timestats

Utilisez cette commande pour générer les données permettant de présenter les tendances statistiques dans le temps, éventuellement regroupées par champ.

Rubriques :

Syntaxe

timestats [<timestats_options>] <stats_function / timestats_function> "("<field_name>")" [as new_field_name] [, <stats_function / timestats_function> "("<field_name>")" [as new_field_name]]* [by_<field_name>]

Paramètres

Le tableau suivant répertorie les paramètres utilisés avec cette commande, ainsi que leur description.

Paramètre Description

timestats_options

Utilisez ce paramètre pour indiquer comment les données doivent être placées dans des buckets. Les valeurs autorisées pour ce paramètre doivent respecter le format [span = <int><timescale>] [field = <field_name>][maxvalues = <limit>][topcount = <count> | bottomcount = <count>][name = <chart_name>].

span

Utilisez ce paramètre pour définir la taille de chaque bucket, à l'aide d'un intervalle de temps. Les valeurs autorisées pour ce paramètre doivent respecter le format <int><timescale>.

Les plages horaires maximales suivantes s'appliquent à des valeurs spécifiques de span :

  • Durée 1 min- Plage de temps maximale 12 heures
  • Intervalle de temps 5 min- Max. 3 jours
  • Durée 15 min - Période maximale 10 jours

Dans le cas d'une exécution de la commande timestats après la commande link (link | timestats), les plages de temps maximales suivantes s'appliquent à des valeurs spécifiques de span :

  • Durée 1 min- Période maximale 5 heures
  • Intervalle de temps 5 min- Max. 1 jours
  • Durée 15 min - Période maximale 3 jours

Au-delà de ces périodes, span est automatiquement ajusté à une valeur supérieure.

timescale

Utilisez ce paramètre pour indiquer le moment de dimensionnement des buckets. Les valeurs autorisées pour ce paramètre doivent être <sec>, <min>, <hour>, <day>, <week>, <month> ou <year>.

Syntaxe :

sec : les valeurs autorisées pour ce paramètre sont s, sec, secs, second et seconds.

min : les valeurs autorisées pour ce paramètre sont m, min, mins, minute ou minutes.

hour : les valeurs autorisées pour ce paramètre sont h, hr, hrs, hour et hours.

day : les valeurs autorisées pour ce paramètre sont d, day et days.

week : les valeurs autorisées pour ce paramètre sont w, week et weeks.

month : les valeurs autorisées pour ce paramètre sont mon, month et months.

field

Le champ doit avoir une valeur d'horodatage. Si aucune valeur n'est indiquée, Time est utilisé.

maxvalues

Réduisez le nombre de valeurs agrégées à renvoyer pour une fonction.

topcount

Lorsque vous effectuez un regroupement par champs, renvoyez n nombre de groupes distincts avec les valeurs agrégées les plus importantes.

bottomcount

Lors du regroupement par champs, renvoyer n nombre de groupes distincts avec les plus petites valeurs agrégées

name

Nom à afficher pour le graphique.

Remarque

Vous pouvez également utiliser les fonctions associées à la commande stats avec la commande timestats. Pour plus d'informations sur les fonctions et pour des exemples d'utilisation des fonctions avec la commande, reportez-vous à stats.

Fonctions

Le tableau suivant répertorie les fonctions disponibles avec cette commande, accompagnées d'exemples.

Fonction Exemples

persecond : renvoie un point de données par intervalle représentant le taux moyen par seconde.

persecond(field_name)

  • | timestats persecond('Error Id')

perminute : renvoie un point de données par intervalle représentant le taux moyen par minute.

perminute(field_name)

  • | timestats perminute('Error Id')

perhour : renvoie un point de données par intervalle représentant le taux moyen par heure.

perhour(field_name)

  • | timestats perhour('Error Id')

perday : renvoie un point de données par intervalle représentant le taux moyen par jour.

perday(field_name)

  • | timestats perday('Error Id')

La requête suivante renvoie le nombre d'entrées de journal dont la gravité est Fatal sur la période indiquée.

Severity = fatal | timestats count

La requête suivante renvoie le nombre de journaux répartis en buckets quotidiens.

* | timestats span = 1day count

Renvoie le nombre d'entrées de journal, par cible, sur la période indiquée pour les cibles de production :

'lifecycle status'='production' | search * | timestats count by target

Graphique de séries temporelles par entité sur la propriété de groupe :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats avg('Content Size') by Entity

Graphique de séries temporelles par entité uniquement pour les journaux fatals :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | addfields [ * | where Severity = fatal | timestats avg('Content Size') by Entity ]

Limitez le graphique de séries temporelles à 20 valeurs :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats maxvalues = 20 avg('Content Size')

Renvoyer les graphiques de séries temporelles pour les 3 principales entités :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats topcount = 3 avg('Content Size') by Entity

Renvoyer les graphiques de séries temporelles pour les 3 entités inférieures :

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats bottomcount = 3 avg('Content Size') by Entity