Filter aktivieren

Das Dialogfeld "Filteroptionen" zeigt die Liste der Felder an, die im Zeitdiagramm verwendet werden. Aktivieren Sie das Kontrollkästchen Suchfilter anzeigen. Sie können ein oder mehrere Felder auswählen, die im Filterbereich angezeigt werden sollen. Beispiel für die folgende Suche:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Entity Type'
| timestats name = 'Entity Types'
            sum(Count) as 'Number of Logs',
            sum('Raw Size (bytes)') as 'Log Size'
        by 'Entity Type'

Im Dialogfeld "Filteroptionen" werden jetzt die folgenden vom Befehl timestats generierten Felder und die in der by-Klausel verwendeten Felder angezeigt: Entitytyp, Anzahl Logs, Loggröße.

Im Feldbereich können Sie einen oder mehrere Filter auswählen, um nur diese spezifischen Datenpunkte anzuzeigen. Sie können den Filter zurücksetzen, indem Sie die Option Alle auswählen umschalten.

Nachdem der Filter für ein bestimmtes Feld aktiviert wurde, klicken Sie zum Anzeigen der vollständigen Werteliste für ein Feld Zeichenfolge neben dem Feldnamen auf das Symbol "Einstellungen".

Filter anpassen

Rufen Sie das Dialogfeld Filter anpassen im Menü "Einstellungen" unter neben dem Titel des Zeitreihendiagramms auf.

Bei numerischen Feldern können Sie den Filter auch anpassen, indem Sie auf das Symbol "Einstellungen" neben dem numerischen Feldnamen klicken. Das Dialogfeld Filter anpassen wird geöffnet. Die folgenden Optionen für das Berechnungsverfahren für Bereich sind verfügbar:

• Standard: Standardmäßig wird der Bereich auf ein Fünftel des Maximalwerts festgelegt und dann auf 2s, 3s, 4s, 5s oder 10s gerundet. Beispiel: Wenn der Höchstwert 48 ist, ist der Bereich 10. Then the buckets would be calculated as Below 0, Up to 9, 10 - 19, 20 - 29, 30 - 39, 40 - 49, Above 50.

• Logarithmisch: Um logarithmische Bereiche wie 1 - 10, 10 - 100 und 1000 - 10000 zu verwenden, ändern Sie die Bereichsberechnungsmethode in logarithmisch.

• Benutzerdefiniert: Bestimmte Datasets benötigen variable Bereiche. Betrachten Sie beispielsweise die Anforderung, den CPU-Durchschnitt als Bucket 0 - 30% für eine Unterauslastung, 30 - 80% als effektive Auslastung, 80 - 95% als Warnung und etwas über 95% als extremes Ende zu betrachten. Um Variablenbereiche dafür zu konfigurieren, können Sie kommagetrennte Werte 30,80,95 angeben. Dadurch werden die Buckets 0-30, 30-80, 80-95, 95+ erstellt.

Sie können optional das Kontrollkästchen Zeitraumwerte <= 0 getrennt aktivieren, um einen separaten Zeitraum für die Feldwerte kleiner oder gleich Null zu erstellen.

Im Filter suchen

Rufen Sie das Dialogfeld Filter anpassen im Menü "Einstellungen" unter neben dem Titel des Zeitreihendiagramms auf.

Für die Felder Zeichenfolge können Sie den Text für die Suche eingeben. Sie können auch reguläre Ausdrücke für die Suche angeben. Beispiel: Wenn Sie nach e$ suchen, werden alle Feldwerte angezeigt, die mit dem Buchstaben e enden.

Aktivieren Sie die Option Invertieren, um nur die Werte anzuzeigen, die nicht mit den Kriterien übereinstimmen.

Syntax der Link-Zeitstatistiken

Im detaillierten Anwendungsfall Zeitreihenanalyse mit timestats-Befehl wird die folgende Abfrage verwendet:

'Log Source' = 'OCI VCN Flow Unified Schema Logs' 
| link span=1day Time, Action
| timestats name="Trend of Action" sum(Count) as Records by Action

Teile des Befehls timestats im obigen Beispiel sehen wie folgt aus:

Die folgenden Parameter können in der Befehlssyntax verwendet werden:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Log Source'
| timestats avg('Raw Size (bytes)') as Size,
            sum(Count) as Records
         by 'Log Source'

Verwenden der Felder in den Link-Timestats

Es gibt zwei Arten von Feldern, die für eine Timestats-Funktion verwendet werden können:

• Eigenschaftsfeld: Jedes Feld, das im Befehl link verwendet oder mit den Befehlen stats, eventstats, eval, lookup, nlp oder delta nach link erstellt wird.

• Feld "Logdatensatz": Ein Feld, das in der Logquelle definiert ist und im Logdatensatz vorhanden ist. Sie können diese Felder direkt über eine Timestats-Funktion aufrufen.

In einer Beifallklausel sind nur Eigenschaftsfelder zulässig. Große Felder wie Nachricht, Ursprünglicher Inhalt, Fehlerstack sind in einer Funktion oder in einer Beifallklausel nicht zulässig.

