Search Splunk搜索功能有多强大？

我是个新手。就三天多。我一直在使用Lucene以已部署和未部署数据的形式索引和搜索原始数据。我对lucenes在搜索方面的表现印象深刻。我想知道经验社区是否可以在这里指导我使用splunk的一些功能。特别是与splunk相比，我已经知道了Lucene。不仅仅限于搜索

• splunk如何处理停止词？在这种情况下非常常见的词 a、 问题是。。。我们可以手动提供给lucene

• splunk Pex是否形成通配符搜索、邻近搜索、正则表达式搜索？我知道 它可以进行现场搜索

• 对索引进行优化。特别是压缩

• 有可能在splunk上进行模糊的、基于同义词的搜索吗
  我知道这一定是一个很长的问题，但我肯定想知道一些在splunk上有经验的人的观点，希望不要偏离SO的规则

---

谢谢。

这可能是对Splunk和Lucene之间差异的一个很长的讨论，前者试图为时间序列、机器生成的数据编制索引，后者最初设计用于为人工生成的文本文档编制索引。我们可以从你的问题开始

Splunk没有停止词的概念。默认情况下，Splunk索引事件中找到的所有关键字，如分段规则所定义

Splunk提供通配符搜索和短语搜索，但索引不提供本机邻近搜索或正则表达式搜索。对于这些，我们依赖于搜索处理管道中的后续命令

Splunk积极压缩我们存储的原始数据，通过显式压缩和其他低占用数据结构，我们花费大量精力使索引尽可能小。通常，您可以预期原始数据的大小为原始数据的10%，索引的大小为原始数据大小的20-40%，具体取决于熵。Splunk通常需要原始数据大小的30-50%作为存储

索引本身不提供同义词支持，因为这从根本上说是人类文本的问题。然而，我们在eventtypes中提供了一个类似的概念，它可以用来表示有意义的查询类，包括同义词

---

这可能是对Splunk和Lucene之间差异的一个很长的讨论，前者试图为时间序列、机器生成的数据编制索引，后者最初设计用于为人类生成的文本文档编制索引。我们可以从你的问题开始

Splunk没有停止词的概念。默认情况下，Splunk索引事件中找到的所有关键字，如分段规则所定义

Splunk提供通配符搜索和短语搜索，但索引不提供本机邻近搜索或正则表达式搜索。对于这些，我们依赖于搜索处理管道中的后续命令

Splunk积极压缩我们存储的原始数据，通过显式压缩和其他低占用数据结构，我们花费大量精力使索引尽可能小。通常，您可以预期原始数据的大小为原始数据的10%，索引的大小为原始数据大小的20-40%，具体取决于熵。Splunk通常需要原始数据大小的30-50%作为存储

索引本身不提供同义词支持，因为这从根本上说是人类文本的问题。然而，我们在eventtypes中提供了一个类似的概念，它可以用来表示有意义的查询类，包括同义词