选择数据流与时间范围
选择日志数据流，然后设置包含目标事件的最小时间窗口。时间范围越小，扫描行数越少，字段探索也越快。 MoleSignal 可在事件到达时推断并演进 schema。字段 面板列出数据流的字段，无需重写完整查询即可添加筛选条件。查询标签页
每条查询都在自己的标签页中运行。标签页各自保留数据流、查询和时间范围，一个标签页中的查询不影响另一个。- 选择 新建标签页 打开另一条查询，最多同时打开 10 个标签页。
- 打开标签页的菜单，可以 重命名、复制标签页 或 关闭。
- 选择 分成两栏，并排显示两个标签页。每一栏列出自己的标签页，标签页可以从菜单移到另一栏。合并为一栏 结束分栏。
编写查询
编辑器有 代码 和 构造器 两种模式。 代码 模式接受字段查询或 SQL。以SELECT 或 WITH 开头的语句按 SQL 执行，其余按字段查询执行：
多个条件用
AND 和 OR 连接，不区分大小写。AND 优先于 OR，括号可以给条件分组：level = 'error' AND (service = 'checkout' OR service = 'payments')。不带字段的文本在 message 字段中搜索，也可以作为其中一个分支：timeout OR "connection reset"。引号内的短语作为整体搜索，即使其中有 or 这样的词。比较运算符有 =、!=、>、>=、< 和 <=。
构造器 模式把同一条字段查询显示为多行筛选条件，每个分支一行：同一行的条件需同时满足，第一行之后的每一行前写着 或。选择 条件 在该行添加条件，选择 或 添加一行，然后选择字段、比较方式和值。每行有自己的搜索文本。行内带括号的部分（例如上例中的 OR）保持原样，只能在 代码 模式中修改。SQL 语句无法显示为筛选条件。
需要 join、表达式、CTE 或聚合时使用 SQL：
⌘ Enter 或 Ctrl+Enter。查询语法速查 列出当前模式的示例。文本搜索函数参见查询。
即使提交自定义 SQL，查询规划器仍会强制应用当前组织边界。
探索字段
字段 面板分为三部分：显示字段、索引字段 和 其他字段。带点号的字段名如果第一段相同，例如http.method 和 http.route，会归为一组展开。
- 展开字段，查看结果中最常见的取值。可以把某个取值添加为正向筛选或排除筛选。该筛选作用于整条查询：含有多个分支的查询会先加上括号。
- 把字段显示为结果的一列，或将其隐藏。
- 在字段上选择 分析，打开字段分析：不同值总数、有值与缺失的行数、数值字段的统计指标、数值分布，以及最常见取值随时间的变化。
阅读结果
结果上方的直方图统计时间范围内匹配查询的全部事件，而不只是已加载的这一页。结果有四个视图：
在 原始日志 视图中：
- 列设置 用于选择列并调整顺序。默认列取自数据流的字段：先是时间，然后是数据流中存在的级别、服务和消息字段。
- 每页可显示 100、200、500、1,000、2,000 或 5,000 个事件。
- 点击事件会在结果旁的抽屉中打开详情，拖动抽屉左边缘可以调整宽度，宽度会被保存。头部显示级别、时间、消息，以及标识这条日志的属性（服务、主机、环境、版本、链路），每个属性都有与字段相同的操作。视图包括 字段、带 Trace ID 时的 调用链、上下文 和 原始 JSON。调用链 显示链路瀑布图并选中这条日志所在的 Span。上下文 显示前后各 5 条日志。在字段上可以添加筛选、复制值，或把字段显示为列。
- 标识齐全时，可以跳转到链路、服务、指标或其他关联信号。
- 结果可以下载为 CSV、文本或 JSON。
分享查询
页面地址就是屏幕上的查询：查询运行后，页面把数据流、查询语句（字段查询为q，SQL 为 sql）和结果视图写入地址，直接复制地址栏即可分享这个查询，时间范围与时间选择器一致，例如最近 1 小时。刷新页面后，查询和编辑器保持原样。
选择 分享，复制当前查询的链接。已登录本组织且有权读取这些数据的成员可以打开链接。选择链接的时间范围：当前选择时间 把范围固定为屏幕上的这段时间；另一个选项保留相对范围（例如最近 1 小时），从打开链接时算起。
搜索任务
对交互式请求来说过大的搜索会作为搜索任务运行。打开 数据流 → 搜索任务 跟踪任务并下载结果。参见数据流。保存的视图
把 SQL 查询命名保存为保存的视图。之后可以重新打开视图、在其他时间窗口重新执行，或绑定到报告。权限
streams.read用于发现数据流和 schema。streams.query用于执行搜索和查看上下文。agent.use用于执行智能巡检，此外还需要已启用的 AI 模型。saved_views.create、saved_views.edit、saved_views.delete控制保存的视图。
日志巡检
让 Mole Agent 按需或按周期巡检日志数据流。
跨信号关联
从日志事件进入对应的链路、服务、指标或主机上下文。