Esegui analitica avanzata con collegamento

Si consideri l'esempio di un set di dati costituito dai log di accesso di Oracle WebLogic Server dall'origine log FMW WLS Server Access Logs. I record di log contengono dati sull'accesso a Oracle WebLogic Server da parte degli utenti in un periodo di tempo specifico. Questi singoli record di log possono essere analizzati per ottenere informazioni significative sulle statistiche di utilizzo, sulla popolarità degli URL, sugli utenti più attivi e su altri dati. Dai log, imparare a ottenere i risultati riportati di seguito analizzando i record di log con la selezione di campi specifici per ciascun risultato.

1. Visualizza i primi URL per numero di visite

2. Visualizza le anomalie per numero di visite

3. Visualizza le anomalie per durata accesso

4. Identifica gli URL in base alla dimensione del caricamento

5. Identifica gli URL in base alla dimensione del download

6. Analizza la correlazione tra il numero di accessi e la dimensione del download

7. Determinare le pagine più visitate

8. Identificare i primi utenti

9. Identificare gli utenti principali e le pagine preferite

10. Identificare la pagina di inserimento che determina il numero massimo di visite

11. Identificare il percorso di entrata e uscita per la maggior parte degli utenti

Per recuperare il data set, selezionare un intervallo di date appropriato, specificare l'origine log ed eseguire la query:

'Log Source' = 'FMW WLS Server Access Logs'

Selezionare Collegamento dal pannello Visualizza. Verrà visualizzata la tabella dei gruppi 'Log di accesso al server WLS FMW' e il grafico a bolle.

1. Per visualizzare i primi URL in base al numero di accessi riusciti, raggruppare i record di log in base al valore dell'URL nel record di log, ottenere il conteggio totale dell'URL in ciascun gruppo, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e visualizzare il risultato in formato tabulare. Con questa analisi, è possibile determinare gli URL più utilizzati.

   1. Trascinare il campo URI in Raggruppa per e rimuovere il campo Origine log da Raggruppa per.

   2. After the query is executed, in the command-line, change the names of the fields Count to Number of Hits, Start Time to First Access, End Time to Last Access, and Group Duration to Access Duration.

   3. Rimuovere il comando classify dalla riga di comando e inviare la query.

      La query sarà la seguente:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

   Durante l'esecuzione della query, è possibile determinare i primi URL in base al numero di accessi nella tabella. Le colonne vengono rinominate come specificato nel comando rename.

2. Per visualizzare le anomalie in base al numero di accessi riusciti, raggruppare i record di log in base al valore dell'URL nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi per il numero di accessi riusciti dell'URL. Con questa analisi, è possibile separare il modello insolito nell'accesso agli URL.

   Fare clic su Analizza, selezionare Numero di visite, quindi fare clic su OK.

   La query deve passare a quanto segue:

   'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Number of Hits'

   Questa query attiva l'analisi della colonna 'Numero di accessi' e crea bolle che rappresentano gli intervalli comunemente visualizzati. La maggior parte dei valori sono trattati come valori di base. Ad esempio, una bolla di grandi dimensioni può diventare la baseline oppure un gran numero di bolle più piccole raggruppate insieme può formare la baseline. Le bolle più lontane dalla linea di base sono contrassegnate come anomalie.

   Pertanto, vengono visualizzati gli URL anomali raggruppati in bolle separate nel grafico a bolle. Per visualizzare la percentuale di URL in ogni intervallo di numero di accessi, passare il puntatore del mouse sulle bolle.

3. Per visualizzare le anomalie in base alla durata dell'accesso, raggruppare i record di log in base al valore dell'URL nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi per la durata dell'accesso dell'URL. Con questa analisi, puoi separare lo schema insolito nel tempo impiegato per accedere agli URL. In seguito al passo 2:

   Fare clic su Analizza, selezionare Durata accesso, quindi fare clic su OK.

   Durata accesso è un'indicazione della durata dell'accesso a ciascun URL. Viene calcolata come differenza tra l'ultimo indicatore orario e il primo indicatore orario nel file di log per ogni URL.

