Betrachten Sie das Beispiel für ein Dataset mit Oracle WebLogic Server-Zugriffslogs aus der Logquelle FMW WLS Server Access Logs. Die Logdatensätze enthalten Daten zum Benutzerzugriff auf Oracle WebLogic Server über einen bestimmten Zeitraum. Diese einzelnen Logdatensätze können analysiert werden, um aussagekräftige Einblicke in die Nutzungsstatistiken, die Popularität der URLs, die aktivsten Benutzer und ähnliche Daten zu erhalten. Erfahren Sie, wie Sie in den Logs die folgenden Ergebnisse erhalten, indem Sie die Logdatensätze mit der Auswahl bestimmter Felder für jedes Ergebnis analysieren:

1. Top-URLs nach Anzahl der Hits anzeigen

2. Anomalien nach Anzahl der Hits anzeigen

3. Anomalien nach Zugriffsdauer anzeigen

4. URLs nach Uploadgröße identifizieren

5. URLs nach Downloadgröße identifizieren

6. Korrelation zwischen Anzahl der Hits und Downloadgröße analysieren

7. Am häufigsten besuchte Seiten bestimmen

8. Top-Benutzer identifizieren

9. Top-Benutzer und deren Favoritenseiten identifizieren

10. Einstiegsseite identifizieren, die die meisten Besuche erreicht

11. Einstiegs- und Austrittspfad für die meisten Benutzer identifizieren

Um das Dataset abzurufen, wählen Sie einen geeigneten Datumsbereich aus, geben Sie die Logquelle an, und führen Sie die Abfrage aus:

'Log Source' = 'FMW WLS Server Access Logs'

Wählen Sie im Bereich Visualisieren die Option Link aus. Dadurch werden die Gruppentabelle "FMW WLS Server Access Logs" und das Blasendiagramm angezeigt.

1. Um die Top-URLs nach Anzahl der Hits anzuzeigen, gruppieren Sie die Logdatensätze nach dem Wert der URL im Logdatensatz, rufen Sie die Gesamtanzahl für die URL in jeder Gruppe ab, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und zeigen Sie das Ergebnis im Tabellenformat an. Mit dieser Analyse können Sie die am häufigsten verwendeten URLs bestimmen.

   1. Verschieben Sie das Feld URI per Drag-and-Drop in Gruppieren nach, und entfernen Sie das Feld Logquelle aus Gruppieren nach.

   2. Ändern Sie nach Ausführung der Abfrage in der Befehlszeile die Namen der Felder wie folgt: Count in Number of Hits, Start Time in First Access, End Time in Last Access und Group Duration in Access Duration.

   3. Entfernen Sie den Befehl classify aus der Befehlszeile, und leiten Sie die Abfrage weiter.

      Die Abfrage lautet wie folgt:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

   Beim Ausführen der Abfrage können Sie die Top-URLs nach Anzahl der Hits in der Tabelle bestimmen. Die Spalten werden wie im rename-Befehl angegeben umbenannt.

2. Um die Anomalien nach Anzahl der Hits anzuzeigen, gruppieren Sie die Logdatensätze nach dem Wert der URL im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Anzahl an Hits der URL. Mit dieser Analyse können Sie das ungewöhnliche Muster beim Zugriff auf die URLs trennen.

   Klicken Sie auf Analysieren, wählen Sie Number of Hits aus, und klicken Sie auf OK.

   Die Abfrage muss in Folgendes geändert werden:

   'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Number of Hits'

   Diese Abfrage löst eine Analyse der Spalte "Number of Hits" aus und erstellt Blasen, die die häufig vorkommenden Bereiche darstellen. Die meisten Werte werden als Baseline behandelt. Beispiel: Eine große Blase kann zur Baseline werden, oder eine große Anzahl kleinerer geclusterter Blasen kann die Baseline bilden. Blasen, die am weitesten von der Baseline entfernt sind, werden als Anomalien markiert.

   Auf diese Weise werden die anormalen URLs als separate Blasen im Blasendiagramm angezeigt. Um den Prozentsatz der URLs in jedem Bereich für die Anzahl der Hits anzuzeigen, bewegen Sie den Cursor auf die Blasen.

