지원되는 PPL 명령

 fields field1, field2

지정한 조건에 따라 데이터를 필터링합니다.

 where field1="success"
| where field2 != "i -023fe0a90929d8822"
| fields field3, col4, col5, col6
| head 1000

집계 및 계산을 수행합니다.

stats count(),
      count(`field1`),
      min(`field1`),
      max(`field1`),
      avg(`field1`)
by field2
| head 1000

문자열에서 정규식(정규 표현식) 패턴을 추출하고 추출된 패턴을 표시합니다. 추출된 패턴을 사용하여 새 필드를 생성하거나 데이터를 필터링할 수 있습니다.

parse `field1` ".*/(?<field2>[^/]+$)"
| where field2 = "requestId"
| fields field2, `field2`
| head 1000

텍스트 필드에서 로그 패턴을 추출하고 검색 결과에 결과를 추가합니다. 패턴을 기준으로 로그를 그룹화하면 분석 및 문제 해결을 위해 대량의 로그 데이터에서 통계를 더 쉽게 집계할 수 있습니다.

patterns new_field='no_numbers' pattern='[0-9]' message
| fields message, no_numbers

표시된 결과를 필드 이름으로 정렬합니다. 정렬 -FieldName를 사용하여 내림차순으로 정렬합니다.

stats count(),
      count(`field1`),
      min(`field1`) as field1Alias,
      max(`field1`),
      avg(`field1`)
by field2
| sort -field1Alias
| head 1000

필드의 값을 수정하거나 처리하고 다른 필드에 저장합니다. 이는 열을 수학적으로 수정하거나, 열에 문자열 함수를 적용하거나, 열에 날짜 함수를 적용하는 데 유용합니다.

eval field2 = `field1` * 2
| fields field1, field2
| head 20

검색 결과에서 하나 이상의 필드 이름을 변경합니다.

rename field2 as field1
| fields field1

표시된 쿼리 결과를 frst N 행으로 제한합니다.

 fields `@message`
| head 20

정규식을 기반으로 grok 패턴으로 텍스트 필드를 구문 분석하고 검색 결과에 결과를 추가합니다.

 grok email '.+@%{HOSTNAME:host}'
| fields email

필드의 가장 빈번한 값을 찾습니다.

 top 2 Field1 by Field2

지정한 필드를 기반으로 중복 항목을 제거합니다.

dedup field1
| fields field1, field2, field3

두 데이터 세트를 함께 조인합니다.

source=customer
| join ON c_custkey = o_custkey orders
| head 10

조회 인덱스(차원 테이블)의 데이터를 추가하거나 대체하여 검색 데이터를 강화합니다. 차원 테이블의 값으로 인덱스의 필드를 확장하거나 조회 조건이 일치할 때 값을 추가하거나 바꿀 수 있습니다.

where orderType = 'Cancelled'
| lookup account_list, mkt_id AS mkt_code
  replace amount, account_name as name
| stats count(mkt_code), avg(amount)
  by name

where id in [
  subquery source=users
  | where user in [
    subquery source=actions
    | where action="login"
    | fields user
  ]
  | fields uid
]

필드 목록에 있는 모든 필드의 가장 빈도가 낮은 값을 찾습니다.

 rare Field1 by Field2

 trendline sma(2, field1) as field1Alias

지원됨( 제외count())

 eventstats sum(field1) by field2

필드를 평면화합니다. 필드는 다음 유형이어야 합니다. struct<?,?> or array<struct<?,?>>

 source=table | flatten field1

where field1 != 200
| fieldsummary includefields=field1 nulls=true

fields field1
| eval field2=field1
| fillnull value=0 field1

expand employee
| stats max(salary) as max
  by state, company

테이블, 스키마 및 카탈로그의 구조 및 메타데이터에 대한 자세한 정보를 가져옵니다.

 describe schema.table

PPL 문자열 함수

(CONCAT, CONCAT_WS, LENGTH, LOWER, LTRIM, POSITION, REVERSE, RIGHT, RTRIM, SUBSTRING, TRIM, UPPER)

