Prenons l'exemple d'un ensemble de données composé de journaux d'accès Oracle WebLogic Server provenant de la source de journal FMW WLS Server Access Logs. Les enregistrements de journal contiennent des données sur l'accès des utilisateurs à Oracle WebLogic Server sur une période donnée. Ces enregistrements de journal individuels peuvent être analysés pour obtenir des informations pertinentes sur les statistiques d'utilisation, la popularité des URL, les utilisateurs les plus actifs et d'autres données similaires. A partir des journaux, vous pouvez obtenir les résultats suivants en analysant les enregistrements de journal avec la sélection de champs spécifiques pour chaque résultat :

1. Afficher les principales URL par nombre d'accès réussis

2. Afficher les anomalies par nombre d'accès réussis

3. Afficher les anomalies par durée d'accès

4. Identifier les URL par taille de téléchargement vers le serveur

5. Identifier les URL par taille de téléchargement en local

6. Analyser la corrélation entre le nombre d'accès réussis et la taille de téléchargement en local

7. Déterminer les pages les plus visitées

8. Identifier les principaux utilisateurs

9. Identifier les principaux utilisateurs et leurs pages favorites

10. Identifier la page d'entrée qui génère le nombre maximal de visites

11. Identifier le chemin d'entrée et de sortie pour la plupart des utilisateurs

Pour extraire l'ensemble de données, sélectionnez une plage de dates appropriée, indiquez la source de journal et exécutez la requête :

'Log Source' = 'FMW WLS Server Access Logs'

Sélectionnez Lien dans le panneau Visualiser. La table des groupes "FMW WLS Server Access Logs" et le graphique à bulles apparaissent.

1. Pour afficher les principales URL par nombre d'accès réussis, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, obtenez le nombre total associé à l'URL dans chaque groupe, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et affichez le résultat sous forme de table. Cette analyse permet de déterminer les URL les plus utilisées.

   1. Glissez-déplacez le champ URI vers Regrouper par et enlevez le champ Source de journal de Regrouper par.

   2. Une fois la requête exécutée, dans la ligne de commande, remplacez les noms des champs : Nombre par Nombre d'accès réussis, Heure de début par Premier accès, Heure de fin par Dernier accès et Durée du groupe par Durée de l'accès.

   3. Enlevez la commande classify de la ligne de commande et soumettez la requête.

      La requête se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

   Via l'exécution de la requête, vous pouvez déterminer les principales URL en fonction du nombre d'accès réussis dans la table. Les colonnes sont renommées comme indiqué dans la commande rename.

2. Pour afficher les anomalies par nombre d'accès réussis, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon le nombre d'accès réussis de l'URL. Cette analyse permet de distinguer le modèle inhabituel d'accès aux URL.

   Cliquez sur Analyser, sélectionnez Nombre d'accès réussis, puis cliquez sur OK.

   La requête doit être modifiée comme suit :

   'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Number of Hits'

   Cette requête déclenche l'analyse de la colonne Nombre d'accès réussis et crée des bulles représentant les plages courantes. La majorité des valeurs est traitée comme la valeur de référence. Par exemple, une bulle volumineuse peut devenir la valeur de référence, ou un grand nombre de petites bulles regroupées peuvent former la valeur de référence. Les bulles les plus éloignées de la valeur de référence sont marquées comme des anomalies.

   Ainsi, les URL d'anomalie sont regroupées dans des bulles séparées dans le graphique à bulles. Pour afficher le pourcentage des URL dans chaque plage de nombres d'accès réussis, positionnez le curseur sur les bulles.

3. Pour afficher les anomalies par durée d'accès, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon la durée d'accès de l'URL. Cette analyse permet de distinguer le modèle inhabituel de temps d'accès aux URL. Suite à l'étape 2 :

   Cliquez sur Analyser, sélectionnez Durée d'accès, puis cliquez sur OK.

   La durée d'accès reflète la durée d'accès à chaque URL. Elle est calculée comme la différence entre le dernier horodatage et le premier horodatage du fichier journal pour chaque URL.

