Abilita filtri

Nella finestra di dialogo Opzioni filtro viene visualizzato l'elenco dei campi utilizzati nel grafico degli orari. Abilitare la casella di controllo Mostra filtri di ricerca. È possibile selezionare uno o più campi da visualizzare nel pannello Filtro. Considerare ad esempio la ricerca seguente:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Entity Type'
| timestats name = 'Entity Types'
            sum(Count) as 'Number of Logs',
            sum('Raw Size (bytes)') as 'Log Size'
        by 'Entity Type'

La finestra di dialogo Opzioni filtro ora mostra i seguenti campi generati dal comando timestats e i campi utilizzati nella clausola by: Tipo di entità, Numero di log, Dimensione log.

Nel pannello Campi è possibile selezionare uno o più filtri per visualizzare solo i datapoint specifici. È possibile reimpostare il filtro attivando o disattivando l'opzione Seleziona tutto.

Dopo aver abilitato il filtro per un campo specifico, per visualizzare l'elenco completo di valori per un campo stringa, fare clic sull'icona Impostazioni accanto al nome del campo.

Personalizza filtri

Accedere alla finestra di dialogo Personalizza filtri dal menu Impostazioni accanto al titolo del grafico delle serie temporali.

Nel caso di campi numerici, è inoltre possibile personalizzare il filtro facendo clic sull'icona Impostazioni accanto al nome del campo numerico. Viene visualizzata la finestra di dialogo Personalizza filtro. Sono disponibili le opzioni Metodo di calcolo intervallo riportate di seguito.

• Predefinito: per impostazione predefinita, l'intervallo viene fissato a un quinto del valore massimo, quindi viene arrotondato a 2s, 3s, 4s, 5s o 10s. Ad esempio, se il valore massimo è 48, l'intervallo sarà 10. Then the buckets would be calculated as Below 0, Up to 9, 10 - 19, 20 - 29, 30 - 39, 40 - 49, Above 50.

• Logaritmico: per utilizzare intervalli logaritmici, ad esempio 1 - 10, 10 - 100 e 1000 - 10000, modificare il metodo di calcolo dell'intervallo in logaritmico.

• Personalizzato: alcuni set di dati richiedono intervalli di variabili. Si consideri, ad esempio, il requisito di definire la media della CPU come 0 - 30% per l'utilizzo inferiore, 30 - 80% come utilizzo effettivo, 80 - 95% come avvertenza e qualsiasi elemento superiore al 95% è di tipo "estrema". Per configurare gli intervalli di variabili, è possibile fornire valori separati da virgole 30,80,95. In questo modo vengono creati i bucket 0-30, 30-80, 80-95, 95+.

Facoltativamente, è possibile abilitare la casella di controllo Valori bucket <= 0 separatamente per creare un bucket separato per i valori dei campi minori o uguali a zero.

Cerca nel filtro

Accedere alla finestra di dialogo Personalizza filtri dal menu Impostazioni accanto al titolo del grafico delle serie temporali.

Per i campi string, è possibile digitare il testo da cercare. È inoltre possibile fornire espressioni regolari per la ricerca. Ad esempio, la ricerca di e$ mostrerà tutti i valori di campo che terminano con la lettera e.

Selezionare l'opzione Inverti per visualizzare solo i valori che non corrispondono ai criteri.

Informazioni sulla sintassi dei timeout del collegamento

Nel caso d'uso dettagliato della serie temporale Analisi serie temporale mediante comando statistiche temporali, viene utilizzata la query seguente:

'Log Source' = 'OCI VCN Flow Unified Schema Logs' 
| link span=1day Time, Action
| timestats name="Trend of Action" sum(Count) as Records by Action

Di seguito sono riportate alcune parti del comando timestats nell'esempio precedente.

Nella sintassi del comando è possibile utilizzare i seguenti parametri:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Log Source'
| timestats avg('Raw Size (bytes)') as Size,
            sum(Count) as Records
         by 'Log Source'

Utilizzo dei campi nei fogli ore collegamento

Esistono due tipi di campi che possono essere utilizzati per una funzione Timestats:

• Campo Proprietà: qualsiasi campo utilizzato nel comando link o creato utilizzando i comandi stats, eventstats, eval, lookup, nlp o delta dopo link.

