华为云用户手册

count函数 用于计数。 统计所有的日志条数。 语法：COUNT(*) 统计所有的日志条数。等同于count(*)。 语法：COUNT(1) 统计x中值不为NULL的日志条数。 语法：COUNT(x) 表19 参数说明 参数名称 描述 类型 是否必选 x 原始字段。 任意 是 返回值类型：int 示例：select COUNT(*) 表20 查询分析结果 类型 场景 查询语句 COUNT(*) 返回结果 1

max函数 用于查询x中最大的值。 查询x中最大的值。 语法：max(x) 查询x中最大的n个值，结果返回为数组。 语法： max(x, n) 表21 参数说明 参数名称 描述 类型 是否必选 x 原始字段。 任意数据 是 n 返回最大值的个数 正整数 否 返回值类型：与参数值的数据类型一致。 示例1：查询x中的最大值 表22 查询分析结果 类型 场景 查询语句 SELECT max(x) 返回结果 99.0 示例2：查询x中的最大的2个值 表23 查询分析结果 类型 场景 查询语句 SELECT max(x, 2) 返回结果 [99.0, 99.0]

approx_percentile函数 用于对x进行正序排列，返回处于percentage位置的数值。 对于x进行正序排列，返回处于percentage位置的x，返回结果为double类型。 语法：approx_percentile(x, percentage) 对x进行正序排列，返回处于percentage01、percentage02位置的x，返回结果为array(double,double)类型。 语法：approx_percentile(x, array[percentage01, percentage02)] 对x和权重的乘积进行正序排列，返回大约处于percentage位置的x，返回结果为double类型。 语法：approx_percentile(x, weight, percentage) 对x和权重的乘积进行正序排列，返回处于percentage01、percentage02位置的x，返回结果为array(double,double)类型。 语法：approx_percentile(x, weight, array[percentage01, percentage02...]) 对x和权重的乘积进行正序排列，返回大约处于percentage位置的x，返回结果为double类型。支持设置返回结果的准确度。 语法：approx_percentile(x, weight, percentage, accuracy) 表5 参数说明 参数名称 描述 类型 是否必选 x 原始字段 double 是 percentage 百分比值，取值范围为[0,1]。 double 是 weight 权重，大于1的整数。 设置权重后，系统根据x与权重的乘积进行排序。 int 否 accuracy 准确度，取值范围为(0,1)。 double 否 返回值类型：double类型或array(double,...,double)类型 示例1：对request_time列进行排序后，返回大约处于50%位置的request_time字段的值。 表6 查询分析结果 类型 场景 查询语句 SELECT approx_percentile(request_time, 0.5) 返回结果 45.0 示例2：对request_time列进行排序后，返回处于10%、20%及70%位置的request_time字段的值。 表7 查询分析结果 类型 场景 查询语句 SELECT approx_percentile(request_time,array[0.1,0.2,0.7]) 返回结果 [17.0, 24.0, 59.0] 示例3：根据request_time与权重的乘积对request_time列进行排序后，返回大约处于50%位置的request_time字段的值, 权重值为60。 表8 查询分析结果 类型 场景 查询语句 SELECT approx_percentile(request_time, 60, 0.5) 返回结果 45.0 示例4：根据request_time与权重的乘积对request_time列进行排序后，返回大约处于80%和90%位置的request_time字段的值，权重值为60。 表9 查询分析结果 类型 场景 查询语句 SELECT approx_percentile(request_time, 60, array[0.8, 0.9]) 返回结果 [66.0,73.0] 示例5：根据request_time与权重的乘积对request_time列进行排序后，返回大约处于50%位置的request_time字段的值，权重值为60，准确度为0.2。 表10 查询分析结果 类型 场景 查询语句 SELECT approx_percentile(request_time, 60, 0.5, 0.2) 返回结果 45.0

max_by函数 查询y为最大值时对应的x值，或查询最大的n个y值对应的x值。 查询y为最大值时对应的x值。 语法：max_by(x, y) 查询最大的n个y值对应的x值。 语法：max_by(x, y, n) 表13 参数说明 参数名称 描述 类型 是否必选 x 原始字段。 任意数据类型 是 y 原始字段。 任意数据类型 是 n 大于0的整数。 int 否 返回值类型：与参数值的数据类型一致。 示例1：统计请求时长最大时对应的请求方法。 表14 查询分析结果 类型 场景 查询语句 SELECT max_by(request_method, request_time) 返回结果 GET 示例2：统计请求时长最大的3个请求对应的请求方法。 表15 查询分析结果 类型 场景 查询语句 SELECT max_by(request_method, request_time, 3) 返回结果 ["GET","GET","GET"]

