compare

Mit dem Befehl compare können Sie die Eigenschaften, die vom Befehl link generiert wurden, über die angegebenen Vergleichsintervalle vergleichen.

Syntax

compare [fields=<field> [,<field>]*] [timeshift = <offset> [size = <size>][count=<int>] | timerange <datetime> to <datetime> [as <new_field_name>], ...]

Parameter

In der folgenden Tabelle sind die in diesem Befehl verwendeten Parameter sowie deren Beschreibungen aufgeführt.

Parameter Beschreibung

offset

<direction><int><timescale> OR auto

Legt den Vergleichszeitraum als Offset des aktuellen Zeitraums fest.

  • auto: Die Zeitverschiebung entspricht der Fenstergröße des aktuellen Zeitraums in negativer Richtung.
  • direction-Syntax: + | -
  • timescale-Syntax: <sec> | <min> | <hour> | <day> | <week> | <mon>
  • sec-Syntax: s | sec | secs | second | seconds
  • min-Syntax: m | min | mins | minute | minutes
  • hour-Syntax: h | hr | hrs | hour | hours
  • day-Syntax: d | day | days
  • week-Syntax: w | week | weeks
  • month-Syntax: mon | month | months
size <int><timescale>

Legt die Länge des Vergleichszeitraums fest.

  • timescale-Syntax: <sec> | <min> | <hour> | <day> | <week> | <mon>
  • sec-Syntax: s | sec | secs | second | seconds
  • min-Syntax: m | min | mins | minute | minutes
  • hour-Syntax: h | hr | hrs | hour | hours
  • week-Syntax: w | week | weeks
  • month-Syntax: mon | month | months
count <int>

Gibt die Anzahl der Zeitbereiche für den Vergleich an. Wenn kein Standardwert angegeben wird, lautet der Standardwert 1.

datetime

Legt Start und Ende eines Vergleichszeitraums explizit fest.

Beispiel für die Verwendung dieses Befehls in typischen Szenarios:

Der folgende Befehl vergleicht die durchschnittliche Inhaltsgröße einer Entity vor 7 Tagen und vor 14 Tagen:

* | link Entity 
| stats avg('Content Size') as 'Average Content Size' 
| compare fields = 'Average Content Size' timeshift = -7d count = 2

Der folgende Befehl vergleicht die durchschnittliche Inhaltsgröße einer Entity aus einem anderen Zeitraum:

* | link Entity 
| stats avg('Content Size') as 'Average Content Size' 
| compare fields = 'Average Content Size' 
        timerange = '2018-06-07T00:00:00Z' to '2018-06-14T00:00:00Z' as T1

Der folgende Befehl vergleicht 2 Zeitbereiche, die dieselbe Fenstergröße wie der aktuelle Zeitraum haben, in negativer Richtung. Beispiel: Wenn der aktuelle Zeitraum Letzte 60 Minuten ist, lauten die timeshift-Bereiche Letzte 60 bis 120 Minuten und Letzte 120 bis 180 Minuten:

* | link span = 5minute 'Log Source'
 | compare timeshift = auto count = 2