Sumo Logic（スモーロジック）は、スケジュール検索の「Save to Index」アラートタイプに変更を加えることを発表した。この変更は2026年8月24日から有効となり、一部のアカウントに段階的に展開されるが、一般公開はまだ開始されていない。ベンダーは、主な変更点として2点を挙げている。1つは、集計クエリー結果のメッセージ（_raw）フィールドに値が入力されなくなること、もう1つは、保存済みビューエントリーの上限である512件が撤廃されることだ。
以前の動作では、集計クエリーを実行すると、個々の名前付きフィールドに加えて、_rawフィールドに合成されたカンマ区切りのメッセージ文字列が生成されていた。今後は、この合成されたメッセージ値は省略される。全てのデータはそのまま保持され、名前付きフィールド（例： _count、batch、parsedfield）を通じてアクセスできるが、これらの結果の_rawフィールド自体は空になる。
スケジュールされた検索出力をビューに保存する組織（通常、新しいビュー名を指定する際にScheduledSearchViewとして作成される）は、影響を受ける可能性が最も高い。_rawフィールドを解析して値を抽出するシステムやクエリー、名前付きフィールドではなくメッセージ本文にのみ存在するプレーンテキストやキーワードを検索するシステム、またはフィールド値を取得するために表示されるMessage列に依存するシステムやクエリーは、注意が必要だ。名前付きフィールドを直接参照しているクエリーは、変更なしで引き続き機能する。
512件という結果制限が撤廃されたことにより、スケジュールされた検索では、実行ごとに返される全ての結果を保存できるようになり、512行に制限されることがなくなった。この変更により、制限演算子や同様の境界ロジックで結果を制限していない、頻繁に実行される検索（例えば、15分ごとに実行される検索）のデータ量が増加する可能性がある。
管理者は、スケジュールされた検索、およびSave to Indexビューから読み取る下流のダッシュボードやアラートを確認し、_raw/Messageへの依存を特定することが推奨されている。影響を受けるクエリーは、メッセージ本文から値を解析するのではなく、名前付きフィールドを直接参照するように更新する必要がある。_rawを対象とする解析演算子や、スタンドアロンのキーワードを含むソース式を確認することで、依存関係を特定できる。512件の結果上限が解除されたため、特にアクションは必要ないが、実行ごとのデータ量を制御したいチームには、制限演算子を追加するか、結果セットを何らかの方法で制限することが推奨されている。影響を受けるクエリーの特定または更新に関するサポートが必要な組織は、Sumo Logicサポートに問い合わせるよう指示されている。
出典：Sumo Logic
この製品の詳細については、Sumo Logic製品ページをご覧ください。