4. Per identificare gli URL in base alla dimensione del caricamento, raggruppare i record di log in base al valore dell'URL nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi in base alla dimensione dei dati caricati. Con questa analisi, puoi identificare gli URL che hanno dimensioni insolite dei dati caricati. In seguito al passaggio 3:

   1. Trascinare e rilasciare il campo Dimensione contenuto in nella sezione Valore.

   2. Rinominare il campo Dimensione contenuto in in Byte caricati modificando la query nella riga di comando ed eseguire la query.

   3. Fare clic su Analizza, selezionare Byte caricati, quindi fare clic su OK.

      La query sarà la seguente:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Bytes Uploaded'

      Il grafico Analizza visualizza i gruppi di URL in base ai byte caricati.

   4. Per correlare i dati dei byte caricati nell'intervallo di tempo, è possibile nascondere o visualizzare i grafici in modo selettivo nelle opzioni del grafico dell'istogramma. Esplora le altre opzioni di visualizzazione oltre al grafico a barre.

5. Per identificare gli URL in base alla dimensione del download, raggruppare i record di log in base al valore dell'URL nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi in base alla dimensione dei dati scaricati. Con questa analisi, è possibile identificare gli URL che hanno dimensioni insolite dei dati scaricati. In seguito al passaggio 4:

   1. Trascinare e rilasciare il campo Dimensione contenuto in uscita nella sezione Valore e rimuovere Dimensione contenuto in entrata dalla sezione Valore.

   2. Rinominare il campo Dimensione contenuto in uscita in Dimensione download modificando la query nella riga di comando ed eseguire la query.

   3. Fare clic su Analizza, selezionare Dimensione scaricamento e fare clic su OK.

      La query sarà la seguente:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Download Size'

      Il grafico Analizza visualizza i gruppi di URL in base alla dimensione del download.

   4. Per correlare i dati di dimensione scaricamento nell'intervallo di tempo, è possibile nascondere o visualizzare i grafici in modo selettivo nelle opzioni del grafico dell'istogramma. Esplora le altre opzioni di visualizzazione oltre al grafico a barre.

6. Per analizzare la correlazione tra numero di accessi e dimensione download, raggruppare i record di log in base al valore dell'URL nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi in base alla dimensione dei dati scaricati e al numero di accessi riusciti. Con questa analisi, puoi identificare gli URL che hanno schemi insoliti di dimensioni dei dati scaricati e numero di accessi. In seguito al passaggio 5:

   1. Fare clic su Analizza, selezionare i campi Numero di accessi, Dimensione scaricamento e fare clic su OK.

   2. Rimuovere topcount=300 dalla query per visualizzare tutte le bolle ed eseguire la query.

      La query sarà la seguente:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify 'Download Size', 'Number of Hits'

   Nel grafico a bolle, il campo Numero di accessi viene tracciato lungo l'asse X e il campo Dimensione scaricamento lungo l'asse Y.

   
   
   
   Descrizione dell'immagine correlation.bmp
   
   

   Le bolle possono essere interpretate come segue:

   • Il 73,8% degli URL è stato consultato da uno a sette volte.

   • La dimensione media dei download per il 73,8% degli URL è compresa tra 32.345 e 34.000. Questa stretta gamma implica che un gran numero di URL hanno un comportamento molto uniforme con riferimento alla dimensione del download.

   • Dal momento che il 73,8% è la grande maggioranza, il resto dei punti sono contrassegnati come anomalie.

   • Con i dati reali, è comune per il sistema raggruppare file .css, .js e immagini separatamente dagli altri URL perché tendono ad avere comportamenti di download diversi.