4. Pour identifier les URL par taille de téléchargement vers le serveur, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon la taille des données téléchargées. Cette analyse permet d'identifier les URL dont la taille des données téléchargées vers le serveur est inhabituelle. Suite à l'étape 3 :

   1. Glissez-déplacez le champ Taille de contenu entrant vers la section Valeur.

   2. Remplacez le nom du champ Taille de contenu entrant par Octets téléchargés vers le serveur en modifiant la requête sur la ligne de commande, puis exécutez la requête.

   3. Cliquez sur Analyser, sélectionnez Octets téléchargés vers le serveur, puis cliquez sur OK.

      La requête se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Bytes Uploaded'

      Le graphique Analyser affiche les groupes d'URL en fonction des octets téléchargés vers le serveur.

   4. Pour mettre en corrélation les données Octets téléchargés vers le serveur sur la période, vous pouvez masquer ou afficher les graphiques dans les options d'histogramme. Explorez les autres options de visualisation en plus du graphique à barres.

5. Pour identifier les URL par taille de téléchargement en local, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon la taille des données téléchargées. Cette analyse permet d'identifier les URL dont la taille des données téléchargées en local est inhabituelle. Suite à l'étape 4 :

   1. Glissez-déplacez le champ Taille de contenu sortant vers la section Valeur et enlevez la section Taille de contenu entrant de la section Valeur.

   2. Remplacez le nom du champ Taille de contenu sortant par Taille de téléchargement en local en modifiant la requête sur la ligne de commande, puis exécutez la requête.

   3. Cliquez sur Analyser, sélectionnez Taille de téléchargement en local, puis cliquez sur OK.

      La requête se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Download Size'

      Le graphique Analyser affiche les groupes d'URL en fonction de la taille de téléchargement en local.

   4. Pour mettre en corrélation les données Taille de téléchargement en local sur la période, vous pouvez masquer ou afficher les graphiques dans les options d'histogramme. Explorez les autres options de visualisation en plus du graphique à barres.

6. Pour analyser la corrélation entre nombre d'accès réussis et taille de téléchargement en local, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon la taille des données téléchargées et le nombre d'accès réussis. Cette analyse permet d'identifier les URL dont la taille des données téléchargées en local et le nombre d'accès réussis sont inhabituels. Suite à l'étape 5 :

   1. Cliquez sur Analyser, sélectionnez les champs Nombre d'accès réussis et Taille de téléchargement en local, puis cliquez sur OK.

   2. Enlevez topcount=300 de la requête pour afficher toutes les bulles et exécutez la requête.

      La requête se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify 'Download Size', 'Number of Hits'

   Dans le graphique à bulles, le champ Nombre d'accès réussis est représenté sur l'axe des X et le champ Taille de téléchargement en local sur l'axe des Y.

   
   
   
   Description de l'image correlation.bmp
   
   

   Les bulles peuvent être interprétées comme suit :

   • 73,8 % des URL ont été consultées d'une à sept fois.

   • La taille moyenne de téléchargement en local pour ces 73,8 % d'URL est comprise entre 32 345 et 34 000 octets. Cette plage réduite implique qu'un grand nombre d'URL présentent un comportement très uniforme par rapport à la taille de téléchargement en local.

   • Etant donné que 73,8% constitue une vaste majorité, les autres points sont marqués comme des anomalies.

   • Avec des données réelles, il est courant que le système regroupe les fichiers .css, .js et image séparément des autres URL car les comportements de téléchargement en local associés sont généralement différents.

7. Pour déterminer les pages les plus visitées, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon le nombre de visiteurs uniques. Cette analyse permet d'identifier les URL les plus consultées par des visiteurs uniques. Suite à l'étape 6 :

   1. Glissez-déplacez le champ Nom utilisateur vers la section Valeur.

   2. Cliquez sur la flèche vers le bas en regard du nom du champ et remplacez la fonction Uniques par Nombre distinct. Vous pouvez sélectionner d'autres fonctions pour un champ numérique :

   3. Remplacez le nom du champ Nom utilisateur par Nombre d'utilisateurs uniques, enlevez la commande classify en modifiant la requête sur la ligne de commande, puis exécutez la requête. La requête se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded', avg('Content Size Out') as 'Download Size', distinctcount('User Name') as 'Number of Unique Users' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' 

   4. Cliquez sur Analyser, sélectionnez Nombre d'utilisateurs uniques, puis cliquez sur OK.

   La table répertorie les URL et le nombre correspondant d'utilisateurs uniques, ce qui nous aide à identifier les URL les plus visitées par des utilisateurs uniques. A partir de la table, vous pouvez également déterminer le nombre d'accès réussis de chaque URL.

