Zeitreihendiagramm

Filter aktivieren

Das Dialogfeld "Filteroptionen" zeigt die Liste der Felder an, die im Timestat-Diagramm verwendet werden. Aktivieren Sie das Kontrollkästchen Suchfilter anzeigen. Sie können ein oder mehrere Felder auswählen, die im Filterbereich angezeigt werden sollen. Beispiel: Betrachten Sie die folgende Suche:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Entity Type'
| timestats name = 'Entity Types'
            sum(Count) as 'Number of Logs',
            sum('Raw Size (bytes)') as 'Log Size'
        by 'Entity Type'

Im Dialogfeld "Filteroptionen" werden jetzt die folgenden vom Befehl timestats generierten Felder und die in der by-Klausel verwendeten Felder angezeigt: Entitytyp, Anzahl Logs, Loggröße.

Im Feldbereich können Sie einen oder mehrere Filter auswählen, um nur diese spezifischen Datenpunkte anzuzeigen. Sie können den Filter zurücksetzen, indem Sie die Option Alle auswählen umschalten.

Nachdem der Filter für ein bestimmtes Feld aktiviert wurde, klicken Sie auf das Symbol Einstellungen neben dem Feldnamen, um die vollständige Werteliste für ein Feld Zeichenfolge anzuzeigen.

Filter anpassen

Rufen Sie das Dialogfeld Filter anpassen im Menü Einstellungen neben dem Titel Ihres Zeitreihendiagramms auf.

Bei numerischen Feldern können Sie den Filter auch anpassen, indem Sie auf das Symbol Einstellungen neben dem numerischen Feldnamen klicken. Das Dialogfeld Filter anpassen wird geöffnet. Die folgenden Optionen für das Berechnungsverfahren für Bereich sind verfügbar:

• Standard: Standardmäßig wird der Bereich auf ein Fünftel des Höchstwerts festgelegt und dann auf 2s, 3s, 4s, 5s oder 10s gerundet. Beispiel: Wenn der Höchstwert 48 ist, wäre der Bereich 10. Then the buckets would be calculated as Below 0, Up to 9, 10 - 19, 20 - 29, 30 - 39, 40 - 49, Above 50.

• Logarithmisch: Um logarithmische Bereiche wie 1 - 10, 10 - 100 und 1000 - 10000 zu verwenden, ändern Sie die Bereichsberechnungsmethode in logarithmisch.

• Benutzerdefiniert: Für bestimmte Datasets sind Variablenbereiche erforderlich. Beispiel: Die Anforderung, den CPU-Durchschnitt für die Unterauslastung als 0 - 30%, 30 - 80% als effektive Auslastung, 80 - 95% als Warnung und alles, was über 95% liegt, ist extrem. Um Variablenbereiche dafür zu konfigurieren, können Sie durch Komma getrennte Werte 30,80,95 angeben. Dadurch werden die Buckets 0-30, 30-80, 80-95, 95+ erstellt.

Sie können optional das Kontrollkästchen Bucket-Werte <= 0 Separat aktivieren, um einen separaten Bucket für die Feldwerte kleiner/gleich Null zu erstellen.

Im Filter suchen

Rufen Sie das Dialogfeld Filter anpassen im Menü Einstellungen neben dem Titel Ihres Zeitreihendiagramms auf.

Für die Felder Zeichenfolge können Sie den Text für die Suche eingeben. Sie können auch reguläre Ausdrücke für die Suche angeben. Beispiel: Wenn Sie nach e$ suchen, werden alle Feldwerte angezeigt, die mit dem Buchstaben e enden.

Aktivieren Sie die Option Invertieren, um nur die Werte anzuzeigen, die nicht mit den Kriterien übereinstimmen.

Syntax der Verknüpfungszeitpläne

Im Anwendungsfall Zeitreihenanalyse mit dem Befehl timestats für detaillierte Zeitreihen wird die folgende Abfrage verwendet:

'Log Source' = 'OCI VCN Flow Unified Schema Logs' 
| link span=1day Time, Action
| timestats name="Trend of Action" sum(Count) as Records by Action

Teile des Befehls timestats im obigen Beispiel sehen wie folgt aus:

Die folgenden Parameter können in der Befehlssyntax verwendet werden:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Log Source'
| timestats avg('Raw Size (bytes)') as Size,
            sum(Count) as Records
         by 'Log Source'

Verwenden der Felder in den Verknüpfungszeiträumen

Es gibt zwei Typen von Feldern, die für eine Timestats-Funktion verwendet werden können:

• Eigenschaftsfeld: Jedes Feld, das im Befehl link verwendet oder mit den Befehlen stats, eventstats, eval, lookup, nlp oder delta nach link erstellt wird.

• Feld für Logdatensatz: Ein Feld, das in der Logquelle definiert ist und im Logdatensatz vorhanden ist. Sie können sich direkt über eine Timestats-Funktion auf solche Felder beziehen.

In einer Klausel sind nur Eigenschaftsfelder zulässig. Große Felder wie Meldung, Ursprünglicher Inhalt, Fehlerstack sind in einer Funktion oder in einer Beispielausgabe nicht zulässig.