7. Per determinare le pagine più visitate, raggruppare i record di log in base al valore dell'URL nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi in base al numero di visitatori univoci. Con questa analisi, puoi identificare gli URL che sono più visitati dai visitatori unici. In seguito al passaggio 6:

   1. Trascinare la selezione del campo Nome utente nella sezione Valore.

   2. Fare clic sulla freccia rivolta verso il basso accanto al nome del campo, modificare la funzione da Unique a Distinct Count. Vedere le altre funzioni che è possibile selezionare per un campo numerico:

   3. Rinominare il campo Nome utente in Numero di utenti univoci, rimuovere il comando classify modificando la query nella riga di comando ed eseguire la query. La query sarà la seguente:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded', avg('Content Size Out') as 'Download Size', distinctcount('User Name') as 'Number of Unique Users' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' 

   4. Fare clic su Analizza, selezionare il campo Numero di utenti univoci e fare clic su OK.

   La tabella elenca gli URL e il numero corrispondente di utenti univoci, aiutandoci a identificare gli URL più visitati da utenti univoci. Dalla tabella è inoltre possibile determinare il numero di accessi di cui dispone ciascun URL.

   L'analisi mostra che oltre il 99% degli URL ha 0 o 1 utente univoco. Questo è il caso degli URL a cui non è necessario effettuare il login o a cui si accede raramente. Espandere fino a una delle bolle più piccole indicherà le pagine specifiche, il numero di colpi che hanno in genere e il numero di visitatori unici.

8. Per identificare i primi utenti, raggruppare i record di log in base al valore del nome utente nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi per il numero di accessi riusciti. Con questa analisi, è possibile identificare gli utenti più attivi.

   1. Modificare la riga di comando per rimuovere tutti i filtri: 'Log Source' = 'FMW WLS Server Access Logs' | link URI

   2. Trascinare il campo Nome utente in Raggruppa per, rimuovereURI ed eseguire la query.

   3. Rimuovere il comando classify, rinominare i campi predefiniti nella riga di comando ed eseguire la query seguente:

      'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

      La tabella è ordinata in base al numero di accessi effettuati dall'utente.

   4. Per visualizzare il comportamento dell'utente in base all'accesso, fare clic su Analizza, selezionare il campo Numero di accessi e fare clic su OK.

   5. Fare clic sulle anomalie per identificare gli utenti che hanno registrato un numero di accessi maggiore o minore rispetto agli altri utenti.

9. Per identificare i primi utenti e le relative pagine preferite, raggruppare i record di log in base al valore del nome utente nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi per il numero di pagine univoche. Con questa analisi, è possibile identificare gli utenti meno attivi e più attivi e le relative pagine preferite. In seguito al passaggio 8:

   1. Trascinare il campo URI nella sezione Valore. Modificare la funzione da Unique a Conteggio distinto.

   2. Rinominare il campo URI in Numero di pagine univoche modificando la query nella riga di comando ed eseguendo la query.

   3. Fare clic su Analizza, selezionare il campo Numero di pagine univoche e fare clic su OK.

10. Per identificare la pagina di inserimento che determina il numero massimo di visite, raggruppare i record di log in base al valore del nome utente nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi per i valori degli URL di inserimento e il numero di accessi agli URL. Con questa analisi, è possibile identificare le pagine che gli utenti hanno colpito per primi. In seguito al passaggio 9:

    1. Per ottenere gli URL di inserimento, modificare la funzione del campo URI da Conteggio distinto a Prima.

    2. Rinominare il campo URI in URL voce modificando la query nella riga di comando ed eseguire la query.

    3. Fare clic su Analizza, selezionare i campi Numero di accessi e URL immissione, selezionare topcount come 20 e fare clic su OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Number of Hits', 'Entry URL'

    
    
    
    Descrizione dell'illustrazione entry-page.bmp
    
    

    Visualizza il primo URL utilizzato dagli utenti in relazione al numero di accessi. Ad esempio, /login è il primo URL utilizzato dalla maggior parte degli utenti.

11. Per identificare il percorso di entrata e uscita per la maggior parte degli utenti, raggruppare i record di log in base al valore del nome utente nel record di log, rinominare i campi predefiniti nella tabella dei gruppi in base ai valori appropriati e analizzare i gruppi per i valori degli URL di entrata e degli URL di uscita. Con questa analisi è possibile identificare

    • I percorsi più comuni intrapresi dagli utenti per transitare attraverso il sito web

    • Le pagine di prodotto più popolari da cui gli utenti stanno uscendo dal sito web

    • Gli URL di uscita più comuni, come le pagine di checkout del prodotto o il gateway di pagamento