• Campo Record di log: campo definito nell'origine log ed esistente nel record di log. È possibile fare riferimento direttamente a tali campi da una funzione Timestats.

In una clausola secondaria sono consentiti solo campi di proprietà. I campi di grandi dimensioni come Messaggio, Contenuto originale, Stack errori non sono consentiti in una funzione o in una clausola secondaria.

Grafico di un subset di log: utilizzare il comando addfields per generare grafici per un subset di dati specifico. I campi utilizzati in addfields devono essere campi di proprietà. L'esempio seguente illustra l'uso di addfields:

*
| link Time, 'Log Source'
| addfields 
   [ * | where 'Log Source' in ('Linux Audit Logs', 
                                'Linux Secure Logs', 
                                'Linux Syslog Logs', 
                                'Linux Cron Logs') 
       | timestats name = 'Linux Logs' sum(Count) as Records by 'Log Source' 
   ],    [ * | where 'Log Source' not in ('Linux Audit Logs', 
                                          'Linux Secure Logs', 
                                          'Linux Syslog Logs', 
                                          'Linux Cron Logs') 
             | timestats name = 'Non Linux Logs' sum(Count) as Records by 'Log Source' 
   ]

Specifica del numero di grafici da restituire: utilizzare i parametri topcount o bottomcount per specificare il numero di grafici da restituire all'interfaccia utente.

• topcount: quando si esegue il raggruppamento per campi, viene restituito N conteggio di gruppi distinti con i valori aggregati più grandi.
• bottomcount: quando si esegue il raggruppamento per campi, viene restituito N conteggio di gruppi distinti con i valori aggregati più piccoli.

Ad esempio:

*
| link Time, 'Log Source'
| timestats topcount = 3 name = 'Top 3 Log Sources by Count'
            sum(Count) as 'Log Records'
        by 'Log Source'
| addfields
     [ * | where 'Log Source' in ('Linux Audit Logs', 'Linux Secure Logs', 'Linux Syslog Logs', 'Linux Cron Logs')
         | timestats bottomcount = 3 name = 'Bottom 3 Linux Logs'
                     sum(Count) as Records
                   by 'Log Source' ]

I seguenti grafici vengono generati come risultato dell'esecuzione della query precedente:

Limiti per la serie temporale

• Numero di campi nella clausola by: nella clausola by sono consentiti solo un massimo di quattro campi.

• Campi consentiti: non utilizzare campi di grandi dimensioni nella funzione e nella clausola BY. Alcuni esempi di campi di grandi dimensioni sono i campi Messaggio, Dettagli supplementari, Stack errori e Contenuto log originale.

• Valori nulli: le statistiche temporali allineano i valori nella tabella dei collegamenti utilizzando i valori nella colonna Ora inizio. Ad esempio, un campo Durata può avere valori solo per 10:06 AM, 10:10 AM e 1:12pm. Nell'ambito dell'allineamento, un comando timestats avg(Duration) avrebbe una media dei valori di 10:06 AM e 10:10 AM in una singola media per le 10:00am. Poiché non ci sono valori per 11am e 12pm, sono pieni di zeri. Il valore 1:12pm viene posizionato all'intervallo 1 PM.

  L'intervallo di allineamento effettivo dipende dall'intervallo utilizzato per la query. Un intervallo può essere specificato in modo esplicito utilizzando il parametro span.

• Numero di valori delle serie temporali: viene restituito solo il comando 100 series per timestats. Ecco alcuni esempi che illustrano questo limite:

  • Il comando timestats sum(Count) as Records by 'Log Source' restituisce solo le prime 100 origini log. Le prime 100 vengono identificate ordinando prima i valori di ogni serie temporale dell'origine log, quindi ordinando queste serie temporali. Ciò significa che se Record per un'origine log contiene tutti gli zeri e un singolo picco di grandi dimensioni, questo viene incluso nei risultati restituiti.
  • Il comando timestats sum(Count) as Records by 'Log Source', Label restituisce le prime 100 combinazioni unique dell'origine log e dell'etichetta.