Teil von Logs Charting: Verwenden Sie den Befehl addfields, um Diagramme für eine bestimmte Teilmenge von Daten zu generieren. Die in addfields verwendeten Felder müssen ein Eigenschaftsfeld sein. Das folgende Beispiel veranschaulicht die Verwendung von addfields:

*
| link Time, 'Log Source'
| addfields 
   [ * | where 'Log Source' in ('Linux Audit Logs', 
                                'Linux Secure Logs', 
                                'Linux Syslog Logs', 
                                'Linux Cron Logs') 
       | timestats name = 'Linux Logs' sum(Count) as Records by 'Log Source' 
   ],    [ * | where 'Log Source' not in ('Linux Audit Logs', 
                                          'Linux Secure Logs', 
                                          'Linux Syslog Logs', 
                                          'Linux Cron Logs') 
             | timestats name = 'Non Linux Logs' sum(Count) as Records by 'Log Source' 
   ]

Anzahl der zurückzugebenden Diagramme angeben: Geben Sie mit den Parametern topcount oder bottomcount die Anzahl der Diagramme an, die an die UI zurückgegeben werden sollen.

• topcount: Bei der Gruppierung nach Feldern wird die Anzahl N eindeutiger Gruppen mit den größten aggregierten Werten zurückgegeben.
• bottomcount: Bei der Gruppierung nach Feldern wird die Anzahl N eindeutiger Gruppen mit den kleinsten aggregierten Werten zurückgegeben.

Beispiel:

*
| link Time, 'Log Source'
| timestats topcount = 3 name = 'Top 3 Log Sources by Count'
            sum(Count) as 'Log Records'
        by 'Log Source'
| addfields
     [ * | where 'Log Source' in ('Linux Audit Logs', 'Linux Secure Logs', 'Linux Syslog Logs', 'Linux Cron Logs')
         | timestats bottomcount = 3 name = 'Bottom 3 Linux Logs'
                     sum(Count) as Records
                   by 'Log Source' ]

Die folgenden Diagramme werden als Ergebnis der Ausführung der obigen Abfrage generiert:

Limits für Zeitreihen

• Anzahl der Felder in der by-Klausel: In der Klausel sind nur bis zu vier Felder zulässig.

• Zulässige Felder: Verhindern Sie, dass große Felder in der Funktion und in der by-Klausel verwendet werden. Beispiele für große Felder sind die Felder Meldung, Ergänzende Details, Fehlerstack und Ursprünglicher Loginhalt.

• Nullwerte: Zeitwerte ausrichten die Werte in der Linktabelle mit den Werten in der Spalte Startzeit. Beispiel: Ein Feld Dauer darf nur Werte für 10:06 Uhr, 10:10 Uhr und 1:12 Uhr enthalten. Im Rahmen des Befehls alignment gleicht ein timestats avg(Duration)-Befehl die Werte von 10:06 AM und 10:10 AM in einem einzigen Durchschnitt für 10:00 Uhr aus. Da keine Werte für 11 Uhr und 12 Uhr vorhanden sind, werden sie mit Nullen gefüllt. Der Wert 1:12pm wird im Intervall 1 PM platziert.

  Das tatsächliche Ausrichtungsintervall hängt vom Intervall ab, das für die Abfrage verwendet wird. Mit dem Parameter span kann ein Intervall explizit angegeben werden.

• Anzahl Zeitreihenwerte: Es werden nur 100 Reihen pro Timestats-Befehl zurückgegeben. Hier sind einige Beispiele, die dieses Limit veranschaulichen:

  • Der Befehl timestats sum(Count) as Records by 'Log Source' gibt nur die Top 100 Logquellen zurück. Die Top 100 werden identifiziert, indem zuerst die Werte jeder Logquellen-Zeitreihe sortiert und dann diese Zeitreihen sortiert werden. Das heißt, wenn Datensätze für eine Logquelle nur Nullen und eine einzelne große Spitze enthält, wird diese in die zurückgegebenen Ergebnisse aufgenommen.
  • Der Befehl timestats sum(Count) as Records by 'Log Source', Label gibt die Top 100 unique-Kombinationen von Log Source und Label zurück.

  Wenn Teilergebnisse zurückgegeben werden, gibt ein Info-Symbol neben der Zeitreihe die Gesamtanzahl der generierten Serien an.

  Im Folgenden finden Sie einige Optionen für die Verarbeitung einer großen Anzahl von Zeitreihenwerten:

  • Verwenden Sie den Befehl addfields, um die spezifischen Werte zu filtern, die in Timestats verwendet werden sollen.
  • Verwenden Sie topcount oder bottomcount, um die Top 100- oder Bottom 100-Diagramme zurückzugeben.
  • Verwenden Sie den Befehl timecluster, um die Zeitreihe zu clustern. Dadurch wird die Anzahl der Diagramme reduziert, da nur repräsentative Muster zurückgegeben werden.

Konfigurationsoptionen für Zeitreihendiagramme

Ähnlich wie bei den Histogrammdiagrammen stehen Ihnen die folgenden Optionen zur Verfügung, mit denen Sie die Diagramme untersuchen können. Klicken Sie auf das Symbol "Diagrammoptionen" :

• Diagramme ausblenden/anzeigen: Sie können ein Diagramm ein- oder ausblenden.