3. Um die Anomalien nach Zugriffsdauer anzuzeigen, gruppieren Sie die Logdatensätze nach dem Wert der URL im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Zugriffsdauer der URL. Mit dieser Analyse können Sie das ungewöhnliche Muster in der Zeit trennen, die für den Zugriff auf die URLs benötigt wird. Fortsetzung zu Schritt 2:

   Klicken Sie auf Analysieren, wählen Sie Access Duration aus, und klicken Sie auf OK.

   Die Zugriffsdauer gibt an, wie lange auf jede URL zugegriffen wurde. Dieser Wert wird als Differenz zwischen dem letzten Zeitstempel und dem ersten Zeitstempel in der Logdatei für jede URL berechnet.

4. Um die URLs nach Uploadgröße zu identifizieren, gruppieren Sie die Logdatensätze nach dem Wert der URL im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Größe der hochgeladenen Daten. Mit dieser Analyse können Sie die URLs identifizieren, die eine ungewöhnliche Größe an hochgeladenen Daten aufweisen. Fortsetzung zu Schritt 3:

   1. Verschieben Sie das Feld Content Size In per Drag-and-Drop in den Abschnitt Wert.

   2. Benennen Sie das Feld Content Size In in Bytes Uploaded um, indem Sie die Abfrage in der Befehlszeile ändern, und führen Sie die Abfrage aus.

   3. Klicken Sie auf Analysieren, wählen Sie Bytes Uploaded aus, und klicken Sie auf OK.

      Die Abfrage lautet wie folgt:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Bytes Uploaded'

      Im Analysediagramm werden die Gruppen von URLs nach den hochgeladenen Byte angezeigt.

   4. Um die Daten zu hochgeladenen Byte über den Zeitraum zu korrelieren, können Sie Diagramme in den Histogrammoptionen selektiv ausblenden oder anzeigen. Untersuchen Sie neben dem Balkendiagramm die anderen Visualisierungsoptionen.

5. Um die URLs nach Downloadgröße zu identifizieren, gruppieren Sie die Logdatensätze nach dem Wert der URL im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Größe der heruntergeladenen Daten. Mit dieser Analyse können Sie die URLs identifizieren, die eine ungewöhnliche Größe an heruntergeladenen Daten aufweisen. Fortsetzung zu Schritt 4:

   1. Verschieben Sie das Feld Content Size Out per Drag-and-Drop in den Abschnitt Wert, und entfernen Sie Content Size In aus dem Abschnitt Wert.

   2. Benennen Sie das Feld Content Size Out in Download Size um, indem Sie die Abfrage in der Befehlszeile ändern, und führen Sie die Abfrage aus.

   3. Klicken Sie auf Analysieren, wählen Sie Download Size aus, und klicken Sie auf OK.

      Die Abfrage lautet wie folgt:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Download Size'

      Im Analysediagramm werden die Gruppen von URLs nach Downloadgröße angezeigt.

   4. Um die Daten zur Downloadgröße über den Zeitraum zu korrelieren, können Sie Diagramme in den Histogrammoptionen selektiv ausblenden oder anzeigen. Untersuchen Sie neben dem Balkendiagramm die anderen Visualisierungsoptionen.

6. Um die Korrelation zwischen der Anzahl der Hits und der Downloadgröße zu analysieren, gruppieren Sie die Logdatensätze nach dem Wert der URL im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Größe der heruntergeladenen Daten und die Anzahl der Hits. Mit dieser Analyse können Sie die URLs mit ungewöhnlichen Mustern in der Größe der heruntergeladenen Daten und der Anzahl der Hits identifizieren. Fortsetzung zu Schritt 5:

   1. Klicken Sie auf Analysieren, wählen Sie die Felder Number of Hits und Download Size aus, und klicken Sie auf OK.

   2. Entfernen Sie topcount=300 aus der Abfrage, um alle Blasen anzuzeigen, und führen Sie die Abfrage aus.

      Die Abfrage lautet wie folgt:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify 'Download Size', 'Number of Hits'

   Im Blasendiagramm wird das Feld Number of Hits entlang der X-Achse und Download Size entlang der Y-Achse dargestellt.

