timestats

Mit diesem Befehl können Sie Daten zur Anzeige statistischer Trends im Zeitablauf generieren (optional nach Feld gruppiert).

Syntax

timestats [<timestats_options>] <stats_function / timestats_function> "("<field_name>")" [as new_field_name] [, <stats_function / timestats_function> "("<field_name>")" [as new_field_name]]* [by_<field_name>]

Parameter

In der folgenden Tabelle sind die mit diesem Befehl verwendeten Parameter sowie deren Beschreibungen aufgeführt.

Parameter Beschreibung

timestats_options

Mit diesem Parameter geben Sie an, wie die Daten in Buckets eingeteilt werden sollen. Zulässige Werte für diesen Parameter müssen dem Format [span = <int><timescale>] [field = <field_name>][maxvalues = <limit>][topcount = <count> | bottomcount = <count>][name = <chart_name>] entsprechen.

span

Mit diesem Parameter können Sie die Größe jedes Buckets anhand einer Zeitspanne festlegen. Zulässige Werte für diesen Parameter müssen dem Format <int><timescale> entsprechen.

timescale

Mit diesem Parameter können Sie die Zeit für die Größe der Buckets angeben. Zulässige Werte für diesen Parameter: <sec>, <min>, <hour>, <day>, <week>, <month> und <year>.

Syntax:

sec: Zu den zulässigen Werten für diesen Parameter gehören s, sec, secs, second und seconds.

min: Zulässige Werte für diesen Parameter: m, min, mins, minute und minutes.

hour: Zu den zulässigen Werten für diesen Parameter gehören h, hr, hrs, hour und hours.

week: Zulässige Werte für diesen Parameter: w, week und weeks.

month: Zulässige Werte für diesen Parameter: mon, month und months.

field

Feld muss einen Zeitstempelwert aufweisen. Wenn nicht angegeben, wird Time verwendet.

maxvalues

Reduzieren Sie die Anzahl der aggregierten Werte, die für eine Funktion zurückgegeben werden sollen.

topcount

Geben Sie bei der Gruppierung nach Feldern die n Anzahl der eindeutigen Gruppen mit den größten aggregierten Werten zurück.

bottomcount

Geben Sie bei der Gruppierung nach Feldern die n Anzahl der eindeutigen Gruppen mit den kleinsten aggregierten Werten zurück

name

Name für das Diagramm.

Hinweis

Sie können die Funktionen, die mit dem Befehl stats verknüpft sind, auch mit dem Befehl timestats verwenden. Einzelheiten zu den Funktionen und Beispiele für die Verwendung der Funktionen mit dem Befehl finden Sie unter stats.

Funktionen

In der folgenden Tabelle sind die mit diesem Befehl verfügbaren Funktionen sowie die zugehörigen Beispiele aufgeführt.

Funktion Beispiele

Verfolgt: Gibt einen Datenpunkt pro Span-Intervall zurück, der die durchschnittliche Rate pro Sekunde darstellt.

persecond(field_name)

  • | timestats persecond('Error Id')

perminute: Gibt einen Datenpunkt pro Span-Intervall zurück, der die durchschnittliche Rate pro Minute darstellt.

perminute(field_name)

  • | timestats perminute('Error Id')

perhour: Gibt einen Datenpunkt pro Span-Intervall zurück, der die durchschnittliche Rate pro Stunde darstellt.

perhour(field_name)

  • | timestats perhour('Error Id')

perday: Gibt einen Datenpunkt pro Span-Intervall zurück, der die durchschnittliche Rate pro Tag darstellt.

perday(field_name)

  • | timestats perday('Error Id')

Die folgende Abfrage gibt die Anzahl der schwerwiegenden Logeinträge über den angegebenen Zeitraum zurück.

Severity = fatal | timestats count

Die folgende Abfrage gibt die Anzahl der Logs zurück, die in tägliche Chunks eingeteilt wurden.

* | timestats span = 1day count

Gibt die Anzahl der Logeinträge nach Ziel über den angegebenen Zeitraum für die Produktionsziele zurück:

'lifecycle status'='production' | search * | timestats count by target

Zeitreihendiagramm nach Entity in Gruppeneigenschaft:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats avg('Content Size') by Entity

Zeitreihendiagramm nur für Logs mit schwerwiegenden Fehlern nach Entity:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | addfields [ * | where Severity = fatal | timestats avg('Content Size') by Entity ]

Zeitreihendiagramm auf 20 Werte beschränken:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats maxvalues = 20 avg('Content Size')

Zeitreihendiagramme für Top 3 Entitys zurückgeben:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats topcount = 3 avg('Content Size') by Entity

Geben Sie die Zeitreihendiagramme für die unteren 3 Entitys zurück:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats bottomcount = 3 avg('Content Size') by Entity