Gráfico de Serie Temporal

Activar filtros

El cuadro de diálogo Opciones de filtro muestra la lista de campos utilizados en el gráfico de timestats. Active la casilla de control Mostrar filtros de búsqueda. Puede seleccionar uno o más campos para mostrarlos en el panel Filtro. Por ejemplo, tenga en cuenta la siguiente búsqueda:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Entity Type'
| timestats name = 'Entity Types'
            sum(Count) as 'Number of Logs',
            sum('Raw Size (bytes)') as 'Log Size'
        by 'Entity Type'

El cuadro de diálogo Opciones de filtro ahora muestra los siguientes campos generados por el comando timestats y los campos utilizados en la cláusula by: Tipo de entidad, Número de logs, Tamaño de log.

En el panel de campos, puede seleccionar uno o más filtros para ver solo esos puntos de datos específicos. Puede restablecer el filtro activando la opción Seleccionar todo.

Después de activar el filtro para un campo específico, para ver la lista completa de valores para un campo cadena, haga clic en el icono Configuración situado junto al nombre del campo.

Personalizar Filtros

Acceda al cuadro de diálogo Personalizar filtros desde el menú Configuración junto al título del gráfico de series de tiempo.

En el caso de los campos numéricos, también puede personalizar el filtro haciendo clic en el icono de configuración junto al nombre de campo numérico. Se abre el cuadro de diálogo Personalizar filtro. Las siguientes opciones de Método de cálculo de rango están disponibles:

• Valor predeterminado: de manera predeterminada, el rango se fija a una quinta parte del valor máximo y, a continuación, se redondea a 2s, 3s, 4s, 5s o 10s. Por ejemplo, si el valor máximo es 48, el rango sería 10. Then the buckets would be calculated as Below 0, Up to 9, 10 - 19, 20 - 29, 30 - 39, 40 - 49, Above 50.

• Logarítmico: para utilizar rangos logarítmicos, como 1 - 10, 10 - 100 y 1000 - 10000, cambie el método de cálculo de rango a logarítmico.

• Personalizado: algunos juegos de datos necesitan rangos de variables. Por ejemplo, tenga en cuenta el requisito de agrupar la media de CPU como 0 - 30% para el uso insuficiente, 30 - 80% como uso efectivo, 80 - 95% como advertencia y cualquier cosa que supere el 95% es extremo. Para configurar rangos de variables para esto, puede proporcionar valores separados por comas 30,80,95. Esto crea los cubos 0-30, 30-80, 80-95, 95+.

Si lo desea, puede activar la casilla de control Valores de cubo <= 0 por separado para crear un cubo independiente para los valores de campo menores o iguales a cero.

Buscar en el filtro

Acceda al cuadro de diálogo Personalizar filtros desde el menú Configuración junto al título del gráfico de series de tiempo.

Para los campos cadena, puede introducir el texto de búsqueda. También puede proporcionar expresiones regulares para realizar búsquedas. Por ejemplo, si busca e$, se mostrarán todos los valores de campo que terminan con la letra e.

Active la opción Invertir para mostrar solo los valores que no coinciden con los criterios.

Descripción de la Sintaxis de los Timestats de Enlace

En el caso de uso detallado de la serie temporal Time Series Analysis Using timestats Command, se utiliza la siguiente consulta:

'Log Source' = 'OCI VCN Flow Unified Schema Logs' 
| link span=1day Time, Action
| timestats name="Trend of Action" sum(Count) as Records by Action

Partes del comando timestats en el ejemplo anterior tienen el siguiente aspecto:

En la sintaxis del comando se pueden utilizar los siguientes parámetros:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Log Source'
| timestats avg('Raw Size (bytes)') as Size,
            sum(Count) as Records
         by 'Log Source'

Uso de los Campos en los Timestats de Enlace

Hay dos tipos de campos que se pueden utilizar para una función timestats:

• Campo Propiedad: cualquier campo que se utilice en el comando link o que se cree mediante los comandos stats, eventstats, eval, lookup, nlp o delta después de link.

• Campo de registro de log: campo que se define en el origen de log y que existe en el registro de log. Puede hacer referencia directamente a dichos campos desde una función timestats.

