JOINのON句について

[masagara8823]

１．source="date1"| JOIN type=inner join col1[ SEARCH source="data1" ]で抽出件数が絞られまん。
また、
２．source="date1"| JOIN type=inner join col1 not col2 not col3 [ SEARCH source="data1" ]で下記のエラーが発生します。
Error in 'join' command: Field 'not' should not be specified more than once.
NOT条件は１つまでなのでしょうか。また、１で期待した件数の絞りこまれない原因は何なのでしょうか。

ご教示の程、宜しくお願いします。

[masagara8823]

not が1つの場合はエラーにはなりませんでした。また、フィールドにnot という項目もありません。on句の指定数の制限については忘れて下さい。
やりたい事はテーブルの自己結合イメージで以下になります。
select distinct a.* from tbl as a inner join tbl as b on ( a.col1=b.col1 and a.col2<>b.col2 and a.col3<>b.col3)
以上、宜しくお願いします。

[masagara8823]

回答有難うございます。
「Splunkを使ってみよう」にJOINについて記載がありましたが、DBのテーブル結合とどの程度互換があるのか分かりませんでした。
ON句に指定できる項目は4つまでNOTは使用不可との仕様になるのでしょうか。
以上、宜しくお願いします。

[HiroshiSatoh]

１で期待した件数の絞りこまれない原因
⇒おなじ条件のサーチ文なので当然絞り込まれません。もう少し具体的なサンプルがあれば回答可能だと思います。

NOT条件は１つまでなのでしょうか。
⇒マニュアル少し見ましたが、そもそもJOINコマンドにNOTは使えないと思われます。NOTを項目名と認識して２重で指定してあると判断されてエラーになっていると思います。

[HiroshiSatoh]

＞ON句に指定できる項目は4つまでNOTは使用不可との仕様になるのでしょうか。
→マニュアル上は４つまでと制限されているような記述は見つけられませんでした。４つというのはどこからきましたか？NOTは使用不可です。