    • Gli insoliti URL di uscita e la radice causano le uscite impreviste

    In seguito al passo 10:

    1. Trascinare il campo URI nella sezione Valore.

    2. Per ottenere la pagina di uscita, modificare la funzione del campo URI da Unique a Latest.

    3. Modificare la riga di comando e rinominare il campo latest(URI) in URL di uscita e sottomettere la query.

    4. Fare clic su Analizza, selezionare i campi URL voce e URL uscita, selezionare topcount come 20 e fare clic su OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL', latest(URI) as 'Exit URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Entry URL', 'Exit URL'

    5. Aumentare le dimensioni del grafico utilizzando l'opzione Analizza opzioni grafico.

    
    
    
    Descrizione dell'illustrazione entry-exit.bmp
    
    

    Questa mappa ad albero mostra la relazione tra gli URL di entrata e di uscita in un sito. Ciò sarebbe molto utile per i siti retail in cui i fornitori di servizi vorrebbero identificare gli URL di accesso che portano i clienti alle pagine di checkout e gli URL dei prodotti che causano agli utenti di non procedere al checkout.

Per creare un nuovo campo virtuale, è possibile utilizzare il comando eval nella funzione di collegamento. La query eval sulla riga di comando genererà un grafico a linee per il campo virtuale e ne consentirà il tracciamento nel tempo.

Esempi:

• Considerare lo scenario in cui i record di log dell'origine log SAR CPU Logs sono raggruppati in base al nome host e alla CPU. Per determinare il carico riscontrato dalla CPU del server nel tempo, il comando eval crea un campo virtuale Load % e genera il grafico a linee.

  'Log Source' = 'SAR CPU Logs' | rename Instance as CPU | link 'Host Name (Server)', CPU | stats avg('CPU Idle Time (%)') as 'CPU Idle Time (%)' | eval 'Load %' = 100 - 'CPU Idle Time (%)'

  Per visualizzare il grafico a linee:

  1. Fare clic sulla scheda istogramma.

  2. Fare clic sulla freccia giù accanto all'icona Opzioni grafico (). Fare clic su Nascondi/Mostra grafici. Selezionare % caricamento.

  3. Fare clic sulla freccia giù accanto all'icona Opzioni grafico (). Fare clic su Opzioni grafico. Nell'elenco Tipo di grafico selezionare Linea senza indicatore. Fare clic su Chiudi.

  
  
  
  Descrizione dell'illustrazione eval-load-cpu.png
  
  

• Considerare lo scenario in cui i record di log dell'origine log OMC WLS Server Access Logs sono raggruppati in base all'URI. Per determinare la dimensione dei dati a cui si accede nel tempo in megabyte, il comando eval crea un campo virtuale Content Size (MB), calcola la dimensione del contenuto in megabyte in base al valore del campo Content Size e genera il grafico a linee.

  'Log Source' = 'WLS Server Access Logs' | link URI | stats avg('Content Size') as 'Content Size Bytes' | eval 'Content Size (MB)' = 'Content Size Bytes' / 1024

  Per visualizzare il grafico a linee:

  1. Fare clic sulla scheda istogramma.

  2. Fare clic sulla freccia giù accanto all'icona Opzioni grafico (). Fare clic su Nascondi/Mostra grafici. Selezionare Dimensione contenuto (MB) e Record log accessi.

  3. Fare clic sulla freccia giù accanto all'icona Opzioni grafico (). Fare clic su Opzioni grafico. Nell'elenco Tipo di grafico selezionare Linea senza indicatore. Fare clic su Chiudi.

  
  
  
  Descrizione dell'illustrazione content-size-mb.png
  
  

È possibile utilizzare link 'SQL Statement' per raggruppare le istruzioni SQL e analizzarne il comportamento e identificare le anomalie.