Untergruppe von Logs befunden: Mit dem Befehl addfields können Sie Diagramme für eine bestimmte Teilmenge von Daten generieren. Die in addfields verwendeten Felder müssen ein Eigenschaftsfeld sein. Das folgende Beispiel veranschaulicht die Verwendung von addfields:

*
| link Time, 'Log Source'
| addfields 
   [ * | where 'Log Source' in ('Linux Audit Logs', 
                                'Linux Secure Logs', 
                                'Linux Syslog Logs', 
                                'Linux Cron Logs') 
       | timestats name = 'Linux Logs' sum(Count) as Records by 'Log Source' 
   ],    [ * | where 'Log Source' not in ('Linux Audit Logs', 
                                          'Linux Secure Logs', 
                                          'Linux Syslog Logs', 
                                          'Linux Cron Logs') 
             | timestats name = 'Non Linux Logs' sum(Count) as Records by 'Log Source' 
   ]

Anzahl der zurückzugebenden Diagramme angeben: Geben Sie mit den Parametern topcount oder bottomcount die Anzahl der Diagramme an, die an die UI zurückgegeben werden sollen.

• topcount: Geben Sie bei der Gruppierung nach Feldern die Anzahl N eindeutiger Gruppen mit den größten aggregierten Werten zurück.
• bottomcount: Geben Sie bei der Gruppierung nach Feldern die Anzahl N eindeutiger Gruppen mit den kleinsten aggregierten Werten zurück.

Beispiel:

*
| link Time, 'Log Source'
| timestats topcount = 3 name = 'Top 3 Log Sources by Count'
            sum(Count) as 'Log Records'
        by 'Log Source'
| addfields
     [ * | where 'Log Source' in ('Linux Audit Logs', 'Linux Secure Logs', 'Linux Syslog Logs', 'Linux Cron Logs')
         | timestats bottomcount = 3 name = 'Bottom 3 Linux Logs'
                     sum(Count) as Records
                   by 'Log Source' ]

Die folgenden Diagramme werden als Ergebnis der obigen Abfrage generiert:

Limits für Zeitreihen

• Anzahl Felder in der by-Klausel: In der Nebenklausel sind nur bis zu vier Felder zulässig.

• Zulässige Felder: Verwenden Sie keine großen Felder in der Funktion und in der by-Klausel. Beispiele für große Felder sind die Felder Nachricht, Ergänzende Details, Fehlerstack und Ursprünglicher Loginhalt.

• Nullwerte: Zeitwerte ausrichten die Werte in der Linktabelle mit den Werten in der Spalte Startzeit. Beispiel: Ein Feld Dauer kann nur Werte für 10:06 AM, 10:10 AM und 1:12pm enthalten. Im Rahmen der Ausrichtung würde ein timestats avg(Duration)-Befehl die Werte von 10:06 AM und 10:10 AM in einem einzigen Durchschnitt für 10:00 Uhr ausgeben. Da es keine Werte für 11 Uhr und 12 Uhr gibt, werden sie mit Nullen gefüllt. Der Wert 1:12pm wird im Intervall 1 PM platziert.

  Das tatsächliche Ausrichtungsintervall hängt vom Intervall ab, das für die Abfrage verwendet wird. Mit dem Parameter span kann ein Intervall explizit angegeben werden.

• Anzahl Zeitreihenwerte: Es werden nur 100 Serien pro Timestats-Befehl zurückgegeben. Hier sind einige Beispiele, die dieses Limit veranschaulichen:

  • Der Befehl timestats sum(Count) as Records by 'Log Source' gibt nur die Top 100 Logquellen zurück. Die Top 100 werden identifiziert, indem zuerst die Werte der einzelnen Logquellenzeitreihen sortiert und dann diese Zeitreihen sortiert werden. Das heißt, wenn Datensätze für eine Logquelle nur Nullen und eine einzelne große Spitze enthält, ist dies in den zurückgegebenen Ergebnissen enthalten.
  • Der Befehl timestats sum(Count) as Records by 'Log Source', Label gibt die Top 100 eindeutigen Kombinationen aus Logquelle und Label zurück.

  Wenn Teilergebnisse zurückgegeben werden, gibt ein Informationssymbol neben der Zeitreihe die Gesamtanzahl der generierten Serien an.

  Im Folgenden finden Sie einige Optionen für die Verarbeitung einer großen Anzahl von Zeitreihenwerten:

  • Verwenden Sie den Befehl addfields, um die spezifischen Werte zu filtern, die in Timestats verwendet werden sollen.
  • Verwenden Sie topcount oder bottomcount, um die oberen 100 oder unteren 100 Diagramme zurückzugeben.
  • Verwenden Sie den Befehl timecluster, um die Zeitreihe zu clustern. Dies reduziert die Anzahl der Diagramme, da nur repräsentative Proben zurückgegeben werden.

Konfigurationsoptionen für Zeitreihendiagramme

Ähnlich wie bei den Histogrammdiagrammen stehen Ihnen die folgenden Optionen zur Verfügung, die Sie mit den Diagrammen untersuchen können. Klicken Sie auf das Symbol "Diagrammoptionen" :

• Diagramme ein-/ausblenden: Sie können ein Diagramm ein- oder ausblenden.