   L'analyse montre que plus de 99 % des URL présentent 0 ou 1 utilisateur unique. C'est le cas pour les URL qui n'ont pas besoin de connexion utilisateur ou qui sont rarement consultées. L'analyse descendante vers l'une des plus petites bulles indique les pages concernées, le nombre standard d'accès réussis et le nombre de visiteurs uniques.

8. Pour identifier les principaux utilisateurs, regroupez les enregistrements de journal en fonction de la valeur du nom utilisateur dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon le nombre d'accès réussis. Cette analyse permet d'identifier les utilisateurs les plus actifs.

   1. Modifiez la ligne de commande de façon à enlever tous les filtres : 'Log Source' = 'FMW WLS Server Access Logs' | link URI

   2. Glissez-déplacez le champ Nom utilisateur vers Regrouper par, enlevezURI et exécutez la requête.

   3. Enlevez la commande classify, renommez les champs par défaut dans la ligne de commande et exécutez la requête suivante :

      'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

      La table est triée en fonction du nombre d'accès réussis de l'utilisateur.

   4. Pour afficher le comportement utilisateur par accès, cliquez sur Analyser, sélectionnez le champ Nombre d'accès réussis et cliquez sur OK.

   5. Cliquez sur les anomalies pour identifier les utilisateurs ayant enregistré un nombre d'accès réussis supérieur ou inférieur à celui des autres utilisateurs.

9. Pour identifier les principaux utilisateurs et leurs pages favorites, regroupez les enregistrements de journal en fonction de la valeur du nom utilisateur dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon le nombre de pages uniques. Cette analyse permet d'identifier les utilisateurs les moins actifs et les plus actifs, ainsi que leurs pages favorites. Suite à l'étape 8 :

   1. Glissez-déplacez le champ URI vers la section Valeur. Remplacez la fonction Uniques par Nombre distinct.

   2. Remplacez le nom du champ URI par Nombre de pages uniques en modifiant la requête sur la ligne de commande, puis exécutez la requête.

   3. Cliquez sur Analyser, sélectionnez Nombre de pages uniques, puis cliquez sur OK.

10. Pour identifier la page d'entrée qui génère le nombre maximal de visites, regroupez les enregistrements de journal en fonction de la valeur du nom utilisateur dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon les valeurs des URL d'entrée et de nombre d'accès réussis aux URL. Cette analyse permet d'identifier les pages auxquelles les utilisateurs accèdent en premier. Suite à l'étape 9 :

    1. Pour obtenir les URL d'entrée, faites passer la fonction du champ URI de Nombre distinct à Premier.

    2. Remplacez le nom du champ URI par URL d'entrée en modifiant la requête sur la ligne de commande, puis exécutez la requête.

    3. Cliquez sur Analyser, sélectionnez les champs Nombre d'accès réussis et URL d'entrée, sélectionnez topcount avec la valeur 20 et cliquez sur OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Number of Hits', 'Entry URL'

    
    
    
    Description de l'image entry_page.bmp
    
    

    La première URL employée par les utilisateurs par rapport au nombre de résultats est ainsi affichée. Par exemple, /login est la première URL par laquelle passe une majorité d'utilisateurs.

11. Afin d'identifier le chemin d'entrée et de sortie pour la plupart des utilisateurs, regroupez les enregistrements de journal en fonction de la valeur du nom utilisateur dans l'enregistrement de journal, remplacez les noms des champs par défaut dans la table des groupes par les valeurs appropriées et analysez les groupes selon les valeurs des URL d'entrée et de sortie. Cette analyse permet d'identifier les éléments suivants :

    • Les chemins les plus courants empruntés par les utilisateurs pour passer par le site Web

    • Les pages de produit les plus populaires à partir desquelles les utilisateurs quittent le site Web

    • Les URL de sortie les plus courantes, telles que les pages de réservation de produit ou la passerelle de paiement

