Descrizione dell'immagine cluster_sql.png

L'elevato volume di record di log viene ridotto a 89 cluster, offrendo così un numero inferiore di gruppi di dati di log da analizzare.

È possibile espandere i cluster selezionando le variabili. Ad esempio, dal set di cluster sopra riportato, selezionare il cluster con il messaggio di esempio SELECT version FROM V$INSTANCE:

Descrizione dell'immagine cluster_sql_variable.png

Viene visualizzata la visualizzazione dell'istogramma dei record di log contenenti il messaggio di esempio specificato. Ora è possibile analizzare il contenuto del log originale. Fare clic su Torna al cluster per tornare alla visualizzazione del cluster.

Il pannello Tendenze mostra le istruzioni SQL con un pattern di esecuzione simile.

Nel pannello Valori anomali vengono visualizzate le istruzioni SQL rare e diverse.

Il comando nlp supporta il clustering semantico. Il clustering semantico viene eseguito estraendo le parole chiave pertinenti da un messaggio e dal clustering basato su queste parole chiave. Due insiemi di messaggi con parole simili sono raggruppati. A ciascun gruppo di questo tipo viene assegnato un ID cluster deterministico.

L'esempio seguente mostra l'uso del clustering NLP e delle parole chiave nei log di syslog Linux:

'Log Source' = 'Linux Syslogs Logs'
| link Time, Entity, cluster()
| nlp cluster('Cluster Sample') as 'Cluster ID', 
                    keywords('Cluster Sample') as Keywords
| classify 'Start Time', Keywords, Count, Entity as 'Cluster Keywords'

Per ulteriori esempi di casi d'uso del clustering semantico, vedere Esempi di clustering semantico.

Comando nlp

Il comando nlp può essere utilizzato solo dopo il comando link e supporta due funzioni. È possibile utilizzare cluster() per raggruppare in cluster il campo specificato e keywords() per estrarre le parole chiave dal campo specificato.

Il comando nlp può essere utilizzato solo dopo il comando link. Vedere nlp.

• nlp cluster():

  cluster() prende il nome di un campo generato nel collegamento e restituisce un ID cluster per ogni valore in cluster. L'ID cluster restituito è un numero rappresentato come stringa. L'ID cluster può essere utilizzato nelle query per filtrare i cluster.

  Ad esempio:

  nlp cluster('Description') as 'Description ID': consente di estrarre le parole chiave pertinenti dal campo Description. Il campo Description ID conterrebbe un ID univoco per ogni cluster generato.

• nlp keywords():

  Estrae le parole chiave dai valori dei campi specificati. Le parole chiave vengono estratte in base a un dizionario. Il nome del dizionario può essere fornito con l'opzione table. Se non viene fornito alcun dizionario, viene utilizzato il dizionario predefinito predefinito NLP General Dictionary.

  Ad esempio:

  nlp keywords('Description') as Summary: consente di estrarre le parole chiave pertinenti dal campo Description. Le parole chiave sono accessibili utilizzando il campo Summary.

  nlp table='My Issues' cluster('Description') as 'Description ID': anziché utilizzare il dizionario predefinito, utilizzare il dizionario personalizzato Problemi personali.

Dizionario NLP

Il clustering semantico funziona dividendo un messaggio in parole, estraendo le parole rilevanti e quindi raggruppando i messaggi che hanno parole simili. La qualità del clustering dipende quindi dalla rilevanza delle parole chiave estratte.

• Un dizionario viene utilizzato per decidere quali parole in un messaggio devono essere estratte.
• L'ordine degli elementi nel dizionario è importante. Un elemento nella prima riga ha una classificazione più alta rispetto all'elemento nella seconda riga.
• Un dizionario viene creato come file .csv e importato utilizzando l'interfaccia utente di ricerca con l'opzione Tipo di dizionario.
• Non è necessario creare un dizionario, a meno che non si desideri modificare la classificazione delle parole. Se non viene specificato alcun dizionario, viene utilizzato il valore predefinito NLP General Dictionary pronto all'uso. Contiene parole inglese pre-addestrate.

Vedere Creare una ricerca nel dizionario.

Di seguito è riportato un esempio di dizionario Errori iSCSI.

Il primo campo è riservato per uso futuro. Il secondo campo è una parola. La terza parola specifica il tipo di parola. Il tipo può essere qualsiasi stringa e può essere utilizzato come riferimento dalla query utilizzando il parametro category.

Nell'esempio precedente, la parola error ha una classificazione superiore a quella delle parole reported o iSCSI. Analogamente, la classificazione di connessione è superiore a quella di chiusa.

Uso di un dizionario

Si supponga che nel campo Message venga visualizzato il testo seguente:

Kernel reported iSCSI connection 1:0 error (1020 - ISCSI_ERR_TCP_CONN_CLOSE: TCP connection closed) state (2) 
Please verify the storage and network connection for additional faults

Il messaggio di cui sopra viene analizzato e suddiviso in parole. I caratteri non alfabetici vengono rimossi. Di seguito sono riportate alcune delle parole univoche generate dallo split:

Kernel
reported
iSCSI
connection
error
ERR
TCP
CONN
CLOSE
closed
state
...
...

Il messaggio contiene un totale di 24 parole. Per impostazione predefinita, il clustering semantico tenterebbe di estrarre 20 parole e di utilizzare queste parole per eseguire il clustering. In un caso come quello sopra, il sistema deve sapere quali parole sono importanti. A tale scopo si usa il dizionario.

Il dizionario è un elenco ordinato. Se si utilizza Errori iSCSI, l'elaborazione NLP non estrae ERR, TCP o CONN perché queste parole non sono incluse nel dizionario. Analogamente, alle parole error, reported, iSCSI, connection e closed viene assegnata una priorità più alta a causa della relativa classificazione nel dizionario.