   
   
   
   Beschreibung der Abbildung correlation.bmp
   
   

   Die Blasen können wie folgt interpretiert werden:

   • Auf 73,8 % der URLs wurde ein- bis siebenmal zugegriffen.

   • Die durchschnittliche Downloadgröße für diese 73,8 % der URLs liegt zwischen 32.345 und 34.000. Dieser enge Bereich impliziert, dass eine große Anzahl von URLs ein sehr einheitliches Verhalten in Bezug auf die Downloadgröße aufweisen.

   • Da 73,8 % die Mehrheit ist, werden die übrigen Punkte als Anomalien markiert.

   • Bei echten Daten gruppiert das System .css-, .js- und Bilddateien oft separat von anderen URLs, da sie in der Regel andere Downloadverhalten aufweisen.

7. Um die am häufigsten besuchten Seiten zu bestimmen, gruppieren Sie die Logdatensätze nach dem Wert der URL im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Anzahl der Unique Visitors. Mit dieser Analyse können Sie die URLs identifizieren, die am meisten von den Unique Visitors besucht werden. Fortsetzung zu Schritt 6:

   1. Verschieben Sie das Feld User Name per Drag-and-Drop in den Abschnitt Wert.

   2. Klicken Sie auf den Abwärtspfeil neben dem Feldnamen, und ändern Sie die Funktion von Eindeutig in Eindeutige Anzahl. Weitere Funktionen, die Sie für ein numerisches Feld auswählen können:

   3. Benennen Sie das Feld User Name in Number of Unique Users um, entfernen Sie den Befehl classify, indem Sie die Abfrage in der Befehlszeile ändern, und führen Sie die Abfrage aus. Die Abfrage lautet wie folgt:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded', avg('Content Size Out') as 'Download Size', distinctcount('User Name') as 'Number of Unique Users' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' 

   4. Klicken Sie auf Analysieren, wählen Sie das Feld Number of Unique Users aus, und klicken Sie auf OK.

   In der Tabelle werden die URLs und die entsprechende Anzahl an Unique Users aufgeführt. Damit können Sie die URLs identifizieren, die am meisten von Unique Users besucht wurden. Aus der Tabelle können Sie auch die Anzahl der Hits jeder URL bestimmen.

   Die Analyse zeigt, dass mehr als 99 % der URLs 0 oder 1 Unique User haben. Das wäre bei URLs der Fall, bei denen keine Anmeldung erforderlich ist oder auf die nur selten zugegriffen wird. Wenn Sie einen Drilldown zu einer der kleineren Blasen durchführen, sehen Sie die spezifischen Seiten, die Anzahl der Hits, die sie normalerweise aufweisen, und die Anzahl der Unique Visitors.

8. Um die Top-Benutzer zu identifizieren, gruppieren Sie die Logdatensätze nach dem Wert des Benutzernamens im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Anzahl der Hits. Mit dieser Analyse können Sie die aktivsten Benutzer identifizieren.

   1. Bearbeiten Sie die Befehlszeile, um alle Filter zu entfernen: 'Log Source' = 'FMW WLS Server Access Logs' | link URI

   2. Verschieben Sie das Feld User Name per Drag-and-Drop in Gruppieren nach, entfernen Sie URI, und führen Sie die Abfrage aus.

   3. Entfernen Sie den Befehl classify, benennen Sie die Standardfelder in der Befehlszeile um, und führen Sie die folgende Abfrage aus:

      'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

      Die Tabelle ist nach der Anzahl der Hits durch den Benutzer sortiert.

   4. Um das Benutzerverhalten nach Zugriff anzuzeigen, klicken Sie auf Analysieren, wählen Sie das Feld Number of Hits aus, und klicken Sie auf OK.

   5. Klicken Sie auf die Anomalien, um die Benutzer zu identifizieren, die im Vergleich zu den anderen Benutzern eine höhere oder niedrigere Anzahl an Hits verzeichnet haben.

