量，即输出结果的行数。 | |[DISTINCT 子句](/docs/6470/1206030) |在 SELECT 子句中使用，用于对某一列去重。 | |[WHERE 语法](/docs/6470/1206031) |提取满足指定条件的日志。 | |[嵌套子查询](/docs/6470/1206032) |将一个 SELECT 语句嵌套在另一个 SELECT 语句中，表示先对原始数据进行 SELECT 统计分析，再基于分析结果进行二次统计分析。 | |[JOIN 子句](/docs/6470/1206033) |用于连表查询。 | |[UNION 子句](/docs/6470/1206034) |合并多个 SELECT 子句的分析结果。 |