PPL 쿼리 내에서 문자열 및 텍스트 데이터를 조작하고 변환할 수 PPL 있는의 내장 함수입니다. 예를 들어 변환 사례, 문자열 결합, 부분 추출, 텍스트 정리 등이 있습니다.

eval col1Len = LENGTH(col1)
| fields col1Len

PPL 날짜 및 시간 함수

(DAY, DAYOFMONTH, DAY_OF_MONTH,DAYOFWEEK, DAY_OF_WEEK, DAYOFYEAR, DAY_OF_YEAR, DAYNAME, FROM_UNIXTIME, HOUR, HOUR_OF_DAY, LAST_DAY, LOCALTIMESTAMP, LOCALTIME, MAKE_DATE, MINUTE, MINUTE_OF_HOUR, MONTH, MONTHNAME, MONTH_OF_YEAR, NOW, QUARTER, SECOND, SECOND_OF_MINUTE, SUBDATE, SYSDATE, TIMESTAMP, UNIX_TIMESTAMP, WEEK, WEEKDAY, WEEK_OF_YEAR, DATE_ADD, DATE_SUB, TIMESTAMPADD, TIMESTAMPDIFF, UTC_TIMESTAMP, CURRENT_TIMEZONE)

PPL 쿼리에서 날짜 및 타임스탬프 데이터를 처리하고 변환하기 위한 내장 함수입니다. 예: date_add, date_format, datediff 및 current_date.

eval newDate = ADDDATE(DATE('2020-08-26'), 1)
| fields newDate

PPL 조건 함수

(EXISTS, IF, IFNULL, ISNOTNULL, ISNULL, NULLIF)

여러 행에서 계산을 수행하여 단일 요약 값을 생성하는 내장 함수입니다. 예를 들어, 합계, 개수, 평균, 최대값 및 최소값입니다.

eval field2 = isnull(col1)
| fields field2, col1, field3  

PPL 수학 함수

(ABS, ACOS, ASIN, ATAN, ATAN2, CEIL, CEILING, CONV, COS, COT, CRC32, DEGREES, E, EXP, FLOOR, LN, LOG, LOG2, LOG10, MOD, PI. POW, POWER, RADIANS, RAND, ROUND, SIGN, SIN, SQRT, CBRT)

PPL 쿼리에서 수학적 계산 및 변환을 수행하기 위한 내장 함수입니다. 예: abs(절대값), round(반올림 숫자), sqrt(제곱근), pow(전력 계산) 및 ceil(가장 가까운 정수로 반올림).

eval field2 = ACOS(col1)
| fields col1

PPL 표현식

(산술 연산자(+, -, *), 예측 연산자(>. <, IN))

표현식, 특히 값 표현식에 대한 내장 함수는 스칼라 값을 반환합니다. 표현식의 유형과 형식은 다릅니다.

where age > (25 + 5)
| fields age  

PPL IP 주소 함수

(CIDRMATCH)

와 같은 IP 주소를 처리하기 위한 내장 함수입니다CIDR.

where cidrmatch(ip, '***********/24')
| fields ip 

PPL JSON 함수

(ARRAY_LENGTH, ARRAY_LENGTH, JSON, JSON_ARRAY, JSON_EXTRACT, JSON_KEYS, JSON_OBJECT, JSON_VALID, TO_JSON_STRING)

배열, 추출 및 검증을 JSON 포함한 처리를 위한 내장 함수입니다.

eval `json_extract('{"a":"b"}', '$.a')` = json_extract('{"a":"b"}', '$a')

PPL Lambda 함수

(EXISTS, FILTER, REDUCE, TRANSFORM)

배열, 추출 및 검증을 JSON 포함한 처리를 위한 내장 함수입니다.

eval array = json_array(1, -1, 2),
     result = filter(array, x -> x > 0)
| fields result

PPL 암호화 해시 함수

(MD5, SHA1, SHA2)

검증, 비교 또는 보다 복잡한 보안 프로토콜의 일부로 사용할 수 있는 고유한 데이터 지문을 생성할 수 있는 내장 함수입니다.

eval `MD5('hello')` = MD5('hello')
| fields `MD5('hello')`