Multiple records in the same query

[leandromatperei]

Hello

I have the following problem, I need to correlate the FRA-HOR- {Code} data with the string var_sub_fora_ {Code} (LOCAL), but I am not able to correlate the information in the same log:

I tried this query, but need to finish:

index=teste "FRA-HOR-" 
| rex field=_raw "FRA-HOR-(?<cod>\d+)"
| table _time cod

Log:

2020-10-06T14:34:01.730_I_I_032f03071971a490 [09:06] >>>>>>>>>>>>start interp() 
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_list_FraseForaDeHorario(LOCAL) <- STRING[3,10]: "FRA-HOR-02"
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_01(LOCAL) <- STRING[2,133]: "Ol\xE1, nosso hor\xE1rio de atendimento \xE9 das 6:00 \xE0s 23hs de segunda \xE0 domingo. Retorne nesse per\xEDodo e converse com nossos especialistas."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_02(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."

2020-10-06T14:34:01.730_I_I_032f03071971a490 [09:06] >>>>>>>>>>>>start interp() 
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_list_FraseForaDeHorario(LOCAL) <- STRING[3,10]: "FRA-HOR-05"
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_05(LOCAL) <- STRING[2,133]: "Ol\xE1, nosso hor\xE1rio de atendimento \xE9 das 6:00 \xE0s 23hs de segunda \xE0 domingo. Retorne nesse per\xEDodo e converse com nossos especialistas."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_02(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."

2020-10-06T14:34:01.730_I_I_032f03071971a490 [09:06] >>>>>>>>>>>>start interp() 
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_list_FraseForaDeHorario(LOCAL) <- STRING[3,10]: "FRA-HOR-03"
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_05(LOCAL) <- STRING[2,133]: "Ol\xE1, nosso hor\xE1rio de atendimento \xE9 das 6:00 \xE0s 23hs de segunda \xE0 domingo. Retorne nesse per\xEDodo e converse com nossos especialistas."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_03(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."

2020-10-06T14:34:01.730_I_I_032f03071971a490 [09:06] >>>>>>>>>>>>start interp() 
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_list_FraseForaDeHorario(LOCAL) <- STRING[3,10]: "FRA-HOR-04"
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_05(LOCAL) <- STRING[2,133]: "Ol\xE1, nosso hor\xE1rio de atendimento \xE9 das 6:00 \xE0s 23hs de segunda \xE0 domingo. Retorne nesse per\xEDodo e converse com nossos especialistas."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_03(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_04(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_03(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."

2020-10-06T14:34:01.730_I_I_032f03071971a490 [09:06] >>>>>>>>>>>>start interp() 
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_list_FraseForaDeHorario(LOCAL) <- STRING[3,10]: "FRA-HOR-07"
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_07(LOCAL) <- STRING[2,133]: "Ol\xE1, nosso hor\xE1rio de atendimento \xE9 das 6:00 \xE0s 23hs de segunda \xE0 domingo. Retorne nesse per\xEDodo e converse com nossos especialistas."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_03(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_04(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."
    _I_I_032f03071971a490 [09:04] ASSIGN: var_sub_fora_03(LOCAL) <- STRING[2,116]: "O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados."

[ITWhisperer · Accepted solution]

Code	Data
02	O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados.
05	Ol\xE1, nosso hor\xE1rio de atendimento \xE9 das 6:00 \xE0s 23hs de segunda \xE0 domingo. Retorne nesse per\xEDodo e converse com nossos especialistas.
03	O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados.
04	O nosso hor\xE1rio de atendimento \xE9 de Segunda a Sexta-feira das 08h00 \xE0s 19h00 (hor\xE1rio de Bras\xEDlia), exceto feriados.
07	Ol\xE1, nosso hor\xE1rio de atendimento \xE9 das 6:00 \xE0s 23hs de segunda \xE0 domingo. Retorne nesse per\xEDodo e converse com nossos especialistas.

If I understood your requirement, this represents the result you want?

| rex "FRA-HOR-(?<cod>\d+)"
| rex max_match=0 "var_sub_fora_(?<fora>\d+)\(LOCAL\)[^:]+:\s\"(?<foradata>[^\"]+)"
| eval foraindex=mvfind(fora,cod)
| eval data=mvindex(foradata,foraindex)
| table _time, cod, data