compare
Mit dem Befehl compare
können Sie die Eigenschaften, die vom Befehl link
generiert wurden, über die angegebenen Vergleichsintervalle vergleichen.
Syntax
compare [fields=<field> [,<field>]*] [timeshift = <offset> [size = <size>][count=<int>] | timerange <datetime> to <datetime> [as <new_field_name>], ...]
Parameter
In der folgenden Tabelle sind die in diesem Befehl verwendeten Parameter sowie deren Beschreibungen aufgeführt.
Parameter | Beschreibung |
---|---|
|
<direction><int><timescale> OR auto Legt den Vergleichszeitraum als Offset des aktuellen Zeitraums fest.
|
size |
<int><timescale> Legt die Länge des Vergleichszeitraums fest.
|
count |
<int> Gibt die Anzahl der Zeitbereiche für den Vergleich an. Wenn kein Standardwert angegeben wird, lautet der Standardwert 1. |
|
Legt Start und Ende eines Vergleichszeitraums explizit fest. |
Beispiel für die Verwendung dieses Befehls in typischen Szenarios:
Der folgende Befehl vergleicht die durchschnittliche Inhaltsgröße einer Entity vor 7 Tagen und vor 14 Tagen:
* | link Entity
| stats avg('Content Size') as 'Average Content Size'
| compare fields = 'Average Content Size' timeshift = -7d count = 2
Der folgende Befehl vergleicht die durchschnittliche Inhaltsgröße einer Entity aus einem anderen Zeitraum:
* | link Entity
| stats avg('Content Size') as 'Average Content Size'
| compare fields = 'Average Content Size'
timerange = '2018-06-07T00:00:00Z' to '2018-06-14T00:00:00Z' as T1
Der folgende Befehl vergleicht 2 Zeitbereiche, die dieselbe Fenstergröße wie der aktuelle Zeitraum haben, in negativer Richtung. Beispiel: Wenn der aktuelle Zeitraum Letzte 60 Minuten ist, lauten die timeshift
-Bereiche Letzte 60 bis 120 Minuten und Letzte 120 bis 180 Minuten:
* | link span = 5minute 'Log Source'
| compare timeshift = auto count = 2