9. Um die Top-Benutzer und ihre Favoritenseiten zu identifizieren, gruppieren Sie die Logdatensätze nach dem Wert des Benutzernamens im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Anzahl der eindeutigen Seiten. Mit dieser Analyse können Sie die am wenigsten aktiven und die aktivsten Benutzer sowie deren Favoritenseiten identifizieren. Fortsetzung zu Schritt 8:

   1. Verschieben Sie das Feld URI per Drag-and-Drop in den Abschnitt Wert. Ändern Sie die Funktion von Eindeutig in Eindeutige Anzahl.

   2. Benennen Sie das Feld URI in Number of Unique Pages um, indem Sie die Abfrage in der Befehlszeile ändern, und führen Sie die Abfrage aus.

   3. Klicken Sie auf Analysieren, wählen Sie das Feld Number of Unique Pages aus, und klicken Sie auf OK.

10. Um die Einstiegsseite zu identifizieren, die maximale Besuche erreicht, gruppieren Sie die Logdatensätze nach dem Wert des Benutzernamens im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um, und analysieren Sie die Gruppen für die Werte der Einstiegs-URLs und die Anzahl der Hits zu den URLs. Mit dieser Analyse können Sie die Seiten identifizieren, auf die die Benutzer zuerst zugreifen. Fortsetzung zu Schritt 9:

    1. Um die Einstiegs-URLs abzurufen, ändern Sie die Funktion des Feldes URI von Eindeutige Anzahl in Erstes.

    2. Benennen Sie das Feld URI in Entry URL um, indem Sie die Abfrage in der Befehlszeile ändern, und führen Sie die Abfrage aus.

    3. Klicken Sie auf Analysieren, wählen Sie die Felder Number of Hits und Entry URL aus, setzen Sie topcount auf 20, und klicken Sie auf OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Number of Hits', 'Entry URL'

    
    
    
    Beschreibung der Abbildung entry_page.bmp
    
    

    Dadurch wird die erste URL, die von den Benutzern verwendet wird, in Bezug auf die Anzahl der Hits angezeigt. Beispiel: /login ist die erste URL, die von der Mehrheit der Benutzer verwendet wird.

11. Um den Einstiegs- und Austrittspfad für die meisten Benutzer zu identifizieren, gruppieren Sie die Logdatensätze nach dem Wert des Benutzernamens im Logdatensatz, benennen Sie die Standardfelder in der Gruppentabelle in geeignete Werte um und analysieren Sie die Gruppen für die Werte der Einstiegs-URLs und Austritts-URLs. Mit dieser Analyse können Sie Folgendes identifizieren:

    • Die häufigsten Pfade der Benutzer beim Durchlaufen der Website

    • Die beliebtesten Produktseiten, von denen die Benutzer die Website verlassen

    • Die häufigsten Austritts-URLs, wie die Produkt-Checkout-Seiten oder das Zahlungsgateway

    • Die ungewöhnlichen Austritts-URLs und die Ursache für unerwartete Beendigungen

    Fortsetzung zu Schritt 10:

    1. Verschieben Sie das Feld URI per Drag-and-Drop in den Abschnitt Wert.

    2. Um die Austrittsseite abzurufen, ändern Sie die Funktion des Feldes URI von Eindeutig in Letzter Zeitpunkt.

    3. Bearbeiten Sie die Befehlszeile, benennen Sie das Feld latest(URI) in Exit URL um, und leiten Sie die Abfrage weiter.

    4. Klicken Sie auf Analysieren, wählen Sie die Felder Entry URL und Exit URL aus, setzen Sie topcount auf 20, und klicken Sie auf OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL', latest(URI) as 'Exit URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Entry URL', 'Exit URL'

    5. Erhöhen Sie die Größe des Diagramms mit den Analysediagrammoptionen.

    
    
    
    Beschreibung der Abbildung entry_exit.bmp
    
    

    Diese Treemap zeigt die Beziehung zwischen der Einstiegs- und Austritts-URL in einer Site. Das wäre sehr nützlich für Einzelhandelssites, auf denen die Serviceprovider die Einstiegs-URLs identifizieren möchten, die Kunden zu den Checkout-Seiten führen, und die Produkt-URLs, die Benutzer dazu veranlassen, den Checkout nicht fortzusetzen.

