SLS交互分析增强——原始日志事件系统发布

交互式分析一直是SLS主打的查询分析使用场景，事件系统则是实现交互式分析的手段，SLS可视化于19年就实现了基于图表的事件系统，用来完成从图表到外部系统的交互式分析。今年4月，SLS于进一步完善了整个交互式分析的能力，上线原始日志事件系统，进而更加完整地实现交互式分析的闭环。

连接资源与资源的纽带

我们期望用户在SLS一个平台中完成日志（Log）、监控（Metric）、Trace的所有可观测性数据存储与分析，所以要构建一站式的日志分析平台，必须通过一些手段将资源有机的结合起来进行分析。事件系统则是连接资源与资源的纽带，通过点击、拖拽、框选等一系列的用户事件输入，进而完成数据的上浮和下钻.

原始日志查看是最高频使用场景

SLS为用户提供丰富的机器数据接入、存储、分析、可视化、数据加工等能力，我们也可以轻松地在SLS控制台完成这一系列的工作。当用户完成了数据接入后，几乎80%的操作都在查询页面中进行原始日志的查看和分析，作为核心场景，支持事件系统势在必行。

1. 日志分词

在SLS中，我们支持text类型索引进行分词处理，每一个提取字段都会根据设置好的分词符进行切割，在控制台中我们就能得到切割好的关键词片段，在日志交互分析场景中，这些关键词就成为一个又一个的事件单元，基于这些事件单元，我们就能完成事件的设计和监听。

2. 事件设计

得到事件单元后，我们需要设计具体的事件行为。最早的SLS事件单元上，事件行为都是进行一次筛选查询，即在原始的查询语句中添加and条件，从而进行关键词过滤分析，比如事件行为产生在以host为key值的127.0.0.1事件单元上，即会添加到查询：

2.1 预设事件

简单的关键词拼接明显不能满足原始日志事件的需求，我们做的第一步是丰富预设事件类型，以满足简单清晰的交互行为：

操作说明操作后结果添加到查询将事件单元的关键词通过and拼接后添加到查询和分析框中，并进行查询`* and host: "127.0.0.1"SELECT status as dim, count(1) as c group by dim`从查询中删除将事件单元的关键词通过not拼接后添加到查询和分析框中，并进行查询` * and host: "127.0.0.1"SELECT status as dim, count(1) as c group by dim`新建查询删除查询和分析框中所有语句，按照事件单元的关键词新建查询语句，并进行查询`* and host: "127.0.0.1"SELECT status as dim, count(1) as c group by dim `

2.2 自定义事件

预设事件更多还是在原始日志分析中形成一个自循环，和外部资源的链接则可以通过自定义事件来完成，为不同的关键词设置不同的事件单元行为，从而更深入地分析日志。建立与SLS现有的其他资源和外部地址的连接，我们准备了几种事件的类型：

打开日志库打开快速查询打开仪表盘自定义Http链接

在类型上，配合SLS灵活的过滤语句操作和变量操作，对目标资源中涉及的到的查询分析语句进行改写，从而变换分析的维度，使得整个分析过程更加立体。下面用几个示例来演示如何利用原始日志的钻取来变换分析的维度。

事件模拟1：查询到一个Error的访问请求，想看一下这个ip在这个时间段到底产生了多少次访问请求构建一个查看访问数的快速查询，并命名为访问数分析

构建一个自定义事件，查看该ip的访问数

此处配置3个地方：

时间范围设置为1个小时的分析跳转到的快速查询配置为刚创建好的访问数分析配置一个过滤语句，从而使得事件单元上获取到的remote_addr这个ip值能作为快速查询的过滤条件演示事件的效果

事件模拟2：点击一个ip，查看ip的归属地找到一个查询ip归属地网站，这里以https://www.ip138.com/iplookup.asp?ip=42.120.75.142 action=2 为例子，可以看到ip作为一个url参数被传递到网站上配置remote_addr的一个新的事件，并跳转到这个网址去查看归属地

此处配置2个地方：

设置为自定义http链接将ip后的参数替换为${remote_addr}占位符演示事件的效果，点击的事件单元为113.27.233.145

3. 未来计划

对于SLS而言，我们的目标是让用户更加聚焦于日志的价值，致力于成为可观察性的统一平台，我们不仅仅是具备Logs、Metrics、Traces数据的采集和存储，更重要的是将这些数据进行关联分析，建立各类高价值的规则，那么事件系统必定为成为这些规则的触发器，我们期望SLS上你的数据一切皆可形成事件单元，链接不同的资源。后续，我们的事件配置会出现在Log、Metrics、Traces、图表、机器学习的各个地方，建立统一的配置交互，方便灵活扩展。

相关信息

知乎：https://zhuanlan.zhihu.com/aliyunlog
微信公众号：日志服务 or LogAnalytics
哔哩哔哩：https://space.bilibili.com/630680534
开发者社区（存储）：https://developer.aliyun.com/group/storage/#/?_k=c756p3

本文转自网络，原文链接：https://developer.aliyun.com/article/783700
本站部分内容转载于网络，版权归原作者所有，转载之目的在于传播更多优秀技术内容，如有侵权请联系QQ/微信：153890879删除，谢谢！