approx_distinct函数 用于估算x中不重复值的个数。 估算x中不重复值的个数，默认存在2.3%的标准误差 语法：approx_distinct(x) 估算x中不重复值的个数，支持自定义标准误差 语法：approx_distinct(x, e) 表2 参数说明 参数名称 描述 类型 是否必选 x 原始字段 任意 是 e 自定义标准误差 double类型，取值为[0.0115, 0.26] 否 返回值类型：bigint类型 示例1：使用approx_distinct函数估算不重复的clientIp字段值，标准误差为2.3%。 表3 查询分析结果 类型 场景 查询语句 SELECT approx_distinct(clientIp) 返回结果 1 示例2：使用approx_distinct函数估算不重复的clientIp字段值， 自定义标准误差为10%。 表4 查询分析结果 类型 场景 查询语句 SELECT approx_distinct(clientIp, 0.1) 返回结果 1

函数列表 表1 聚合函数 函数 描述 approx_distinct函数 用于估算x中不重复值的个数。 approx_percentile函数 用于对x进行正序排列，返回处于percentage位置的数值。 arbitrary函数 用于返回x中任意一个非空的值。 max_by函数 查询y为最大值时对应的x值，或查询最大的n个y值对应的x值。 min_by函数 查询y为最小值时对应的x值，或查询最小的n个y值对应的x值。 count函数 用于计数。 max函数 用于查询x中最大的值。 min函数 用于查询x中最小值。 avg函数 用于计算x的算术平均值。

前提条件 已在 应用运维管理 控制台创建Prometheus实例。 已将日志接入到LTS。 已配置结构化数据，当前仅支持已配置结构化的数据进行处理。 日志生成指标要求日志时间的顺序偏差在较小范围内（5s统计频率允许偏差5s，1min统计频率允许偏差1min，5min统计频率允许偏差1min30s），建议优先使用ICAgent结构化方式上报日志，云端结构化方式会引起日志时间乱序严重从而导致无法在统计周期内处理日志，使得统计结果存在偏差。

数学函数语句 表1 数学函数语句 语句 说明 示例 ABS(expr) 取绝对值。 SELECT ABS(fieldname1) CEIL(expr) 向上取整，即向上取最接近的整数值 SELECT CEIL(fieldname1) FLOOR(expr) 向下取整，即向下取最接近的整数值。 SELECT FLOOR(fieldname1) TRUNCATE(expr, digits) 将expr截断为特定的digits位数。如果数字为负数，则会截断小数点左侧的许多位置。如果未指定，数字默认为零。 SELECT TRUNCATE(fieldname1, 2) ROUND(expr, digits) ROUND(expr, digits)对expr值进行四舍五入，保留小数位数由digits指定。expr可以是整数或浮点数，但digits必须是整数。返回值的类型由expr的类型决定。如果没有指定digits，则使用默认值0。如果digits是负数，则返回expr四舍五入后的整数。当expr是非数字值时，会被转换为数字0。如果expr是无限位数的数字，则被转换为最接近的DOUBLE类型的有限位数数字。 SELECT ROUND(fieldname1, 2) x + y 加法。 SELECT fieldname1 + fieldname2 x - y 减法。 SELECT fieldname1 - fieldname2 x * y 乘法。 SELECT fieldname1 * fieldname2 x / y 除法。 SELECT fieldname1 / fieldname2 MOD(x, y) 求余，即取x除以y后的余数。 SELECT MOD(fieldname1, fieldname2) LN(expr) 对数(以e为底)。 SELECT ln(expr) LOG 10(expr) 对数(以10为底)。 SELECT LOG10(expr) POWER(expr,power) expr的power次幂。 SELECT POWER(expr ,2) SQRT(expr) expr的平方根 SELECT SQRT(expr) SIN(expr) 正弦 SELECT SIN(expr) COS(expr) 余弦 SELECT COS(expr) TAN(expr) 正切 SELECT TAN(expr) COT(expr) 余切 SELECT COT(expr) ASIN(expr） 反正弦 SELECT ASIN(expr) ACOS(expr） 反余弦 SELECT ACOS(expr) ATAN(expr) 反正切 SELECT ATAN(expr)