Um ein neues virtuelles Feld zu erstellen, können Sie den eval-Befehl im Linkfeature verwenden. Die eval-Abfrage in der Befehlszeile generiert ein Liniendiagramm für das virtuelle Feld und ermöglicht das Tracking im Zeitablauf.

Beispiele:

• Angenommen, die Logdatensätze aus der Logquelle SAR CPU Logs sind nach Hostname und CPU gruppiert. Um die von der CPU des Servers im Laufe der Zeit verzeichnete Last zu bestimmen, erstellt der Befehl eval das virtuelle Feld Load % und generiert das Liniendiagramm.

  'Log Source' = 'SAR CPU Logs' | rename Instance as CPU | link 'Host Name (Server)', CPU | stats avg('CPU Idle Time (%)') as 'CPU Idle Time (%)' | eval 'Load %' = 100 - 'CPU Idle Time (%)'

  So zeigen Sie das Liniendiagramm an:

  1. Klicken Sie auf die Registerkarte Histogramm.

  2. Klicken Sie neben dem Symbol Diagrammoptionen () auf den Pfeil nach unten. Klicken Sie auf Diagramme aus-/einblenden. Wählen Sie Load % aus.

  3. Klicken Sie neben dem Symbol Diagrammoptionen () auf den Pfeil nach unten. Klicken Sie auf Diagrammoptionen. Wählen Sie in der Liste Diagrammtyp die Option Linie ohne Marker aus. Klicken Sie auf Schließen.

  
  
  
  Beschreibung der Abbildung eval_load_cpu.png
  
  

• Angenommen, die Logdatensätze aus der Logquelle OMC WLS Server Access Logs sind nach der URI gruppiert. Um die Größe der im Laufe der Zeit aufgerufenen Daten in Megabyte zu bestimmen, erstellt der Befehl eval das virtuelle Feld Content Size (MB). Außerdem berechnet der Befehl die Inhaltsgröße in Megabyte basierend auf dem Wert des Feldes Content Size und generiert das Liniendiagramm.

  'Log Source' = 'WLS Server Access Logs' | link URI | stats avg('Content Size') as 'Content Size Bytes' | eval 'Content Size (MB)' = 'Content Size Bytes' / 1024

  So zeigen Sie das Liniendiagramm an:

  1. Klicken Sie auf die Registerkarte Histogramm.

  2. Klicken Sie neben dem Symbol Diagrammoptionen () auf den Pfeil nach unten. Klicken Sie auf Diagramme aus-/einblenden. Wählen Sie Content Size (MB) und Access Log Records aus.

  3. Klicken Sie neben dem Symbol Diagrammoptionen () auf den Pfeil nach unten. Klicken Sie auf Diagrammoptionen. Wählen Sie in der Liste Diagrammtyp die Option Linie ohne Marker aus. Klicken Sie auf Schließen.

  
  
  
  Beschreibung der Abbildung content_size_mb.png
  
  

Mit link 'SQL Statement' können Sie SQLs gruppieren, ihr Verhalten analysieren und Anomalien identifizieren.

Beispiel::

Beachten Sie die folgende Abfrage, mit der die Logdatensätze basierend auf dem Feld SQL-Anweisung verknüpft werden:

