如何从Sumo Logic结果中排除时间字段？

Question

如何从结果集中排除时间（_messagetime）元数据字段？
我尝试过：

field -_messagetime

但这给了我错误

Field _messagetime not found, please check the spelling and try again.

使用：

fields -time

也不会删除该字段。

目前，我正在使用对数据没有影响的聚合（计数）来解决这个问题。

[编辑] 这是一个示例查询：

删除消息（_raw）有效。但是删除时间（_messagetime）并没有。

这些结果被用作电子邮件警报，因此从“显示”中删除“时间”字段并不是真正的选择。

Answer 1

最简单的方法是在结果左侧的字段浏览器窗口中关闭该字段：

另一种选择是先聚合然后删除聚合字段-即使您只是在_raw上聚合（原始消息）：

_sourceCategory=blah
| count by _raw
| fields -_count

如果您仍然遇到问题，可以共享其余查询吗？

---

根据您的新查询进行编辑：

*
| parse "Description=\"*\"" as Description
| parse "Date=\"*\"" as Date
| count by Description, Date, Action
| fields -_count

Answer 2

据我所知，时间字段是时间片操作的结果。以下应该做的把戏 | fields - _timeslice