    • Les URL de sortie inhabituelles et la cause première de ces sorties inattendues

    Suite à l'étape 10 :

    1. Glissez-déplacez le champ URI vers la section Valeur.

    2. Pour obtenir la page de sortie, faites passer la fonction du champ URI de Uniques à Dernier.

    3. Modifiez la ligne de commande, remplacez le nom du champ latest(URI) par URL de sortie et soumettez la requête.

    4. Cliquez sur Analyser, sélectionnez les champs URL d'entrée et URL de sortie, sélectionnez topcount avec la valeur 20 et cliquez sur OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL', latest(URI) as 'Exit URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Entry URL', 'Exit URL'

    5. Augmentez la taille du graphique à l'aide des options de graphique d'analyse.

    
    
    
    Description de l'image entry_exit.bmp
    
    

    Cette visualisation treemap affiche la relation entre l'URL d'entrée et l'URL de sortie dans un site. Elle est très utile pour les sites de vente au détail pour lesquels les fournisseurs de services veulent identifier les URL d'entrée qui conduisent les clients aux pages de paiement, ainsi que les URL de produit qui font que les utilisateurs ne passent pas commande.

Pour créer un champ virtuel, vous pouvez utiliser la commande eval dans la fonctionnalité de lien. La requête eval sur la ligne de commande génère un graphique à courbes pour le champ virtuel et permet son suivi dans le temps.

Exemples :

• Prenons le scénario dans lequel les enregistrements de journal issus de la source de journal SAR CPU Logs sont regroupés par nom d'hôte et par UC. Pour déterminer la charge subie par l'UC du serveur au fil du temps, la commande eval crée le champ virtuel Load % et génère un graphique à courbes.

  'Log Source' = 'SAR CPU Logs' | rename Instance as CPU | link 'Host Name (Server)', CPU | stats avg('CPU Idle Time (%)') as 'CPU Idle Time (%)' | eval 'Load %' = 100 - 'CPU Idle Time (%)'

  Pour afficher le graphique à courbes, procédez comme suit :

  1. Cliquez sur l'onglet Histogramme.

  2. Cliquez sur la flèche vers le bas en regard de l'icône Options de graphique (). Cliquez sur Masquer/Afficher les graphiques. Sélectionnez % de charge.

  3. Cliquez sur la flèche vers le bas en regard de l'icône Options de graphique (). Cliquez sur Options de graphique. Dans la liste Type de graphique, sélectionnez Ligne sans marqueur. Cliquez sur Fermer.

  
  
  
  Description de l'image eval_load_cpu.png
  
  

• Prenons le scénario dans lequel les enregistrements de journal issus de la source de journal OMC WLS Server Access Logs sont regroupés par URI. Pour déterminer la taille des données consultées au fil du temps en méga-octets, la commande eval crée le champ virtuel Content Size (MB), calcule la taille du contenu en méga-octets en fonction de la valeur du champ Content Size et génère un graphique à courbes.

  'Log Source' = 'WLS Server Access Logs' | link URI | stats avg('Content Size') as 'Content Size Bytes' | eval 'Content Size (MB)' = 'Content Size Bytes' / 1024

  Pour afficher le graphique à courbes, procédez comme suit :

  1. Cliquez sur l'onglet Histogramme.

  2. Cliquez sur la flèche vers le bas en regard de l'icône Options de graphique (). Cliquez sur Masquer/Afficher les graphiques. Sélectionnez Taille de contenu (Mo) et Enregistrements de journal d'accès.

  3. Cliquez sur la flèche vers le bas en regard de l'icône Options de graphique (). Cliquez sur Options de graphique. Dans la liste Type de graphique, sélectionnez Ligne sans marqueur. Cliquez sur Fermer.

  
  
  
  Description de l'image content_size_mb.png
  
  

Vous pouvez utiliser link 'SQL Statement' pour regrouper les instructions SQL, analyser leur comportement et identifier les anomalies.

