Mit dem Clustervergleichsutility können Sie neue Probleme identifizieren, indem Sie das aktuelle Set von Clustern mit einer Baseline vergleichen und die Ergebnisse reduzieren, indem Sie gemeinsame oder doppelte Cluster eliminieren. Typische Szenarios:

• Welche Cluster sind in dieser Woche anders als in der letzten Woche?

  Siehe Clustervergleich nach Zeitverschiebung.

• Was ist der Unterschied zwischen dem Clusterset von Entity A und dem Set von Entity B?

  Siehe Clustervergleich nach aktueller Zeit.

• Im Monat X waren die Zahlen gut. Was hat sich in diesem Monat geändert?

  Siehe Clustervergleich nach benutzerdefinierter Zeit.

Bei zwei Sets von Logdaten entfernt das Clustervergleichsutility die Daten für die gemeinsamen Cluster und zeigt Histogrammdaten und die Datensatztabelle an, die für jedes Set eindeutig sind. Beispiel: Wenn Sie die Logdaten aus Woche x und Woche y vergleichen, werden die Cluster, die in beiden Wochen gleich sind, zur Vereinfachung entfernt, und die Daten, die für jede Woche eindeutig sind, werden angezeigt. Auf diese Weise können Sie Muster identifizieren, die für eine bestimmte Woche eindeutig sind, und das Verhalten analysieren.

Die Syntax und andere Details des Befehls clustercompare finden Sie unter clustercompare.

1. Wählen Sie in der Clustervisualisierung den aktuellen Zeitraum aus. Standardmäßig ist die Abfrage *. Sie können die Abfrage verfeinern, um die Logdaten zu filtern.
2. Klicken Sie im Bereich Visualisieren auf Clustervergleich.

   Das Dialogfeld "Clustervergleich" wird geöffnet.

3. Sie können sehen, dass die aktuelle Abfrage und der aktuelle Zeitraum zur Referenz angezeigt werden.
   • Baselineabfrage: Standardmäßig ist diese Abfrage mit der aktuellen Abfrage identisch. Klicken Sie auf , und ändern Sie gegebenenfalls die Baselineabfrage.
   • Baselinezeitraum: Standardmäßig verwendet das Clustervergleichsutility die Option Zeitverschiebung verwenden, um den Baselinezeitraum zu bestimmen. Daher hat der Baselinezeitraum dieselbe Dauer wie der aktuelle Zeitraum und wird in den Zeitraum vor dem aktuellen Zeitraum verschoben. Sie können das ändern, indem Sie auf das Symbol klicken und Benutzerdefinierte Zeit verwenden oder Aktuelle Zeit verwenden auswählen. Wenn Sie Benutzerdefinierte Zeit verwenden auswählen, geben Sie den benutzerdefinierten Zeitraum über das Menü an.
   • Klicken Sie auf Vergleichen.

     Sie können nun den Clustervergleich zwischen den beiden Logsets anzeigen.

     Klicken Sie auf die Schaltfläche für jedes Set, um die Details wie Cluster, potenzielle Probleme, Ausreißer, Trends und Datensatztabelle anzuzeigen, die für das Set eindeutig sind. Auf dieser Seite wird auch die Anzahl der Cluster angezeigt, die zwischen den beiden Logsets gleich sind.

     Im obigen Beispiel wurden 11 Cluster nur im aktuellen Bereich, 4 Cluster nur im Baselinebereich und 30 Cluster in beiden Bereichen gefunden. Das Histogramm für den aktuellen Zeitraum zeigt die Visualisierung nur mit den Logdaten an, die für den aktuellen Zeitraum eindeutig sind.

Verwenden Sie den Dictionary Lookup nach dem cluster-Befehl, um Cluster zu annotieren.

