FilterIndex 与过滤器的比较

为了说明filterIndex和之间的区别filter，请考虑以下示例查询。假设您已经为四个日志组创建了字段索引IPaddress，但没有为第五个日志组创建字段索引。以下使用的查询filterIndex将跳过扫描未为该字段编制索引的日志组。对于每个已编入索引的日志组，它会尝试仅扫描具有索引字段的日志事件，并且还仅返回创建字段索引之后的结果。

fields @timestamp, @message 
| filterIndex IPaddress = "198.51.100.0" 
| limit 20

相比之下，如果您使用filter而不是对相同的五个日志组filterIndex进行查询，则该查询不仅会尝试扫描包含已编入索引的日志组中的值的日志事件，还会扫描未编制索引的第五个日志组，它将扫描第五个日志组中的所有日志事件。

fields @timestamp, @message 
| filter IPaddress = "198.51.100.0" 
| limit 20