用途：通过 cx logs 命令以 DataPrime 语法查询和分析 Coralogix 日志，用于搜索日志、排查错误和调试。
数据模型：Coralogix 日志基本非结构化。每条日志有少量结构化信封（元数据与标签），但应用载荷 $d.（userData）为自由格式，字段名、嵌套和类型因应用而异，无通用 schema。元数据 $m. 与标签 $l.* 可预测，始终可过滤严重级别、时间戳、应用名和子系统名；$d.* 不可预测，使用前应验证字段是否存在。标准字段包括 $m.timestamp、$m.severity、$m.templateid、$l.applicationname、$l.subsystemname 和 $d.*。严重级别关键字不加引号：DEBUG、INFO、WARNING、ERROR、CRITICAL。
命令与选项：cx logs '<dataprime_query>'。若查询未含 source 命令，会自动注入 source logs 前缀。选项：--start 默认 now-1h；--end 默认 now；--limit 默认 100；--tier 可选 frequent（热/近期）或 archive（冷/历史），默认 frequent；-o/--output 可选 text、json、agents，默认 text。
使用方式：可按严重级别、已知字段文本、应用与子系统过滤，或聚合统计。示例：cx logs 'filter $m.severity == ERROR'；cx logs 'filter $m.severity == ERROR | groupby $l.subsystemname aggregate count() as errors | orderby errors desc'；cx logs "filter $d.user_id == '12345'" --tier archive --start now-7d。默认避免 wildfind（会扫描全部字段、结果噪声大），例外是用户给出具体引号错误消息且不知所在字段时，如 cx logs "wildfind 'connection refused'"。
字段发现：仅用标准字段、用户已指明字段、查找具体错误消息或本会话已发现字段时可跳过。否则优先从源码的 logger 调用推断；或用 cx search-fields "customer identifier" --dataset logs 做语义搜索，返回带相似度分数的 DataPrime 路径；或用 cx logs ... --limit 5 -o json 抽样查看实际字段。
限制与排查：Coralogix 日志无通用 schema，$d.* 字段需逐应用验证。查询无结果时一次只改一项：扩大时间范围（--start now-6h 或 now-24h）、放宽过滤、用 -o json 验证字段名、尝试 --tier archive --start now-30d。内联 DataPrime 帮助可用 cx dataprime list 和 cx dataprime show filter。相关资料还关联 dataprime、metrics-query、query-spans、telemetry-querying、cx-alerts 等技能。具体收费、平台范围等未在资料中提供。