Esempio:

Si consideri la seguente query che collega i record di log in base al campo Istruzione SQL:

'Log Source' in ('Database Audit Logs', 'Database Audit XML Logs') 
	| rename 'Host Name (Server)' as 'DB Server', 'User Name (Originating)' as 'OS User', 'User Name' as 'DB User' 
	| link 'SQL Statement' 
	| rename Count as 'Number of Runs', 'Start Time' as 'First Run', 'End Time' as 'Last Run', 'Group Duration' as Age 
	| addfields [ Object = dual | stats count as 'dual Table Access' ], 
		[ Object like 'all_%' | stats count as 'ALL_ Table Access' ], 
		[ Object like 'dba_%' | stats count as 'DBA_ Table Access' ], 
		[ Object like 'user_%' | stats count as 'USER_ Table Access' ], 
		[ Object like 'v$%' | stats count as 'VDollar Table Access' ], 
		[ Object = null | stats count as 'No Table Access' ], 
		[ Action = '2' | stats count as 'Insert Count' ], 
		[ Action = '3' | stats count as 'Select Count' ], 
		[ Action = '6' | stats count as 'Update Count' ], 
		[ Action = '7' | stats count as 'Delete Count' ], 
		[ Type = '8' | stats count as 'Connect Count' ], 
		[ 'Status Code' = 1 | stats count as Failures ] 
	| eval 'Object Type' = if('dual Table Access' > 0, Dual, 
		'ALL_ Table Access' > 0, System, 
		'DBA_ Table Access' > 0, System, 
		'USER_ Table Access' > 0, System, 
		'VDollar Table Access' > 0, System, 
		'No Table Access' > 0, 'No Table', Other) 
	| eval 'SQL Type' = if('Insert Count' > 0, Insert, 
		'Select Count' > 0, Select, 
		'Update Count' > 0, Update, 
		'Delete Count' > 0, Delete, 
		'Connect Count' > 0, Connect, Other) 
	| stats distinctcount(Object) as Objects, distinctcount('Database ID') as 'Number of DBs', 
		distinctcount(Session) as 'Number of Sessions' 
	| fields -'dual Table Access', -'No Table Access', -'ALL_ Table Access', 
		-'USER_ Table Access', -'DBA_ Table Access', -'VDollar Table Access', -'Insert Count', 
		-'Select Count', -'Update Count', -'Delete Count', -'Connect Count', -'SQL Type', -'Object Type' 
	| classify Age 
	| classify 'Number of Sessions' 
	| classify 'Number of DBs' 
	| classify 'Number of Runs', 'Object Type' 
	| classify 'Object Type', 'SQL Type'

Eseguendo la query precedente, è possibile osservare i seguenti risultati:

• In base al comando di classificazione, vengono generati i grafici a bolle per Age, Number of Sessions, Number of DBs, Number of Runs, Object Type e Object Type, SQL Type.

  
  
  
  Descrizione dell'illustrazione link-sql-statement.png
  
  
  
  
  Descrizione dell'illustrazione link-sql-bubble.png
  
  

  Nei grafici a bolle, i record di log vengono raggruppati in base al numero di istruzioni SQL che rientrano in ogni set di parametri. I parametri Object Type e SQL Type vengono determinati utilizzando il comando eval nella query.

• The Line with Area histogram charts illustrate the occurrence of fields like dual Table Access, No Table Access, ALL_ Table Access, USER_ Table Access, DBA_ Table Access, VDollar Table Access, Insert Count, Select Count, Update Count, Delete Count, Connect Count, and Log Records plotted against time.

  1. Nella scheda Grafico dell'istogramma, fare clic sulla freccia verso il basso accanto all'icona Opzioni grafico ().

  2. Selezionare questa opzione per visualizzare i grafici di tutti i campi.

  3. In Tipo di grafico, selezionare Linea con area.

  4. Regolare la larghezza per visualizzare due grafici per riga.

  
  
  
  Descrizione dell'illustrazione link-sql-area-chart.png
  
  

• La tabella Gruppi elenca i gruppi identificati dal collegamento in base al campo Istruzione SQL. È possibile osservare che per ogni SQL, la tabella elenca il numero di tempo di esecuzione dell'istruzione SQL, l'ora di inizio, l'ora di fine e la durata del gruppo. Fare clic su ciascun gruppo e visualizzare i record di log per ulteriori dettagli. È inoltre possibile visualizzare i gruppi nella visualizzazione cluster per ulteriori analisi.