Sehen Sie sich die cluster-Ergebnisse für Linux Syslog Logs. So definieren Sie ein Dictionary, um Labels basierend auf dem Feld Clusterbeispiel hinzuzufügen:

1. Erstellen Sie eine CSV-Datei mit den folgenden Inhalten:

   Operator,Condition,Issue,Area
   CONTAINS IGNORE CASE,invalid compare operation,Compare Error,Unknown
   CONTAINS IGNORE CASE REGEX,DNS-SD.*?Daemon not running,DNS Daemon Down,DNS
   CONTAINS ONE OF REGEXES,"[[Cc]onnection refused,[Cc]onnection .*? closed]",Connection Error,Network
   CONTAINS IGNORE CASE,syntax error,Syntax Error,Validation
   CONTAINS IGNORE CASE REGEX,Sense.*?(?:Error|fail),Disk Sensing Error,Disk
   CONTAINS IGNORE CASE REGEX,device.*?check failed,Device Error,Disk

   Importieren Sie diese Datei als Dictionary-Typ-Lookup mit dem Namen Linux Error Categories. Dieser Lookup enthält zwei Felder, Issue und Area, die bei einer Übereinstimmungsbedingung zurückgegeben werden können. Siehe Dictionary Lookup erstellen.

2. Verwenden Sie das Dictionary im Cluster, um ein Feld zurückzugeben:

   Führen Sie den cluster-Befehl für Linux Syslog Logs aus. Fügen Sie einen lookup-Befehl nach cluster hinzu, wie unten gezeigt:

   'Log Source' = 'Linux Syslog Logs' 
   | cluster
   | lookup table = 'Linux Error Categories' select Issue using 'Cluster Sample'

   Der Wert von Cluster Sample für jede Zeile wird anhand der Regeln ausgewertet, die im Dictionary "Linux Error Categories" definiert sind. Das Feld Issue wird von jeder übereinstimmenden Zeile zurückgegeben.

3. Geben Sie mehrere Felder zurück, indem Sie jedes Feld im lookup-Befehl auswählen:

   'Log Source' = 'Linux Syslog Logs'
   | cluster
   | lookup table = 'Linux Error Categories' select Issue as Category, Area using 'Cluster Sample'

   Die obige Abfrage wählt das Feld Issue aus und benennt es in Category um. Das Feld Area ist ebenfalls ausgewählt, wird jedoch nicht umbenannt.

4. Filtern Sie die Clusterergebnisse mit den Dictionary-Feldern:

   Verwenden Sie den where-Befehl für die spezifischen Felder, um die Cluster zu filtern. Beachten Sie die folgende Abfrage:

   'Log Source' = 'Linux Syslog Logs' 
   | cluster 
   | lookup table = 'Linux Error Categories' select Issue as Category, Area using 'Cluster Sample' 
   | where Area in (Unknown, Disk)

   Damit werden nur die Datensätze angezeigt, die mit den angegebenen Werten für das Feld Area übereinstimmen.

Mit der Clustervisualisierung können Sie Textmeldungen in Logdatensätzen clustern. Beim Clustering werden Meldungen, die eine ähnliche Anzahl von Wörtern in einem Satz aufweisen, gruppiert, und die Wörter, die sich innerhalb dieser Sätze ändern, werden identifiziert. Das Cluster berücksichtigt bei der Gruppierung nicht die wörtliche Bedeutung der Wörter.

Der nlp-Befehl unterstützt semantisches Clustering. Semantisches Clustering erfolgt durch Extrahieren der relevanten Schlüsselwörter aus einer Meldung und Clustering basierend auf diesen Schlüsselwörtern. Zwei Sets von Meldungen mit ähnlichen Wörtern werden zusammengefasst. Jede solche Gruppe erhält eine deterministische Cluster-ID.

Das folgende Beispiel zeigt die Verwendung von NLP-Clustering und Schlüsselwörtern in Linux Syslog Logs:

'Log Source' = 'Linux Syslogs Logs'
| link Time, Entity, cluster()
| nlp cluster('Cluster Sample') as 'Cluster ID', 
                    keywords('Cluster Sample') as Keywords
| classify 'Start Time', Keywords, Count, Entity as 'Cluster Keywords'

Weitere Beispiele für Anwendungsfälle von semantischem Clustering finden Sie unter Beispiele für semantisches Clustering.

Kernel reported iSCSI connection 1:0 error (1020 - ISCSI_ERR_TCP_CONN_CLOSE: TCP connection closed) state (2) 
Please verify the storage and network connection for additional faults

Kernel
reported
iSCSI
connection
error
ERR
TCP
CONN
CLOSE
closed
state
...
...