• Diagrammtyp auswählen: Sie können aus verschiedenen Diagrammtypen auswählen.

• Höhe und Breite des Diagramms anpassen: Sie können die Höhe des Diagramms mit der Option "Höhe" erhöhen. Ziehen Sie das Steuerelement "Breite", um die Breite der Diagramme zu erhöhen oder zu verringern. Wenn mehrere Funktionen vorhanden sind, würde eine Verringerung der Breite dazu führen, dass mehr Diagramme in derselben Zeile angezeigt werden. Bei voller Breite werden alle Diagramme in einzelnen Zeilen angezeigt. Wenn Sie die Breite verringern, werden die Diagramme in mehreren Spalten angeordnet.

• Über Diagramme hinweg korrelieren: Mit der Diagrammoption Korrelierte QuickInfos anzeigen können Sie korrelierte QuickInfos über Diagramme hinweg anzeigen.

Darüber hinaus können Sie die folgenden Optionen zur Konfiguration Ihrer Diagramme verwenden:

• Legendensteuerelement: Sie können die Legenden mit der Option Legende anzeigen in den Diagrammoptionen aktivieren oder deaktivieren.

• Diagrammfilter: Mit den Filtern können Sie die Zeitreihen interaktiv analysieren. Aktivieren Sie die Filter, indem Sie auf Diagrammoptionen, Filter und Suchfilter anzeigen klicken. Die Filteroptionen zeigen die Liste der Felder an, die im Zeitdiagramm verwendet werden. Sie können ein oder mehrere Felder auswählen, die im Filterbereich angezeigt werden sollen. Nachdem Sie die Filteroptionen ausgewählt haben, werden die vom Befehl timestats generierten Felder sowie die in der by-Klausel verwendeten Felder über dem Diagramm angezeigt.

  Wählen Sie einen oder mehrere Filter aus, um nur diese spezifischen Datenpunkte anzuzeigen. Sie können die Filterauswahl zurücksetzen, indem Sie die Option Alle auswählen umschalten.

• Filter suchen und anpassen: Klicken Sie auf das Symbol "Optionen" neben einem Filternamen, um die vollständige Werteliste für diesen Filter anzuzeigen. Sie können den Text für die Suche eingeben. Sie können auch reguläre Ausdrücke für die Suche angeben. Beispiel: Wenn Sie nach e$ suchen, werden alle Ergebnisse angezeigt, die mit dem Buchstaben e enden.

  Aktivieren Sie die Option Invertieren, um nur die Werte anzuzeigen, die nicht mit den Kriterien übereinstimmen.

• Farben auswählen: Sie können die Farbe für jede Zeitreihe konfigurieren.

  Beachten Sie die folgende Abfrage, die den Trend jeder Status in den OCI-Auditlogs anzeigt:

  Status != null and 'Log Source' = 'OCI Audit Logs'
  | link Time, Status
  | timestats sum(Count) as 'Number of Hits' by Status

  Das Diagramm zeigt die Statuswerte und ihre Standardfarbe an. Die Werte des Feldes "Status" lauten 200, 201, 404, 409, 204 und 400.

  
  
  
  
  

  Aktivieren Sie die Filter mithilfe der Diagrammoptionen, um die Farboption neben dem Diagramm anzuzeigen.

  
  
  
  
  

  Klicken Sie auf den Link Farbe, wählen Sie das Feld Status aus, und wählen Sie eine Palette mit so vielen Farben wie die zu konfigurierenden Werte aus.

  
  
  
  
  

  Aktualisieren Sie jeden Farbausdruck mit dem Wert oder einem regulären Ausdruck, den Sie abgleichen möchten.

  
  
  
  
  

  Sie können diesen Vorgang für jedes Feld in der Dropdown-Liste "Farbe" wiederholen, um die Farben zu konfigurieren.

Erläuterungen zur Funktionsweise von Link timecluster

Clustering betrachtet jede Zeitreihe mit ähnlicher Ausprägung und ähnlichen Werten. Im Folgenden werden einige der Merkmale aufgeführt, die zum Clustering der Zeitreihen verwendet werden:

• Gipfel und Täler in der Zeitreihe: Zeitreihen mit ähnlichen Gipfeln und Tälern werden tendenziell zusammen gruppiert.

• Werte an jedem Punkt: Selbst wenn zwei Zeitreihen ähnliche Spitzen aufweisen, können sie dennoch in verschiedene Cluster fallen, wenn die Werte weit voneinander entfernt sind.

Jedes Cluster erhält die folgenden Eigenschaften, die in der Konsole angezeigt werden:

timecluster hat eine ähnliche Syntax und Optionen wie der Befehl timestats. Weitere Informationen zur Syntax und zu den Konfigurationsoptionen für die Zeitreihendiagramme finden Sie unter Syntax für Linktimestats und Konfigurationsoptionen für Zeitreihendiagramme.

Ein Beispielanwendungsfall für die Darstellung einer Zeitreihe mit timecluster finden Sie unter Time Series-Clustering.