Solo se permiten campos de propiedad en una cláusula adicional. Los campos grandes, como Mensaje, Contenido original, Pila de errores no están permitidos en una función o en una cláusula adicional.

Gráfico de un subjuego de logs: utilice el comando addfields para generar gráficos para un subjuego de datos específico. Los campos utilizados en addfields deben ser un campo de propiedad. El siguiente ejemplo ilustra el uso de addfields:

*
| link Time, 'Log Source'
| addfields 
   [ * | where 'Log Source' in ('Linux Audit Logs', 
                                'Linux Secure Logs', 
                                'Linux Syslog Logs', 
                                'Linux Cron Logs') 
       | timestats name = 'Linux Logs' sum(Count) as Records by 'Log Source' 
   ],    [ * | where 'Log Source' not in ('Linux Audit Logs', 
                                          'Linux Secure Logs', 
                                          'Linux Syslog Logs', 
                                          'Linux Cron Logs') 
             | timestats name = 'Non Linux Logs' sum(Count) as Records by 'Log Source' 
   ]

Especificación del número de gráficos que se van a devolver: utilice los parámetros topcount o bottomcount para especificar el número de gráficos que se van a devolver a la interfaz de usuario.

• topcount: al agrupar por campos, devuelve N recuento de grupos distintos con los valores agregados más grandes.
• bottomcount: al agrupar por campos, devuelve N recuento de grupos distintos con los valores agregados más pequeños.

Por ejemplo:

*
| link Time, 'Log Source'
| timestats topcount = 3 name = 'Top 3 Log Sources by Count'
            sum(Count) as 'Log Records'
        by 'Log Source'
| addfields
     [ * | where 'Log Source' in ('Linux Audit Logs', 'Linux Secure Logs', 'Linux Syslog Logs', 'Linux Cron Logs')
         | timestats bottomcount = 3 name = 'Bottom 3 Linux Logs'
                     sum(Count) as Records
                   by 'Log Source' ]

Los siguientes gráficos se generan como resultado de la ejecución de la consulta anterior:

Límites para series temporales

• Número de campos en la cláusula by: solo se permiten hasta cuatro campos en la cláusula by.

• Campos permitidos: abstenerse de utilizar campos grandes en la función y en la cláusula by. Entre los ejemplos de campos grandes se incluyen el campo Mensaje, los campos Detalles adicionales, Pila de errores y Contenido de log original.

• Valores nulos: los tiempos alinean los valores de la tabla de enlaces mediante los valores de la columna Hora de inicio. Por ejemplo, un campo Duración puede tener valores solo para las 10:06 a.m., las 10:10 a.m. y las 1:12 p.m. Como parte de la alineación, un comando timestats avg(Duration) promediaría los valores de 10:06 a. m. y 10:10 a. m. en una única media para las 10:00 a. m. Dado que no hay valores para las 11 a.m. y las 12 p.m., se rellenan con ceros. El valor de 1:12 p.m. se coloca en el intervalo 1 p.m.

  El intervalo de alineación real depende del intervalo utilizado para la consulta. Un intervalo se puede especificar explícitamente mediante el parámetro span.

• Número de valores de serie temporal: solo se devuelven 100 series por comando timestats. Estos son algunos ejemplos que ilustran este límite:

  • El comando timestats sum(Count) as Records by 'Log Source' devuelve solo los 100 principales orígenes de log. Los 100 principales se identifican ordenando primero los valores de cada serie temporal de origen de log y, a continuación, ordenando estas series temporales. Esto significa que, si los registros de un origen de log contienen todos los ceros y un único pico grande, eso se incluye en los resultados devueltos.
  • El comando timestats sum(Count) as Records by 'Log Source', Label devuelve las 100 combinaciones únicas principales del origen y la etiqueta de log.

  Si se devuelven resultados parciales, un icono de información junto a la serie temporal indica el número total de series generadas.

  Las siguientes son algunas de las opciones para manejar un gran número de valores de series temporales:

  • Utilice el comando addfields para filtrar los valores específicos que se van a utilizar en timestats.
  • Utilice topcount o bottomcount para devolver los 100 gráficos principales o los 100 gráficos inferiores.
  • Utilice el comando timecluster para agrupar en clusters la serie temporal. Esto reduce el número de historias clínicas, ya que solo se devuelven muestras representativas.