'Log Source' in ('Database Audit Logs', 'Database Audit XML Logs') 
	| rename 'Host Name (Server)' as 'DB Server', 'User Name (Originating)' as 'OS User', 'User Name' as 'DB User' 
	| link 'SQL Statement' 
	| rename Count as 'Number of Runs', 'Start Time' as 'First Run', 'End Time' as 'Last Run', 'Group Duration' as Age 
	| addfields [ Object = dual | stats count as 'dual Table Access' ], 
		[ Object like 'all_%' | stats count as 'ALL_ Table Access' ], 
		[ Object like 'dba_%' | stats count as 'DBA_ Table Access' ], 
		[ Object like 'user_%' | stats count as 'USER_ Table Access' ], 
		[ Object like 'v$%' | stats count as 'VDollar Table Access' ], 
		[ Object = null | stats count as 'No Table Access' ], 
		[ Action = '2' | stats count as 'Insert Count' ], 
		[ Action = '3' | stats count as 'Select Count' ], 
		[ Action = '6' | stats count as 'Update Count' ], 
		[ Action = '7' | stats count as 'Delete Count' ], 
		[ Type = '8' | stats count as 'Connect Count' ], 
		[ 'Status Code' = 1 | stats count as Failures ] 
	| eval 'Object Type' = if('dual Table Access' > 0, Dual, 
		'ALL_ Table Access' > 0, System, 
		'DBA_ Table Access' > 0, System, 
		'USER_ Table Access' > 0, System, 
		'VDollar Table Access' > 0, System, 
		'No Table Access' > 0, 'No Table', Other) 
	| eval 'SQL Type' = if('Insert Count' > 0, Insert, 
		'Select Count' > 0, Select, 
		'Update Count' > 0, Update, 
		'Delete Count' > 0, Delete, 
		'Connect Count' > 0, Connect, Other) 
	| stats distinctcount(Object) as Objects, distinctcount('Database ID') as 'Number of DBs', 
		distinctcount(Session) as 'Number of Sessions' 
	| fields -'dual Table Access', -'No Table Access', -'ALL_ Table Access', 
		-'USER_ Table Access', -'DBA_ Table Access', -'VDollar Table Access', -'Insert Count', 
		-'Select Count', -'Update Count', -'Delete Count', -'Connect Count', -'SQL Type', -'Object Type' 
	| classify Age 
	| classify 'Number of Sessions' 
	| classify 'Number of DBs' 
	| classify 'Number of Runs', 'Object Type' 
	| classify 'Object Type', 'SQL Type'

Durch Ausführung der obigen Abfrage erhalten Sie folgende Ergebnisse:

• Basierend auf dem classify-Befehl werden die Blasendiagramme für Age, Number of Sessions, Number of DBs, Number of Runs, Object Type und Object Type, SQL Type generiert.

  
  
  
  Beschreibung der Abbildung link_sql_statement.png
  
  
  
  
  Beschreibung der Abbildung link_sql_bubble.png
  
  

  In den Blasendiagrammen werden die Logdatensätze basierend auf der Anzahl der SQLs gruppiert, die unter die einzelnen Parametergruppen fallen. Die Parameter Object Type und SQL Type werden mit dem Befehl eval in der Abfrage bestimmt.

• Das Histogramm Linien/Flächen stellt das Vorkommen von Feldern wie dual Table Access, No Table Access, ALL_ Table Access, USER_ Table Access, DBA_ Table Access, VDollar Table Access, Insert Count, Select Count, Update Count, Delete Count, Connect Count und Log Records im Zeitablauf dar.

  1. Klicken Sie auf der Registerkarte für das Histogramm neben dem Symbol Diagrammoptionen () auf den Pfeil nach unten.

  2. Zeigen Sie die Diagramme aller Felder an.

  3. Wählen Sie unter Diagrammtyp die Option Linien/Flächen aus.

  4. Passen Sie die Breite an, um zwei Diagramme pro Zeile anzuzeigen.

  
  
  
  Beschreibung der Abbildung link_sql_area_chart.png
  
  

• In der Gruppentabelle werden die von Link identifizierten Gruppen basierend auf dem Feld SQL-Anweisung aufgeführt. Sie können feststellen, dass die Tabelle für jede SQL die Häufigkeit der SQL-Ausführung, die Startzeit, die Endzeit und die Gruppendauer angibt. Klicken Sie auf jede Gruppe, und zeigen Sie die Logdatensätze an, um weitere Details aufzurufen. Sie können die Gruppen auch zur weiteren Analyse in der Clustervisualisierung anzeigen.

