“行的正则表达式”：使用 MATCH_RECOGNIZE 简化 SQL 中的模式检测
内容提要
Databricks 推出 MATCH_RECOGNIZE，使用类似正则表达式的语法直接匹配行序列，简化事件序列分析。可检测连续登录失败后成功、股价V型反转、用户加购后放弃、设备温度上升伴振动等模式，替代复杂的 gaps and islands、自连接和窗口函数，代码更少、易维护。
延伸解读
MATCH_RECOGNIZE 如何简化序列检测
传统 SQL 将行视为无序集合，缺乏序列概念，检测连续事件模式需复杂查询。MATCH_RECOGNIZE 允许用类似正则表达式的语法直接描述行序列，替代 gaps and islands、自连接和窗口函数，代码更少且易维护。
跨行业应用示例
文章展示了多个行业用例：网络安全中检测连续登录失败后成功，金融中识别股价 V 型反转，产品分析中找出加购后放弃的用户，以及预测性维护中监测温度上升伴振动。这些例子说明 MATCH_RECOGNIZE 能统一处理不同领域的序列模式。
关键机制与优势
MATCH_RECOGNIZE 支持在 DEFINE 块中使用 FIRST、PREV、NEXT 等函数，以及分区结束锚点 $，从而动态检查时间窗口和序列边界。相比传统 SQL 需要多层 CTE 和自连接，它直接表达模式，提升可读性和可维护性。
Q&A
MATCH_RECOGNIZE 是什么？它有什么作用？
MATCH_RECOGNIZE 是 Databricks 推出的一个 SQL 子句，它允许使用类似正则表达式的语法直接匹配行序列，从而简化事件序列分析。它可以检测连续登录失败后成功、股价 V 型反转、用户加购后放弃、设备温度上升伴振动等模式，替代复杂的 gaps and islands、自连接和窗口函数，使代码更少、更易维护。
为什么在标准 SQL 中检测事件序列比较困难？
标准 SQL 将行视为无序的事实集合，没有时间线或事件序列的内在概念。因此，要检测如“连续登录失败后成功”这样的模式，需要编写复杂的查询，链接多个公共表表达式，将时间窗口锚定到第一个失败，然后检查每个后续行。计数无法判断失败是否集中在短时间内，也无法判断成功是否紧随失败之后。
如何使用 MATCH_RECOGNIZE 检测连续登录失败后成功的模式？
在 MATCH_RECOGNIZE 中，可以在 DEFINE 块内使用 FIRST(FAIL.event_time) 直接锚定初始失败尝试的时间戳。每个后续的 FAIL 事件会动态检查是否在第一次尝试的 1 小时内，然后过渡到 SUCCESS 状态。这样就能检测到高频失败后立即成功的可疑登录模式。
MATCH_RECOGNIZE 如何简化股价 V 型反转的检测？
传统 SQL 检测 V 型反转需要使用 gaps and islands 技术，包括 LAG 和 LEAD 比较相邻行、构建运行计数器来标识每个岛屿、再用 HAVING 过滤确认形状，需要大量脚手架代码。而 MATCH_RECOGNIZE 只需按股票代码分区、按时间排序，并用类似正则表达式的状态定义 V 型趋势的序列，无需额外脚手架。
如何用 MATCH_RECOGNIZE 识别用户加购后放弃购买的行为？
MATCH_RECOGNIZE 可以使用分区结束锚点 $ 直接表达“之后没有发生任何事件”，强制加购成为会话中最后记录的事件。再加上空闲时间过滤，就能定义基于超时的放弃规则，无需自连接或 NOT EXISTS 子查询。
MATCH_RECOGNIZE 在预测性维护中如何检测设备故障？
在预测性维护中，可以使用 MATCH_RECOGNIZE 的 DEFINE 子句中的 PREV 和 NEXT 函数（类似于 LAG 和 LEAD）来设置规则，例如温度持续上升后出现振动尖峰。设置温度上升规则只需写 temperature > PREV(temperature)，从而原生处理逐行逻辑，检测危险趋势。