Opciones de configuración para los gráficos de serie temporal

De forma similar a los gráficos de histograma, dispone de las siguientes opciones para explorarlas mediante los gráficos. Haga clic en el icono Opciones de gráfico :

• Ocultar/Mostrar gráficos: puede ocultar o mostrar un gráfico.

• Selección del tipo de gráfico: puede seleccionar entre diferentes tipos de gráfico.

• Ajuste de la altura y el ancho del gráfico: puede aumentar la altura del gráfico mediante la opción Altura. Arrastre el control Ancho para aumentar o disminuir el ancho de las historias clínicas. Si hay más de una función, reducir el ancho provocaría que se mostraran más historias clínicas en la misma fila. En ancho completo, todos los gráficos se muestran en filas individuales. La reducción del ancho hace que las historias clínicas se organicen en orden de varias columnas.

• Correlación entre gráficos: puede utilizar la opción de gráfico Mostrar pistas correlacionadas para mostrar consejos de herramientas correlacionados entre gráficos.

Además, también puede utilizar las siguientes opciones para configurar los gráficos:

• Control de leyenda: puede activar o desactivar las leyendas mediante la opción Mostrar leyenda en Opciones de gráfico.

• Filtros de gráfico: puede utilizar los filtros para analizar de forma interactiva las series temporales. Para activar los filtros, haga clic en Opciones de gráfico, Filtros y Mostrar filtros de búsqueda. Las opciones de filtro muestran la lista de campos utilizados en el gráfico timestats. Puede seleccionar uno o más campos para que se muestren en el panel Filtro. Después de seleccionar las opciones de filtro, los campos generados por el comando timestats y los campos utilizados en la cláusula by se muestran encima del gráfico.

  Seleccione uno o más filtros para ver solo esos puntos de datos específicos. Para restablecer la selección de filtros, active la opción Seleccionar todo.

• Buscar y personalizar filtros: haga clic en el icono Opciones situado junto al nombre de un filtro para ver la lista completa de valores de ese filtro. Puede introducir el texto de la búsqueda. También puede proporcionar expresiones regulares para realizar búsquedas. Por ejemplo, si busca e$, se mostrarán todos los resultados que terminan en la letra e.

  Active la opción Invertir para mostrar solo los valores que no coinciden con los criterios.

• Seleccionar colores: puede configurar el color para cada serie de tiempo.

  Tenga en cuenta la siguiente consulta que muestra la tendencia de cada Status en los logs de auditoría de OCI:

  Status != null and 'Log Source' = 'OCI Audit Logs'
  | link Time, Status
  | timestats sum(Count) as 'Number of Hits' by Status

  El gráfico muestra los valores de estado y su color predeterminado. Los valores del campo Status son 200, 201, 404, 409, 204 y 400.

  
  
  
  
  

  Habilite los filtros usando Opciones de historia clínica para ver la opción de color junto a la historia clínica.

  
  
  
  
  

  Haga clic en el enlace Color, seleccione el campo Status y seleccione una paleta que tenga tantos colores como los valores que desea configurar.

  
  
  
  
  

  Actualice cada expresión de color con el valor o una expresión regular que desee que coincida.

  
  
  
  
  

  Puede repetir este proceso para cada campo de la lista desplegable Color para configurar los colores.

Descripción del funcionamiento de Link timecluster

Los clusters observan cada serie temporal que tiene una unidad y valores similares. A continuación se muestran algunas de las características utilizadas para agrupar las series temporales:

• Peaks and Valles en la serie de tiempo: las series de tiempo con picos y valles similares tienden a agruparse.

• Valores en cada punto: aunque dos series temporales tengan picos similares, aún pueden caer en clusters diferentes, si los valores están muy separados.

Cada cluster obtiene las siguientes propiedades que se muestran en la consola:

timecluster tiene sintaxis y opciones similares a las del comando timestats. Para comprender la sintaxis y las opciones de configuración de los gráficos de series temporales, consulte Understanding the Link timestats Syntax y Configuration Options for the Time Series Charts.

Para ver un ejemplo de caso de uso de trazado de una serie temporal mediante timecluster, consulte Agrupación en clusters de serie temporal.