#重新命名a為b
| rename a as b
#日期格式化並計算
| eval t1=strptime(time1,"%y-%m-%dt%h:%m:%s.%3n%z"),t2=strptime(time2,"%y-%m-%dt%h:%m:%s.%3n%z")
| eval duration=t2-t1
#變數值為0時顯示的是變數名，需要如下判斷(表示如果b+c等於0，那麼結果就是0，否則就等於b+c的值)
| eval myvalue=if((b+c)=0,0,b+c)
#保留兩位小數
eval result=round(total,2)
#在dashboard中使用單$來引用變數，如果巢狀使用的search中也有變數，需要在search中使用雙$$
$value1$ //dashboard
$$value2$$ //search in dashboard
#迴圈（將該字段的每個值的count都列出來放在乙個table中）
| makeresults
| fields - _time
| eval multivalue="value1,value2,value3,value4"
| makemv multivalue delim=","
| mvexpand multivalue
| map search="| search index="***" source="yyy" myfield=$multivalue$ | stats count as fieldcount"
| eval myfield=$multivalue$
| table myfield fieldcount
#追加列
#在table中加一列顯示sparkline
| stats sparkline count by source
| ...
| table ... sparkline
#在visualization中想把字段聚合出來的多個值的count累加在乙個柱狀中顯示
visaulization----format----general-----stack mode中選擇第二個
#timechart是根據_time欄位做的，不是我們event中自己的timestamp，沒有業務意義，所以需要對timestamp做處理，並使用chart圖。
| eval time=substr(timestamp,12,2)
| chart count over time by source
#dashboard中single metric value
| eval _time=strptime(timestamp,"%y-%m-%dt%h:%m:%s.%1q")
| timechart span=1d count as "mytime"
#資料中某個欄位的值不是"null"也不是"none",是空白的，如何過濾掉這些值為空白的記錄
| where fieldname!=""
#限定查詢的時間範圍為今天零點到現在
... | eval _time=strptime(timestamp, "%y-%m-%dt%h:%m:%s.%1q%z") //根據自己的timestamp格式進行格式化匹配
| where(_time>=relative_time(now(),"@d") and _time<=now()) //@d表示的是這一天的開始，也就是零點
xml語法筆記
全稱 extendsible markup language 可擴充套件的標記語言 作用 1，儲存資料 2，傳輸資料 xml html區別 xml表示資料的意義 xml不控制資料的顯示 xml是自描述的 xml規範嚴格 html控制資料的顯示樣式 html規範不嚴格 xml語法 1，頭標記，必須是文...
C 語法筆記
只對建構函式起作用，用來抑制隱式轉換。template class printit template void print const elemtype elem,char delimiter n private ostream os here is our modified program int...
C 語法筆記
表 3 5 轉義序列 產生的字元 字元的 unicode 值 單引號 0x0027 雙引號 0x0022 反斜槓 0x005c 0空 0x0000 a警告 產生蜂鳴 0x0007 b退格 0x0008 f換頁 0x000c n換行 0x000a r回車 0x000d t水平製表符 0x0009 v垂...