示例及说明 ACOS(expr)函数 求参数值的反余弦，y=arccosx，x的取值范围[-1,1]。 字段样例 x:0.5 查询和分析语句 select ACOS(x) 查询和分析结果 表2 查询和分析结果 x EXPR$1 0.5 1.0471975511965979 ATAN(expr)函数 ATAN求参数值的反正切，y= arctanx，x的取值范围R。 字段样例 x:0.5 查询和分析语句 select ATAN(X) 查询和分析结果 表3 查询和分析结果 x EXPR$1 0.5 1.0471975511965979 ATAN2(expr)函数 ATAN2从直角坐标（x，y）到极坐标（r，θ）的转换角度θ。 字段样例 x:3；y:4 查询和分析语句 SELECT x , y, ATAN2(x,y) 查询和分析结果 表4 查询和分析结果 x y EXPR$0 3 4 0.6435011087932844

参考信息 unit说明 unit 说明 second 秒 minute 分 hour 时 day 日 week 周 month 月 quarter 季 year 年 extract_unit说明 extract_unit 说明 SECOND 秒 MINUTE 分 HOUR 时 DAY 每月的第几天 DOW 每周的第几天 DOY 每年的第几天 WEEK 每年的第几周 MONTH 月 QUARTER 季 YEAR 年

MILLIS_TO_TIMESTAMP(millis_expr)/TIMESTAMP_TO_MILLIS(timestamp_expr)函数 MILLIS_TO_TIMESTAMP函数将毫秒值转化为ISO8601格式的时间戳，转化后的参数可进行时间戳之间的运算。TIMESTAMP_TO_MILLIS将时间戳转化为毫秒值。 字段样例 __time: 2023-02-16T07:54:15.106Z，start_time: 1676534055106 查询和分析语句 SELECT __time,MILLIS_TO_TIMESTAMP(start_time),TIMESTAMP_TO_MILLIS(__time) 查询和分析结果 表5 查询和分析结果 __time EXPR$1 EXPR$2 2023-02-16T07:54:15.106Z 2023-02-16T07:54:05.000Z 1676534055106

CURRENT_DATE/ CURRENT_TIMESTAMP函数 CURRENT_DATE返回查询当天的凌晨零点的ISO8601时间，返回的为UTC时间，该函数可直接参与时间戳之间的运算。 CURRENT_TIMESTAMP返回查询当前的ISO8601时间，返回的为UTC时间，该函数可直接参与时间戳之间的运算。 字段样例 __time: 2023-02-14T02:35:56.706Z 查询和分析语句 select __time,CURRENT_DATE, CURRENT_TIMESTAMP,CURRENT_TIMESTAMP 查询和分析结果 表2 查询和分析结果 __time CURRENT_DATE CURRENT_TIMESTAMP 2023-02-14T02:35:56.706Z 2023-02-14T00:00:00.000Z 2023-02-14T14:35:57.000Z

IP函数语句 语句 说明 示例 IPV4_MATCH(address,subnet) 如果subnet属于address的子网地址则返回true，否则返回false。如果 address不是有效的IPv4地址，则返回false。如果 address是整数而不是字符串，则此函数更效率。 SELECT IPV4_MATCH (address,subnet) IPV4_PARSE(address) 将address解析为整数的IPv4地址。如果address是有效的IPv4地址，则它可以被解析。如果address不是有效的IPv4地址，则返回null。 SELECT IPV4_PARSE(address) IPV4_STRINGIFY(address) 将整数address转换为以点分隔的IPv4地址字符串。如果address是有效的IPv4地址的整数，则它可以被解析。如果address不能表示为IPv4地址，则返回null。 SELECT IPV4_STRINGIFY(address)

示例及说明 IPV4_MATCH(address, subnet)函数 IPV4_MATCH函数，如果address属于subnet的子网ip，则返回true，否则返回false。如果address不是有效的IPv4地址，则返回false。如果address 是整数而不是字符串，则此函数具有更高的执行效率。 字段样例 Ipv4: 192.168.1.18 查询和分析语句 select IPV4,IPV4_MATCH(Ipv4, '192.168.0.0/16') 查询和分析结果 表1 查询和分析结果 IPV4 EXPR$1 192.168.1.18 true IPV4_PARSE(address)/ IPV4_STRINGIFY(address)函数 将address解析为整数的IPv4地址。如果address是有效的IPv4地址，则它可以被解析。如果address不是有效的IPv4地址，则返回null。 字段样例 Ipv4: 192.168.0.1 Num: 3232235521 查询和分析语句 select IPV4_PARSE(Ipv4), IPV4_STRINGIFY(Num) 查询和分析结果 表2 查询和分析结果 EXPR$0 EXPR$1 -1062731775 192.168.0.1