• Diagrammtyp auswählen: Sie können verschiedene Diagrammtypen auswählen.

• Höhe und Breite des Diagramms anpassen: Mit der Option "Höhe" können Sie die Höhe des Diagramms erhöhen. Ziehen Sie das Steuerelement "Breite", um die Breite der Diagramme zu erhöhen oder zu verringern. Wenn mehrere Funktionen vorhanden sind, würde eine Verringerung der Breite dazu führen, dass mehr Diagramme in derselben Zeile angezeigt werden. Bei voller Breite werden alle Diagramme in einzelnen Zeilen angezeigt. Wenn Sie die Breite verringern, werden die Diagramme in mehrspaltiger Reihenfolge angeordnet.

• Korrelieren über Diagramme hinweg: Mit der Diagrammoption Korrelierte QuickInfos anzeigen können Sie korrelierte QuickInfos über Diagramme hinweg anzeigen.

Darüber hinaus können Sie Ihre Diagramme mit den folgenden Optionen konfigurieren:

• Legendensteuerung: Sie können die Legenden mit der Option Legende anzeigen in den Diagrammoptionen ein- oder ausschalten.

• Diagrammfilter: Sie können die Zeitreihen mit den Filtern interaktiv analysieren. Aktivieren Sie die Filter, indem Sie auf Diagrammoptionen, Filter und Suchfilter anzeigen klicken. Die Filteroptionen zeigen die Liste der Felder an, die im Timestat-Diagramm verwendet werden. Sie können ein oder mehrere Felder auswählen, die im Bereich "Filter" angezeigt werden sollen. Nachdem Sie die Filteroptionen ausgewählt haben, werden die vom Befehl "timestats" generierten Felder sowie die Felder, die in der by-Klausel verwendet werden, über dem Diagramm angezeigt.

  Wählen Sie mindestens einen Filter aus, um nur diese spezifischen Datenpunkte anzuzeigen. Sie können die Filterauswahl zurücksetzen, indem Sie die Option Alle auswählen umschalten.

• Filter suchen und anpassen: Klicken Sie neben einem Filternamen auf das Symbol "Optionen" , um die vollständige Werteliste für diesen Filter anzuzeigen. Sie können den Suchtext eingeben. Sie können auch reguläre Ausdrücke für die Suche angeben. Beispiel: Wenn Sie nach e$ suchen, werden alle Ergebnisse angezeigt, die mit dem Buchstaben e enden.

  Aktivieren Sie die Option Invertieren, um nur die Werte anzuzeigen, die nicht mit den Kriterien übereinstimmen.

• Farben auswählen: Sie können die Farbe für jede Zeitreihe konfigurieren.

  Beachten Sie die folgende Abfrage, die den Trend jeder Status in den OCI-Auditlogs anzeigt:

  Status != null and 'Log Source' = 'OCI Audit Logs'
  | link Time, Status
  | timestats sum(Count) as 'Number of Hits' by Status

  Das Diagramm zeigt die Statuswerte und deren Standardfarbe an. Die Werte im Feld "Status" sind 200, 201, 404, 409, 204 und 400.

  
  
  
  
  

  Aktivieren Sie die Filter mit den Diagrammoptionen, um die Farboption neben dem Diagramm anzuzeigen.

  
  
  
  
  

  Klicken Sie auf den Link Farbe, wählen Sie das Feld Status, und wählen Sie eine Palette aus, die so viele Farben wie die zu konfigurierenden Werte hat.

  
  
  
  
  

  Aktualisieren Sie jeden Farbausdruck mit dem Wert oder einem regulären Ausdruck, den Sie abgleichen möchten.

  
  
  
  
  

  Sie können diesen Vorgang für jedes Feld in der Dropdown-Liste "Farbe" wiederholen, um die Farben zu konfigurieren.

Funktionsweise von Link timecluster

Clustering betrachtet jede Zeitreihe mit ähnlicher Ausprägung und ähnlichen Werten. Im Folgenden sind einige der Eigenschaften aufgeführt, mit denen die Zeitreihen geclustert werden:

• Gipfel und Täler in der Zeitreihe: Zeitreihen mit ähnlichen Gipfeln und Tälern werden in der Regel gemeinsam gruppiert.

• Werte an jedem Punkt: Selbst wenn zwei Zeitreihen ähnliche Spitzen aufweisen, können sie immer noch in verschiedene Cluster fallen, wenn die Werte weit voneinander entfernt sind.

Jedes Cluster erhält die folgenden Eigenschaften, die in der Konsole angezeigt werden:

timecluster hat eine ähnliche Syntax und Optionen wie der timestats-Befehl. Informationen zur Syntax und zu den Konfigurationsoptionen für Zeitreihendiagramme finden Sie unter Verknüpfungstimestatsyntax und Konfigurationsoptionen für Zeitreihendiagramme.

Ein Beispiel für einen Anwendungsfall zum Plotten einer Zeitreihe mit timecluster finden Sie unter Zeitreihenclustering.