日志服务告警监控任务会将一个检索分析结果当做一个集合，最多可支持三个集合关联监控。
注意事项
- 监控任务最多选取集合操作结果中的前 1000 行数据用于告警触发。
- 关联监控三个集合时，监控任务最多选取各个检索分析结果中的前 100 行数据用于集合操作，并且监控任务会先对前两个集合进行操作，然后再将该操作结果与第三个集合进行集合操作。
工作原理
日志服务告警监控任务会将一个检索分析结果当做一个集合，并支持通过笛卡尔积、左联和右联等方式连接多个集合，组成一个结果集用于告警触发。
集合操作 | 图解 | 说明 |
|---|---|---|
笛卡尔积 | 集合 A 与集合 B 中的元素互相交叉组合，组成一个新集合。 | |
左联 | 集合 A 为主表，集合 B 为维表，组成满足条件的新集合。 | |
右联 | 集合 B 为主表，集合 A 为维表，组成满足条件的新集合。 | |
内联 | 集合 A 和集合 B 的交集。 | |
全联 | 集合 A 和集合 B 相互补充。 |
示例
笛卡尔积
本示例创建了一个告警策略用于监控网站访问日志，当 1 小时内 error 级别和 warning 级别的日志数量超过 100 时，触发告警。
- 告警配置
- 结果
执行语句 1 结果
Total
89
执行语句 2 结果
Total
20
集合操作结果
$1.Total
$2.Total
89
20
左联
本示例用于展示多集合左联操作的结果。
- 告警配置
- 结果
执行语句 1 结果
uid
region
10001
beijing
10002
shanghai
10003
guangzhou
执行语句 2 结果
uid
total
region
10001
18
beijing
10002
20
shanghai
集合操作结果
设置集合操作为左联，条件为$1.uid==$2.uid。uid
$1.region
$2.region
total
10001
beijing
beijing
18
10002
shanghai
shanghai
20
10003
guangzhou
null
null
右联
本示例用于展示多集合右联操作的结果。
- 告警配置
- 结果
执行语句 1 结果
uid
region
10001
beijing
10002
shanghai
10003
guangzhou
执行语句 2 结果
uid
total
region
10001
18
beijing
10002
20
shanghai
集合操作结果
设置集合操作为右联，条件为$1.uid==$2.uid。uid
$1.region
$2.region
total
10001
beijing
beijing
18
10002
shanghai
shanghai
20
内联
本示例用于展示多集合内联操作的结果。
- 告警配置
- 结果
执行语句 1 结果
uid
method
10001
PUT
10002
GET
10003
POST
执行语句 2 结果
uid
total
region
10001
18
beijing
10002
20
shanghai
集合操作结果
设置集合操作为内联，条件为$1.uid==$2.uid。uid
method
region
total
10001
PUT
beijing
18
10002
GET
shanghai
20
全联
本示例用于展示多集合全联操作的结果。
- 告警配置
- 结果
执行语句 1 结果
uid
method
10001
PUT
10002
GET
10003
POST
执行语句 2 结果
uid
total
region
10001
18
beijing
10002
20
shanghai
集合操作结果
设置集合操作为全联，条件为$1.uid==$2.uid。uid
method
region
total
10001
PUT
beijing
18
10002
GET
shanghai
20
10003
POST
无
无