mvcombine

mvcombine 命令将一组除了指定字段（单值）以外其他字段值都相同的事件合并为一个事件。聚合结果中该指定字段变为多值字段（拥有聚合前该字段的全部值）且不去重。

例如，
对形如

除了指定字段 a 以外，其他字段有相同值的事件，可以用 mvcombine 命令将这两条数据按照指定字段 a 聚合成单条事件，聚合结果中指定的字段a的值变为 a1,a2。

语法：

mvcombine <field>

参数说明：

必填参数：

• field ：要聚合的字段名称。

示例

有以下原始数据，显示JOHN的三科成绩如下：

{"name":"JOHN","grade":90}
{"name":"JOHN","grade":80}
{"name":"JOHN","grade":70}

汇总JOHN的所有成绩:

*| fields - _raw| mvcombine grade

返回结果:

注意：
分析语句需先过滤掉_raw字段，才满足“除了指定字段（单值）以外其他字段值都相同”的条件。