timecluster
Verwenden Sie diesen Befehl, um die Zeitreihendiagramme basierend darauf zu gruppieren, wie ähnlich sie zueinander sind.
Syntax
timecluster [<timecluster_options>] <stats_function> (<field_name>) [as new_field_name] [, <stats_function> (<field_name>) [as new_field_name]]* by <field_name> [, <field_name>]*Parameter
In der folgenden Tabelle sind die mit diesem Befehl verwendeten Parameter sowie deren Beschreibungen aufgeführt.
| Parameter | Beschreibung |
|---|---|
|
|
Mit diesem Parameter geben Sie an, wie die Daten in Buckets eingeteilt werden sollen. Zulässige Werte für diesen Parameter müssen das Format |
|
|
Mit diesem Parameter können Sie die Größe jedes Buckets anhand einer Zeitspanne festlegen. Zulässige Werte für diesen Parameter müssen dem Format Mit dem Parameter Syntax für
|
|
|
Feld muss einen Zeitstempelwert haben. Wenn nicht angegeben, wird |
|
|
Reduzieren Sie die Anzahl der aggregierten Werte, die für eine Funktion zurückgegeben werden. |
|
|
Für das Diagramm anzuzeigender Name. |
Sie können die Funktionen, die mit dem Befehl (
stats) verknüpft sind, auch mit dem Befehl (timecluster) verwenden. Einzelheiten zu den Funktionen und Beispiele für die Verwendung der Funktionen mit dem Befehl finden Sie unter stats.
Beispiel für die Verwendung dieses Befehls in typischen Szenarios:
Die folgende Abfrage gruppiert das Zeitreihenmuster nach Entity.
* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timecluster avg('Content Size') by Entity
Die folgende Abfrage gruppiert die Zeitreihenmuster nach Entity nur für schwerwiegende Logs.
* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | addfields [ * | where Severity = fatal | timecluster avg('Content Size') by Entity ]