string_to_mv函数 使用指定的分隔符str2将str1拆分为数组。 语法：string_to_mv(str1, str2) 表22 参数说明 参数名称 描述 类型 是否必选 str1 原始字符串 String 是 str2 指定字符 String 是 返回值类型：Array类型 示例：SELECT STRING_TO_MV('1-2-3-4-5','-') 表23 查询分析结果 类型 场景 查询语句 STRING_TO_MV('1-2-3-4-5','-') 返回结果 ["1","2","3","4","5"]

mv_offset函数 返回所提供的基于0的索引处的数组元素，或对于超出范围的索引返回null。 语法：mv_offset(arr, index) 表24 参数说明 参数名称 描述 类型 是否必选 arr 原始数组 Array（String/Number） 是 index 指定索引位置 Integer 是 返回值类型：String/Integer/Long/Boolean/Double类型 示例：SELECT MV_OFFSET(ARRAY['1','2','3','4','5'], 2) 表25 查询分析结果 类型 场景 查询语句 MV_OFFSET(ARRAY['1','2','3','4','5'], 2) 返回结果 3

mv_ordinal函数 返回所提供的基于1的索引处的数组元素，或对于超出范围的索引返回null。 语法：mv_ordinal(arr, index) 表26 参数说明 参数名称 描述 类型 是否必选 arr 原始数组 Array（String/Number） 是 index 指定索引位置 Integer 是 返回值类型：String/Integer/Long/Boolean/Double类型 示例：SELECT MV_ORDINAL(ARRAY['1','2','3','4','5'], 2) 表27 查询分析结果 类型 场景 查询语句 MV_ORDINAL (ARRAY['1','2','3','4','5'], 2) 返回结果 2

mv_ordinal_of函数 返回数组中第一次出现expr的基于1的索引，如果未出现，则返回-1。 语法：mv_ordinal_of(arr, expr) 表30 参数说明 参数名称 描述 类型 是否必选 arr 原始数组 Array（String/Number） 是 expr 指定元素 String/Number，必须与数组中元素类型相同。 是 返回值类型：Integer类型 示例：SELECT MV_ORDINAL_OF(ARRAY['1','2','3','4','5'], '2') 表31 查询分析结果 类型 场景 查询语句 MV_ORDINAL_OF(ARRAY['1','2','3','4','5'], '2') 返回结果 2

mv_offset_of函数 返回数组中第一次出现expr的基于0的索引，如果未出现，则返回-1。 语法：mv_offset_of(arr, expr) 表28 参数说明 参数名称 描述 类型 是否必选 arr 原始数组 Array（String/Number） 是 expr 指定元素 String/Number，必须与数组中元素类型相同。 是 返回值类型：Integer类型 示例：SELECT MV_OFFSET_OF(ARRAY['1','2','3','4','5'], '2') 表29 查询分析结果 类型 场景 查询语句 MV_OFFSET_OF(ARRAY['1','2','3','4','5'], '2') 返回结果 1

mv_to_string函数 使用指定的分隔符str连接arr所有元素。 语法：mv_to_string(arr, str) 表20 参数说明 参数名称 描述 类型 是否必选 arr 原始数组 Array（String/Number） 是 str 指定字符 String 是 返回值类型：String类型 示例：SELECT MV_TO_STRING(ARRAY['1','2','3','4','5'],'-') 表21 查询分析结果 类型 场景 查询语句 MV_TO_STRING(ARRAY['1','2','3','4','5'],'-') 返回结果 1-2-3-4-5

mv_append函数 将指定的元素添加到数组的末尾。 语法：mv_append(arr, expr) 表16 参数说明 参数名称 描述 类型 是否必选 arr 原始数组 Array（String/Number） 是 expr 指定的元素 String/Number，必须与数组中元素类型相同。 是 返回值类型：Array类型 示例：SELECT MV_APPEND(ARRAY['1','2'],'1') 表17 查询分析结果 类型 场景 查询语句 MV_APPEND(ARRAY['1','2'], '1') 返回结果 ["1","2","1"]

mv_contains函数 判断数组中是否包含指定元素。如果包含，则返回true，同contains。 语法：mv_contains(expr, ele) 表12 参数说明 参数名称 描述 类型 是否必选 expr 原始数组 Array（String/Number） 是 ele 指定的元素 String/Number，必须与数组中元素类型相同。 是 返回值类型：Boolean类型 示例：SELECT MV_CONTAINS(ARRAY['1','2'],'1') 表13 查询分析结果 类型 场景 查询语句 MV_CONTAINS(ARRAY['1','2'],'1') 返回结果 true

