timecluster
Utilice este comando para agrupar los gráficos de serie temporal en función de lo similares que sean entre sí.
Sintaxis
timecluster [<timecluster_options>] <stats_function> (<field_name>) [as new_field_name] [, <stats_function> (<field_name>) [as new_field_name]]* by <field_name> [, <field_name>]*Parámetros
En la siguiente tabla se muestran los parámetros utilizados con este comando, junto con sus descripciones.
| Parámetro | Descripción |
|---|---|
|
|
Utilice este parámetro para especificar cómo se deben incluir los datos en el cubo. Los valores permitidos para este parámetro deben seguir el formato |
|
|
Utilice este parámetro para definir el tamaño de cada cubo, utilizando una longitud de período basada en el tiempo. Los valores permitidos para este parámetro deben tener el formato Utilice el parámetro Sintaxis para
|
|
|
El campo debe tener un valor de registro de hora. Si no se especifica, se utiliza |
|
|
Reduzca el número de valores agregados que se devolverán para una función. |
|
|
Nombre que se mostrará para el gráfico. |
También puede utilizar las funciones asociadas al comando de
stats con el comando timecluster. Para obtener detalles sobre las funciones y los ejemplos de uso de las funciones con el comando, consulte stats.
Para ver un ejemplo del uso de este comando en escenarios habituales, consulte:
La siguiente consulta agrupa el patrón de serie temporal por entidad.
* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timecluster avg('Content Size') by Entity
La siguiente consulta agrupa los patrones de serie de tiempo por entidad solo para logs fatales.
* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | addfields [ * | where Severity = fatal | timecluster avg('Content Size') by Entity ]