事务 ID 上的 Sumologic "full outer join"

Question

是否有某种方法可以通过 sumologic 获得完整的外部连接功能？ JOIN 运算符似乎给内部连接

我有一个包含 stageA 和 stageB 的日志流，我想确定哪里有 stageA 的日志行但没有 stageB 的共享标识符

{ id: '12324', stage: 'a' }
{ id: '12324', stage: 'b' }
{ id: '3467', stage: 'a' }

我希望结果只有 id:'3467'，因为另一个 id 有两个阶段。

Answer 1

这是我最终得到的查询

1. 解析id
2. 根据 id 进行交易
3. 在 id 内合并日志行交易
4. 过滤不存在​​阶段b的交易

5. 排除最近的日志行，因为事务可能跨越查询窗口

   ("id")
   | parse "id: *," as id 
   | transactionize id (merge id, _raw join with "\n\n") 
   | where !(_raw matches "*stage: \'b\'*") and _messageTime < now() - 1000*60*4