mv_prepend函数 将指定的元素添加到数组的开始位置。 语法：mv_prepend(expr, arr) 表14 参数说明 参数名称 描述 类型 是否必选 expr 指定的元素 String/Number，必须与数组中元素类型相同。 是 arr 原始数组 Array（String/Number） 是 返回值类型：Array类型 示例：SELECT MV_PREPEND('1', ARRAY ['1','2']) 表15 查询分析结果 类型 场景 查询语句 MV_PREPEND ('1', ARRAY['1','2']) 返回结果 ["1","1","2"]

mv_slice函数 返回从start到end索引的数组。 语法：mv_slice(arr, start, end) 表18 参数说明 参数名称 描述 类型 是否必选 arr 原始数组 Array（String/Number） 是 start 起始位置 Integer 是 end 结束位置 Integer 是 返回值类型：Array类型 示例：SELECT MV_SLICE(ARRAY['1','2','3','4','5'], 2, 4) 表19 查询分析结果 类型 场景 查询语句 MV_SLICE(ARRAY['1','2','3','4','5'], 2, 4) 返回结果 ["3","4"]

array函数 将参数构建成数组，参数类型必须相同。 语法：array[expr1,expr ...] 表2 参数说明 参数名称 描述 类型 是否必选 expr 原始数据 String/Integer/Long/Double/Float 是 返回值类型：Array类型 示例：SELECT ARRAY['1','2','3','4','5'] 表3 查询分析结果 类型 场景 查询语句 ARRAY['1','2','3','4','5'] 返回结果 ["1", "2", "3", "4", "5"]

contains函数 判断数组中是否包含指定元素。如果包含，则返回true。 语法：contains(expr, ele) 表10 参数说明 参数名称 描述 类型 是否必选 expr 原始数组 Array（String/Number） 是 ele 指定的元素 String/Number，必须与数组中元素类型相同。 是 返回值类型：Boolean类型 示例：SELECT CONTAINS(ARRAY['1','2'],'1') 表11 查询分析结果 类型 场景 查询语句 CONTAINS(ARRAY['1','2'],'1') 返回结果 true

cardinality函数 计算数组中元素的个数，参数类型必须相同。 语法：cardinality(expr) 表6 参数说明 参数名称 描述 类型 是否必选 expr 原始数组 Array（String/Number） 是 返回值类型：Integer类型 示例：SELECT CARDINALITY(ARRAY['1','2','3']) 表7 查询分析结果 类型 场景 查询语句 CARDINALITY(ARRAY['1','2','3']) 返回结果 3

array_position函数 获取指定元素的下标，下标从1开始。如果指定元素不存在，则返回0。 语法：array_position(expr, ele) 表4 参数说明 参数名称 描述 类型 是否必选 expr 原始数组 数组类型。 是 ele 指定的元素 数组中的一个元素，必须与数组中元素类型相同。 是 返回值类型：Integer类型 示例：SELECT ARRAY_POSITION(ARRAY['1','2','3'],'2') 表5 查询分析结果 类型 场景 查询语句 ARRAY_POSITION(ARRAY['1','2','3'],'2') 返回结果 2

mv_length函数 计算数组中元素的个数， 同cardinality。 语法：mv_length(expr) 表8 参数说明 参数名称 描述 类型 是否必选 expr 原始数组 Array（String/Number） 是 返回值类型：Integer类型 示例：SELECT MV_LENGTH(ARRAY['1','2','3']) 表9 查询分析结果 类型 场景 查询语句 MV_LENGTH (ARRAY['1','2','3']) 返回结果 3

函数列表 表1 数组函数 函数 描述 array函数 将输入的参数构造成数组，参数类型必须相同。 array_position函数 获取指定元素的下标，下标从1开始。如果指定元素不存在，则返回0。 cardinality函数 计算数组中元素的个数。 mv_length函数 计算数组中元素的个数， 同cardinality。 contains函数 判断数组中是否包含指定元素。如果包含，则返回true。 mv_contains函数 判断数组中是否包含指定元素。如果包含，则返回true，同contains。 mv_prepend函数 将指定的元素添加到数组的开始位置。 mv_append函数 将指定的元素添加到数组的末尾。 mv_slice函数 返回从start到end索引的数组。 mv_to_string函数 通过str指定分隔符连接arr所有元素。 string_to_mv函数 使用指定的分隔符str2将str1拆分为数组 mv_offset函数 返回所提供的基于0的索引处的数组元素。 mv_ordinal函数 返回所提供的基于1的索引处的数组元素。 mv_offset_of函数 返回数组中第一次出现expr的基于0的索引，如果未出现，则返回-1。 mv_ordinal_of函数 返回数组中第一次出现expr的基于1的索引，如果未出现，则返回-1。