Exemple :

Prenons la requête suivante, qui lie les enregistrements de journal en fonction du champ Instruction SQL :

'Log Source' in ('Database Audit Logs', 'Database Audit XML Logs') 
	| rename 'Host Name (Server)' as 'DB Server', 'User Name (Originating)' as 'OS User', 'User Name' as 'DB User' 
	| link 'SQL Statement' 
	| rename Count as 'Number of Runs', 'Start Time' as 'First Run', 'End Time' as 'Last Run', 'Group Duration' as Age 
	| addfields [ Object = dual | stats count as 'dual Table Access' ], 
		[ Object like 'all_%' | stats count as 'ALL_ Table Access' ], 
		[ Object like 'dba_%' | stats count as 'DBA_ Table Access' ], 
		[ Object like 'user_%' | stats count as 'USER_ Table Access' ], 
		[ Object like 'v$%' | stats count as 'VDollar Table Access' ], 
		[ Object = null | stats count as 'No Table Access' ], 
		[ Action = '2' | stats count as 'Insert Count' ], 
		[ Action = '3' | stats count as 'Select Count' ], 
		[ Action = '6' | stats count as 'Update Count' ], 
		[ Action = '7' | stats count as 'Delete Count' ], 
		[ Type = '8' | stats count as 'Connect Count' ], 
		[ 'Status Code' = 1 | stats count as Failures ] 
	| eval 'Object Type' = if('dual Table Access' > 0, Dual, 
		'ALL_ Table Access' > 0, System, 
		'DBA_ Table Access' > 0, System, 
		'USER_ Table Access' > 0, System, 
		'VDollar Table Access' > 0, System, 
		'No Table Access' > 0, 'No Table', Other) 
	| eval 'SQL Type' = if('Insert Count' > 0, Insert, 
		'Select Count' > 0, Select, 
		'Update Count' > 0, Update, 
		'Delete Count' > 0, Delete, 
		'Connect Count' > 0, Connect, Other) 
	| stats distinctcount(Object) as Objects, distinctcount('Database ID') as 'Number of DBs', 
		distinctcount(Session) as 'Number of Sessions' 
	| fields -'dual Table Access', -'No Table Access', -'ALL_ Table Access', 
		-'USER_ Table Access', -'DBA_ Table Access', -'VDollar Table Access', -'Insert Count', 
		-'Select Count', -'Update Count', -'Delete Count', -'Connect Count', -'SQL Type', -'Object Type' 
	| classify Age 
	| classify 'Number of Sessions' 
	| classify 'Number of DBs' 
	| classify 'Number of Runs', 'Object Type' 
	| classify 'Object Type', 'SQL Type'

L'exécution de la requête ci-dessus permet d'observer les résultats suivants :

• En fonction de la commande classify, les graphiques à bulles pour Age, Number of Sessions, Number of DBs, Number of Runs, Object Type et Object Type, SQL Type sont générés.

  
  
  
  Description de l'image link_sql_statement.png
  
  
  
  
  Description de l'image link_sql_bubble.png
  
  

  Dans les graphiques à bulles, les enregistrements de journal sont regroupés en fonction du nombre d'instructions SQL appartenant à chaque ensemble de paramètres. Les paramètres Object Type et SQL Type sont déterminés grâce à la commande eval dans la requête.

• L'histogramme Courbes avec aires illustre l'occurrence de champs tels que dual Table Access, No Table Access, ALL_ Table Access, USER_ Table Access, DBA_ Table Access, VDollar Table Access, Insert Count, Select Count, Update Count, Delete Count, Connect Count et Log Records représentés dans le temps.

  1. Dans l'onglet de l'histogramme, cliquez sur la flèche vers le bas en regard de l'icône Options de graphique ().

  2. Sélectionnez l'affichage des graphiques de tous les champs.

  3. Sous Type de graphique, sélectionnez Courbes avec aires.

  4. Ajustez la largeur de façon à afficher deux graphiques par ligne.

  
  
  
  Description de l'image link_sql_area_chart.png
  
  

• La table des groupes répertorie les groupes identifiés par le lien en fonction du champ Instruction SQL. Vous pouvez constater que, pour chaque instruction SQL, la table indique le nombre d'exécutions de l'instruction SQL, l'heure de début, l'heure de fin et la durée du groupe. Cliquez sur chaque groupe et consultez les enregistrements de journal pour plus de détails. Vous pouvez également afficher les groupes dans la visualisation de cluster pour une analyse plus approfondie.

