timestats

Utilisez cette commande pour générer des données pour afficher les tendances statistiques dans le temps, éventuellement regroupées par champ.

Rubriques :

Syntaxe

timestats [<timestats_options>] <stats_function / timestats_function> "("<field_name>")" [as new_field_name] [, <stats_function / timestats_function> "("<field_name>")" [as new_field_name]]* [by_<field_name>]

Paramètres

Le tableau suivant répertorie les paramètres utilisés avec cette commande, ainsi que leur description.

Paramètre Description

timestats_options

Utilisez ce paramètre pour spécifier la manière dont les données doivent être regroupées. Les valeurs autorisées pour ce paramètre doivent respecter le format [span = <int><timescale>] [field = <field_name>][maxvalues = <limit>][topcount = <count> | bottomcount = <count>][name = <chart_name>].

span

Utilisez ce paramètre pour définir la taille de chaque seau, en utilisant une longueur d'intervalle basée sur le temps. Les valeurs permises pour ce paramètre doivent respecter le format <int><timescale>.

Les intervalles de temps maximum suivants s'appliquent aux valeurs spécifiques de span :

  • Étendue 1 min- Intervalle de temps maximum 12 heures
  • Étendue 5 min- Intervalle de temps maximum 3 jours
  • Étendue 15 min- Intervalle de temps maximum 10 jours

Dans le cas de l'exécution de la commande timestats après la commande link (link | timestats), les intervalles de temps maximaux suivants s'appliquent pour des valeurs spécifiques de span :

  • Étendue 1 min- Intervalle de temps maximum 5 heures
  • Intervalle de 5 min- Intervalle de temps maximal de 1 jour
  • Étendue 15 min- Intervalle de temps maximum 3 jours

Au-delà de ces intervalles de temps, span est automatiquement ajusté à une valeur supérieure.

timescale

Utilisez ce paramètre pour spécifier le temps de dimensionnement des seaux. Les valeurs permises pour ce paramètre doivent être <sec>, <min>, <hour>, <day>, <week>, <month> ou <year>.

Syntaxe :

sec : Les valeurs autorisées pour ce paramètre incluent s, sec, secs, second et seconds.

min : Les valeurs autorisées pour ce paramètre incluent m, min, mins, minute ou minutes.

hour : Les valeurs autorisées pour ce paramètre incluent h, hr, hrs, hour et hours.

day : Les valeurs autorisées pour ce paramètre sont d, day et days.

week : Les valeurs autorisées pour ce paramètre incluent w, week et weeks.

month : Les valeurs autorisées pour ce paramètre incluent mon, month et months.

field

Le champ doit avoir une valeur d'horodatage. Si Time n'est pas spécifié, il est utilisé.

maxvalues

Réduisez le nombre de valeurs agrégées à retourner pour une fonction.

topcount

Lors du regroupement par champs, retourner n nombre de groupes distincts ayant les valeurs agrégées les plus élevées.

bottomcount

Lors du regroupement par champs, retourner n nombre de groupes distincts avec les plus petites valeurs agrégées

name

Nom à afficher pour le graphique.

Note

Vous pouvez utiliser les fonctions associées à la commande stats avec la commande timestats également. Pour plus de détails sur les fonctions et les exemples d'utilisation des fonctions avec la commande, voir stats.

Fonctions

Le tableau suivant répertorie les fonctions disponibles avec cette commande, ainsi que des exemples.

Fonction Exemples

persecond : Retourne un point de données par intervalle de temps représentant le taux moyen par seconde.

persecond(field_name)

  • | timestats persecond('Error Id')

perminute : Retourne un point de données par intervalle de temps représentant le taux moyen par minute.

perminute(field_name)

  • | timestats perminute('Error Id')

perhour : Retourne un point de données par intervalle de temps représentant le taux moyen par heure.

perhour(field_name)

  • | timestats perhour('Error Id')

perday : Retourne un point de données par intervalle de temps représentant le taux moyen par jour.

perday(field_name)

  • | timestats perday('Error Id')

L'interrogation suivante retourne le nombre d'entrées de journal avec une gravité fatale pour l'intervalle de temps spécifié.

Severity = fatal | timestats count

L'interrogation suivante retourne le nombre de journaux regroupés en fragments quotidiens.

* | timestats span = 1day count

Retourne le nombre d'entrées de journal, par cible sur l'intervalle de temps spécifié pour les cibles de production :

'lifecycle status'='production' | search * | timestats count by target

Graphique de séries chronologiques par entité sur la propriété de groupe :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats avg('Content Size') by Entity

Graphique de séries chronologiques par entité uniquement pour les journaux ayant une gravité fatale :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | addfields [ * | where Severity = fatal | timestats avg('Content Size') by Entity ]

Limitez le graphique de séries chronologiques à 20 valeurs :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats maxvalues = 20 avg('Content Size')

Retourne les graphiques de série chronologique pour les 3 principales entités :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats topcount = 3 avg('Content Size') by Entity

Retourne les graphiques de séries chronologiques pour les 3 dernières entités :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats bottomcount = 3 avg('Content Size') by Entity