SumoLogic: поиск строки в начале сообщения журнала

Question

В SumoLogic можно ли искать только текст в начале строки журнала?

Например, я хотел бы соответствовать:

ошибка: о боже, что-то горит!

но нет:

предупреждение: дым обнаружен! наверное просто боб жжет попкорн - без ошибок:)

я пробовал ^error: а также parse "^error:", но ни один, кажется, не соответствует.

Answer 1

Документация Parse Regex или Extract гласит:

Оператор Parse Regex (также называемый оператором извлечения) позволяет пользователям использовать синтаксис регулярных выражений для извлечения более сложных данных из строк журнала. Parse regex можно использовать, например, для извлечения вложенных полей.

Вышеуказанный запрос может быть указан с помощью: parse regex "^(?<errorlevel>error: )"

Предполагая, что запрос регулярных выражений дороже, чем свободный текст, вы можете предварительно фильтровать с помощью: "error: " | parse regex "^(?<errorlevel>error: )",