受控语言
确定性短句，一句一个概念，一词只有一个含义。读完它们，你就有了这一章的全部词汇。
- SPL 是搜索处理语言：一条语句描述“取哪些日志、怎么加工、如何呈现”。
- 竖线 | 把语句串成管道：前一步的输出，是后一步的输入。
- 语句的第一段永远是检索条件，决定取回哪些日志。
- filter / where 按条件过滤日志。
- eval 计算并生成新字段。
- stats 分组统计，例如按 host 统计错误数。
- timechart 分时统计，把指标画成时间曲线。
- rex 用正则从原文抽出新字段。
- sort、rename、fields、head 负责排序、改名、选列、限量。
- 关联分析用 join 或子查询把两路日志对上。
- 学习路径三步：先会搜索，再会统计，最后会关联。
- 好的 SPL 像句子一样能被读出来。
结构图
一条 SPL 的管道旅程。图上的方块都可以点：点击查看它的职责。
交互式网页
概念自测：每题即点即判，答完看解析。目标：全对，或错得明白。
得分 0 / 4
Q1 SPL 中竖线 | 的作用是？
解析 SPL 借鉴 Unix 管道：| 串联多个处理步骤，数据像水一样流过。
Q2 按小时统计错误数曲线，应使用哪个命令？
解析 timechart 专做分时统计，天然输出时间序列曲线。
Q3 想从原始报文里抽出一个新字段，用？
解析 rex 即正则抽取，在查询期从原文中提取字段（Schema on Read 的典型用法）。
Q4 SPL 的推荐学习顺序？
解析 先取对数据，再做统计，最后才玩得转跨路关联。
定制视频
本章分镜脚本（时间 / 画面 / 解说词）；成片在全书内容校准完成后统一制作。
| 时间 | 画面 | 解说词 |
|---|---|---|
| 0:00-0:12 | 终端上一个闪烁的光标 | 如果分析是一件事，SPL 就是把这件事写成一句话。 |
| 0:12-0:35 | 一条竖线从天而降，左右各亮一个命令块 | SPL 的灵魂是这条竖线：左边的结果，是右边的输入。像流水线，也像接力。 |
| 0:35-1:00 | 示例语句逐段高亮：filter→stats→sort | 取回错误日志，按主机统计条数，再倒序排名——三步，就是一份 TopN 报告。 |
| 1:00-1:20 | timechart 曲线在屏幕上生长 | timechart 让数字长出时间轴，趋势一眼可见。 |
| 1:20-1:45 | 三台阶：搜索→统计→关联 | 学习路径三步走：会搜索、会统计、会关联。下一章：让查询自己开口报警。 |