  
  
  
  Descrizione dell'illustrazione link-sql-table.png
  
  

Prendere in considerazione questo set di dati non ordinato prelevato da un file di log degli accessi. I campi riportati di seguito indicano le informazioni su una sessione utente e sulle azioni eseguite dall'utente.

Time | Session ID | Action
 T2  | 1          | Login
 T1  | 5          | Login
 T6  | 1          | addtocart
 T3  | 1          | productlisting
 T4  | 1          | purchase
 T9  | 1          | purchase
 T7  | 5          | addtocart
 T5  | 1          | addtocart
 T8  | 5          | purchase 

Le azioni come Login, addtocart, productlisting e purchase vengono registrate in un ordine casuale da T1 a T9 e si sono verificate in due sessioni con ID sessione 1 e 5.

Per eseguire un'analisi temporale simile dei log degli accessi, estrarre il valore Session ID dai log in un campo. Estrarre i passi intermedi della sessione dai log degli accessi applicando un'espressione regolare per ottenere il valore URL dai log.

In un contesto generico, le sessioni in questo esempio rappresentano qualsiasi transazione utente e le azioni rappresentano i passi intermedi eseguiti dall'utente per completare una transazione.

Per analizzare questi dati non ordinati e per estrarre le informazioni richieste, è possibile eseguire la seguente query di esempio:

'Upload Name' = logadmin 
| link 'Session ID'
| rename 'Group Duration' as 'Session Duration' 
| addfields 
  [ Action = addtocart | stats earliest(Time) as 'First Add To Cart Time' ], 
  [ Action = purchase | stats latest(Time) as 'Last Purchase Time' ] 
| eval 'Time Taken for Purchase (Secs)' = ('Last Purchase Time' - 'First Add To Cart Time') / 1000 
| fields -'First Add To Cart Time', 
         -'Last Purchase Time' 
| classify 'Time Taken for Purchase (Secs)'

• link 'Session ID' raggruppa i record Log di accesso in base all'ID sessione, creando due gruppi:

  Time | Session ID | Action
   T2  | 1          | Login
   T6  | 1          | addtocart
   T3  | 1          | productlisting
   T4  | 1          | purchase
   T5  | 1          | addtocart
   T9  | 1          | purchase
  
   T1  | 5          | Login
   T7  | 5          | addtocart
   T8  | 5          | purchase

• addfields viene eseguito in ognuno di questi gruppi. Il primo addfields raccoglie i record in cui Action = addtocart. Il risultato di questa query è il seguente per entrambi i gruppi:

  Time | Session ID | Action
   T6  | 1          | addtocart
   T5  | 1          | addtocart
  
   T7  | 5          | addtocart

• stats earliest(Time) ordina il risultato precedente in base al tempo, per ogni gruppo:

  Time | Session ID | Action
   T5  | 1          | addtocart
   T6  | 1          | addtocart
   
   T7  | 5          | addtocart

• Quindi il campo specificato, ovvero Time, viene prelevato dal primo record:

  'First Add To Cart Time' = T5 for Group = 1
  'First Add To Cart Time' = T7 for Group = 5

• Il secondo addfields viene eseguito su Action = purchase, estraendo i seguenti record:

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) ordina anche i record sopra elencati per Time:

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) seleziona il record ultimo ed estrae il campo specificato, ovvero Time:

  'Last Purchase Time' = T9 for Group = 1
  'Last Purchase Time' = T8 for Group = 5

• A questo punto, entrambi i gruppi hanno i valori per First Add to Cart Time e Last Purchase Time impostati. Si tratta di indicatori orari. eval sottrae l'uno dall'altro per ottenere il tempo trascorso.

• In effetti, è possibile ottenere il tempo richiesto dal passo Aggiunta al carrello al passo Acquisto per ogni sessione. Ora può essere utilizzato in classify per analizzare la varianza di questo tempo trascorso tra le sessioni.

  
  
  
  Descrizione dell'illustrazione time-analysis-bubble.png
  
  

Per la sintassi e gli altri dettagli del comando addfields, vedere addfields.