  
  
  
  Beschreibung der Abbildung link_sql_table.png
  
  

Betrachten Sie dieses nicht sortierte Dataset aus einer Zugriffslogdatei. Die folgenden Felder geben die Informationen zu einer Benutzersession und die vom Benutzer ausgeführten Aktionen an:

Time | Session ID | Action
 T2  | 1          | Login
 T1  | 5          | Login
 T6  | 1          | addtocart
 T3  | 1          | productlisting
 T4  | 1          | purchase
 T9  | 1          | purchase
 T7  | 5          | addtocart
 T5  | 1          | addtocart
 T8  | 5          | purchase 

Die Aktionen wie Login, addtocart, productlisting und purchase werden in einer zufälligen Reihenfolge von T1 bis T9 aufgezeichnet und sind in zwei Sessions mit den Session-IDs 1 und 5 aufgetreten.

Um eine ähnliche Zeitanalyse der Zugriffslogs durchzuführen, extrahieren Sie Session ID aus den Logs in ein Feld. Extrahieren Sie die Zwischenschritte der Session aus den Zugriffslogs, indem Sie einen regulären Ausdruck anwenden, um die URL aus den Logs abzurufen.

In einem generischen Kontext stellen die Sessions in diesem Beispiel alle Benutzertransaktionen dar. Die Aktionen stellen die Zwischenschritte dar, die der Benutzer zum Abschließen einer Transaktion ausführt.

Um diese nicht sortierten Daten zu analysieren und die erforderlichen Informationen zu extrahieren, kann die folgende Beispielabfrage ausgeführt werden:

'Upload Name' = logadmin 
| link 'Session ID'
| rename 'Group Duration' as 'Session Duration' 
| addfields 
  [ Action = addtocart | stats earliest(Time) as 'First Add To Cart Time' ], 
  [ Action = purchase | stats latest(Time) as 'Last Purchase Time' ] 
| eval 'Time Taken for Purchase (Secs)' = ('Last Purchase Time' - 'First Add To Cart Time') / 1000 
| fields -'First Add To Cart Time', 
         -'Last Purchase Time' 
| classify 'Time Taken for Purchase (Secs)'

• link 'Session ID' gruppiert die Zugriffslogdatensätze nach Session-ID und erstellt zwei Gruppen:

  Time | Session ID | Action
   T2  | 1          | Login
   T6  | 1          | addtocart
   T3  | 1          | productlisting
   T4  | 1          | purchase
   T5  | 1          | addtocart
   T9  | 1          | purchase
  
   T1  | 5          | Login
   T7  | 5          | addtocart
   T8  | 5          | purchase

• addfields wird für jede dieser Gruppen ausgeführt. Der erste addfields-Befehl wählt die Datensätze mit Action = addtocart aus. Das Ergebnis dieser Abfrage ist für beide Gruppen wie folgt:

  Time | Session ID | Action
   T6  | 1          | addtocart
   T5  | 1          | addtocart
  
   T7  | 5          | addtocart

• stats earliest(Time) sortiert das obige Ergebnis für jede Gruppe nach Zeit:

  Time | Session ID | Action
   T5  | 1          | addtocart
   T6  | 1          | addtocart
   
   T7  | 5          | addtocart

• Dann wird das angegebene Feld Time aus dem ersten Datensatz übernommen:

  'First Add To Cart Time' = T5 for Group = 1
  'First Add To Cart Time' = T7 for Group = 5

• Der zweite addfields-Befehl wird für Action = purchase ausgeführt und extrahiert die folgenden Datensätze:

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) sortiert die oben genannten Datensätze ebenfalls nach Time:

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) ruft den letzten Datensatz ab und extrahiert das angegebene Feld (Time):

  'Last Purchase Time' = T9 for Group = 1
  'Last Purchase Time' = T8 for Group = 5

• Zu diesem Zeitpunkt sind für beide Gruppen die Werte für First Add to Cart Time und Last Purchase Time festgelegt. Hierbei handelt es sich um Zeitstempel. eval subtrahiert einen Wert vom anderen, um die verstrichene Zeit abzurufen.

• Sie können die beanspruchte Zeit vom Hinzufügen zum Warenkorb zum Schritt Einkauf für jede Session abrufen. Diese Daten können Sie jetzt in classify verwenden, um die Abweichung dieser verstrichenen Zeit über Sessions hinweg zu analysieren.

  
  
  
  Beschreibung der Abbildung time_analysis_bubble.png
  
  

Die Syntax und andere Details des Befehls addfields finden Sie unter addfields.