  
  
  
  Description de l'image link_sql_table.png
  
  

Prenons cet ensemble de données non trié extrait d'un fichier journal d'accès. Les champs suivants fournissent les informations d'une session utilisateur et les actions effectuées par l'utilisateur :

Time | Session ID | Action
 T2  | 1          | Login
 T1  | 5          | Login
 T6  | 1          | addtocart
 T3  | 1          | productlisting
 T4  | 1          | purchase
 T9  | 1          | purchase
 T7  | 5          | addtocart
 T5  | 1          | addtocart
 T8  | 5          | purchase 

Les actions telles que Login, addtocart, productlisting et purchase sont enregistrées dans un ordre aléatoire de T1 à T9, et sont survenues sur deux sessions avec les ID de session 1 et 5.

Pour effectuer une analyse du temps similaire sur vos journaux d'accès, extrayez la valeur Session ID des journaux dans un champ. Extrayez les étapes intermédiaires de la session à partir des journaux d'accès en appliquant une expression régulière pour obtenir la valeur URL à partir des journaux.

Dans un contexte générique, les sessions de cet exemple représentent toutes les transactions utilisateur, et les actions représentent les étapes intermédiaires effectuées par l'utilisateur pour terminer une transaction.

Pour analyser ces données non triées et extraire les informations requises, vous pouvez exécuter l'exemple de requête suivant :

'Upload Name' = logadmin 
| link 'Session ID'
| rename 'Group Duration' as 'Session Duration' 
| addfields 
  [ Action = addtocart | stats earliest(Time) as 'First Add To Cart Time' ], 
  [ Action = purchase | stats latest(Time) as 'Last Purchase Time' ] 
| eval 'Time Taken for Purchase (Secs)' = ('Last Purchase Time' - 'First Add To Cart Time') / 1000 
| fields -'First Add To Cart Time', 
         -'Last Purchase Time' 
| classify 'Time Taken for Purchase (Secs)'

• link 'Session ID' regroupe les enregistrements des journaux d'accès par ID de session, créant ainsi deux groupes :

  Time | Session ID | Action
   T2  | 1          | Login
   T6  | 1          | addtocart
   T3  | 1          | productlisting
   T4  | 1          | purchase
   T5  | 1          | addtocart
   T9  | 1          | purchase
  
   T1  | 5          | Login
   T7  | 5          | addtocart
   T8  | 5          | purchase

• La commande addfields est exécutée sur chacun de ces groupes. La première commande addfields récupère les enregistrements pour lesquels Action = addtocart. Le résultat de cette requête est le suivant pour les deux groupes :

  Time | Session ID | Action
   T6  | 1          | addtocart
   T5  | 1          | addtocart
  
   T7  | 5          | addtocart

• La commande stats earliest(Time) trie le résultat ci-dessus par heure, pour chaque groupe :

  Time | Session ID | Action
   T5  | 1          | addtocart
   T6  | 1          | addtocart
   
   T7  | 5          | addtocart

• Le champ spécifié, qui est Time, est ensuite extrait du premier enregistrement :

  'First Add To Cart Time' = T5 for Group = 1
  'First Add To Cart Time' = T7 for Group = 5

• La deuxième commande addfields est exécutée pour Action = purchase et extrait les enregistrements suivants :

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) trie également les enregistrements ci-dessus selon le champ Time :

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) récupère le dernier enregistrement et extrait le champ spécifié, à savoir Time :

  'Last Purchase Time' = T9 for Group = 1
  'Last Purchase Time' = T8 for Group = 5

• A ce stade, les valeurs First Add to Cart Time et Last Purchase Time sont définies pour les deux groupes. Il s'agit d'horodatages. eval soustrait l'un de l'autre pour obtenir le temps écoulé.

• Dans les faits, vous pouvez obtenir le temps nécessaire afin de passer de l'étape d'ajout au panier à l'étape d'achat pour chaque session. Vous pouvez à présent l'utiliser dans classify pour analyser l'écart sur ce temps écoulé entre les sessions.

  
  
  
  Description de l'image time_analysis_bubble.png
  
  

Pour connaître la syntaxe et d'autres détails de la commande addfields, reportez-vous à addfields.