Visualisation des regroupements

Vous pouvez recourir à l'utilitaire de comparaison de regroupements pour identifier de nouveaux problèmes en comparant le jeu de regroupements courant à une référence, puis réduire les résultats en éliminant les regroupements communs ou en double. Voici quelques scénarios types :

• Quels regroupements sont différents cette semaine par rapport à la semaine dernière?

  Voir Comparaison de regroupements par décalage.

• Quelle est la différence entre le jeu de regroupements de l'entité A et le jeu de l'entité B?

  Voir Comparaison de regroupements pour l'intervalle de temps courant.

• Tout allait bien au cours du mois X. Qu'est-ce qui a changé ce mois?

  Voir Comparaison de regroupements pour des intervalles de temps personnalisés.

Dans deux jeux de données de journal indiqués, l'utilitaire de comparaison de regroupements supprime les données relatives aux regroupements communs puis affiche les données d'histogramme et la table des enregistrements qui sont propres à chaque jeu. Par exemple, lorsque vous comparez les données de journal de la semaine x et de la semaine y, les regroupements communs aux deux semaines sont supprimés par souci de simplification et les données propres à chaque semaine sont affichées. Cela vous permet d'identifier des modèles uniques pour une semaine spécifique et d'analyser le comportement.

Pour la syntaxe et d'autres détails de la commande clustercompare, voir clustercompare.

1. Dans la visualisation des regroupements , sélectionnez l'intervalle de temps courant. Par défaut, l'interrogation est *. Vous pouvez affiner l'interrogation pour filtrer les données de journal.
2. Dans le panneau Visualiser, cliquez sur Comparaison de regroupements.

   La boîte de dialogue de comparaison de regroupements s'ouvre.

3. Vous pouvez noter que l'interrogation courante et l'intervalle de temps courant sont affichés pour référence.
   • Interrogation de référence : Par défaut, elle est identique à l'interrogation courante. Cliquez sur et modifiez l'interrogation de référence, si nécessaire.
   • Intervalle de temps de référence : Par défaut, l'utilitaire de comparaison de regroupements utilise l'option Utiliser un décalage pour déterminer l'intervalle de temps de référence. Par conséquent, l'intervalle de temps de référence est de la même durée que l'intervalle de temps courant et est décalé vers la période précédant l'intervalle de temps courant. Vous pouvez modifier cette valeur en cliquant sur l'icône et en sélectionnant Utiliser un intervalle de temps personnalisé ou Utiliser l'intervalle de temps courant. Si vous sélectionnez Utiliser un intervalle personnalisé, spécifiez l'intervalle de temps personnalisé à l'aide du menu.
   • Cliquez sur Comparer.

     Vous pouvez maintenant voir la comparaison entre les deux jeux de journaux.

     Cliquez sur le bouton correspondant à chaque jeu pour afficher les détails tels que les regroupements, les problèmes potentiels, les valeurs aberrantes, les tendances et la table des enregistrements qui sont propres au jeu. La page affiche également le nombre de regroupements communs entre les deux jeux de journaux.

     Dans l'exemple ci-dessus, il y a 11 regroupements trouvés seulement dans l'intervalle courant, 4 regroupements trouvés seulement dans l'intervalle de référence, et 30 regroupements communs aux deux intervalles. L'histogramme de l'intervalle de temps courant affiche la visualisation en utilisant uniquement les données de journal propres à l'intervalle de temps courant.

Utilisez la consultation de dictionnaire après la commande cluster pour annoter les regroupements.

Tenez compte des résultats de la commande cluster pour Linux Syslog Logs. Pour définir un dictionnaire afin d'ajouter des étiquettes en fonction du champ Cluster Sample :

1. Créez un fichier CSV avec le contenu suivant :

   Operator,Condition,Issue,Area
   CONTAINS IGNORE CASE,invalid compare operation,Compare Error,Unknown
   CONTAINS IGNORE CASE REGEX,DNS-SD.*?Daemon not running,DNS Daemon Down,DNS
   CONTAINS ONE OF REGEXES,"[[Cc]onnection refused,[Cc]onnection .*? closed]",Connection Error,Network
   CONTAINS IGNORE CASE,syntax error,Syntax Error,Validation
   CONTAINS IGNORE CASE REGEX,Sense.*?(?:Error|fail),Disk Sensing Error,Disk
   CONTAINS IGNORE CASE REGEX,device.*?check failed,Device Error,Disk

   Importez-le en tant que consultation de type dictionnaire avec le nom Linux Error Categories. Cette consultation contient deux champs, Issue et Area qui peuvent être retournés en cas de condition correspondante. Voir Créer une consultation de dictionnaire.

2. Utilisez le dictionnaire dans cluster pour retourner un champ :

   Exécutez la commande cluster pour Linux Syslog Logs. Ajoutez une commande lookup après cluster, comme illustré ci-dessous :

   'Log Source' = 'Linux Syslog Logs' 
   | cluster
   | lookup table = 'Linux Error Categories' select Issue using 'Cluster Sample'

   La valeur de Cluster Sample (Exemple de regroupement) pour chaque rangée est évaluée par rapport aux règles définies dans le dictionnaire Linux Error Categories (catégories d'erreur Linux). Le champ Issue (Problème) est retourné par chaque rangée correspondante.

3. Retournez plusieurs champs en sélectionnant chaque champ dans la commande lookup :

   'Log Source' = 'Linux Syslog Logs'
   | cluster
   | lookup table = 'Linux Error Categories' select Issue as Category, Area using 'Cluster Sample'

   L'interrogation ci-dessus sélectionne le champ Issue (Problème) et le renomme également en Category (Catégorie). Le champ Area est également sélectionné, mais pas renommé.

4. Filtrez les résultats de regroupement à l'aide des champs du dictionnaire :

   Utilisez la commande where sur des champs spécifiques pour filtrer les regroupements. Prenons l'interrogation suivante :

   'Log Source' = 'Linux Syslog Logs' 
   | cluster 
   | lookup table = 'Linux Error Categories' select Issue as Category, Area using 'Cluster Sample' 
   | where Area in (Unknown, Disk)

   Seuls les enregistrements correspondant aux valeurs spécifiées dans le champ Area sont affichés.

La visualisation de regroupement permet de regrouper les messages de texte dans les enregistrements de journal. La commande cluster fonctionne en regroupant les messages qui ont le même nombre de mots dans une expression et en identifiant les mots qui changent au sein de ces expressions. Cluster ne prend pas en compte le sens littéral des mots lors du regroupement.

La commande nlp prend en charge le regroupement sémantique. Le regroupement sémantique est réalisé en extrayant les mots clés pertinents d'un message et en les regroupant sur la base de ces mots clés. Deux jeux de messages ayant des mots similaires sont regroupés. Un ID regroupement déterministe est affecté à chaque groupe.

L'exemple suivant montre l'utilisation du regroupement NLP et des mots clés sur les journaux Syslog Linux :

'Log Source' = 'Linux Syslogs Logs'
| link Time, Entity, cluster()
| nlp cluster('Cluster Sample') as 'Cluster ID', 
                    keywords('Cluster Sample') as Keywords
| classify 'Start Time', Keywords, Count, Entity as 'Cluster Keywords'

Pour plus d'exemples d'utilisation du regroupement sémantique, voir Exemples de regroupement sémantique.

Kernel reported iSCSI connection 1:0 error (1020 - ISCSI_ERR_TCP_CONN_CLOSE: TCP connection closed) state (2) 
Please verify the storage and network connection for additional faults

Kernel
reported
iSCSI
connection
error
ERR
TCP
CONN
CLOSE
closed
state
...
...