union

サブクエリの結果をマージします。サブクエリを並行して実行するため、出力順序は保証されません。

コマンドプロパティ

構文

ターゲット

[ SUBQUERY ]

角括弧（[]）で囲んだサブクエリ。サブクエリの結果がメインパイプラインの入力データとして使用されます。

エラーコード

解析エラー

ランタイムエラー

該当なし

説明

union コマンドは、サブクエリを実行してその結果をメインパイプラインの入力データとして渡します。ドライバクエリのため、クエリパイプラインの最初のコマンドとして使用する必要があります。

サブクエリはメインクエリと並行して実行されるため、出力順序は保証されません。統計処理を行う場合のように順序が重要でなく、高い処理性能が必要なときに主に使用します。

使用例

1. 複数テーブルのデータをマージする

   union [
       table duration=1h web_logs
     ]
   | union [
       table duration=1h app_logs
     ]
   | stats count by src_ip
   

   web_logs と app_logs テーブルの直近 1 時間のデータをマージして src_ip 別の件数を集計します。

2. サブクエリで加工してからマージする

   union [
       table duration=1h firewall_logs
       | search action == "deny"
     ]
   | stats count by src_ip
   

   ファイアウォールログから遮断イベントのみをフィルタリングした結果をマージします。