  Se vengono restituiti risultati parziali, un'icona Informazioni accanto alla serie temporale indica il numero totale di serie generate.

  Di seguito sono riportate alcune delle opzioni per gestire un numero elevato di valori delle serie temporali.

  • Utilizzare il comando addfields per filtrare i valori specifici da utilizzare nelle statistiche temporali.
  • Utilizzare topcount o bottomcount per restituire i primi 100 o gli ultimi 100 grafici.
  • Utilizzare il comando timecluster per raggruppare la serie temporale. Ciò riduce il numero di grafici, poiché vengono restituiti solo campioni rappresentativi.

Opzioni di configurazione per i grafici delle serie temporali

Analogamente ai grafici a istogramma, sono disponibili le seguenti opzioni da esplorare utilizzando i grafici. Fare clic sull'icona Opzioni grafico :

• Nascondi/Mostra grafici: è possibile nascondere o mostrare un grafico.

• Selezione del tipo di grafico: è possibile effettuare una selezione tra diversi tipi di grafico.

• Adeguamento dell'altezza e della larghezza del grafico: è possibile aumentare l'altezza del grafico utilizzando l'opzione Altezza. Trascinare il controllo Larghezza per aumentare o diminuire la larghezza dei grafici. Se sono presenti più funzioni, la riduzione della larghezza determinerebbe la visualizzazione di più grafici nella stessa riga. A larghezza completa, tutti i grafici vengono visualizzati in singole righe. Se si riduce la larghezza, i grafici vengono disposti in ordine di più colonne.

• Correlazione tra grafici: è possibile utilizzare l'opzione Mostra descrizioni comandi correlate per visualizzare le descrizioni comandi correlate tra i grafici.

È inoltre possibile utilizzare le opzioni riportate di seguito per configurare i grafici.

• Controllo legenda: è possibile attivare o disattivare le legende utilizzando l'opzione Mostra legenda in Opzioni grafico.

• Filtri grafico: è possibile utilizzare i filtri per analizzare in modo interattivo la serie temporale. Per abilitare i filtri, fare clic su Opzioni grafico, Filtri e Mostra filtri di ricerca. Le opzioni di filtro mostrano l'elenco dei campi utilizzati nel grafico degli orari. È possibile selezionare uno o più campi da visualizzare nel pannello Filtro. Dopo aver selezionato le opzioni Filtro, i campi generati dal comando timeestats e i campi utilizzati nella clausola by vengono visualizzati sopra il grafico.

  Selezionare uno o più filtri per visualizzare solo i datapoint specifici. È possibile reimpostare la selezione del filtro attivando o disattivando l'opzione Seleziona tutto.

• Cerca e personalizza filtri: fare clic sull'icona Opzioni accanto al nome di un filtro per visualizzare l'elenco completo dei valori per tale filtro. È possibile immettere il testo per la ricerca. È inoltre possibile fornire espressioni regolari per la ricerca. Ad esempio, la ricerca di e$ mostrerà tutti i risultati che terminano con la lettera e.

  Selezionare l'opzione Inverti per visualizzare solo i valori che non corrispondono ai criteri.

• Seleziona colori: è possibile configurare il colore per ogni serie temporale.

  Prendere in considerazione la seguente query che mostra l'andamento di ogni Status nei log di audit OCI:

  Status != null and 'Log Source' = 'OCI Audit Logs'
  | link Time, Status
  | timestats sum(Count) as 'Number of Hits' by Status

  Il grafico visualizza i valori di stato e il colore predefinito. I valori del campo Stato sono 200, 201, 404, 409, 204 e 400.

  
  
  
  
  

  Abilitare i filtri utilizzando Opzioni grafico per visualizzare l'opzione colore accanto al grafico.

  
  
  
  
  

  Fare clic sul collegamento Colore, selezionare il campo Status e selezionare una tavolozza con tutti i colori disponibili per la configurazione dei valori.

  
  
  
  
  

  Aggiornare ogni espressione di colore con il valore o un'espressione regolare che si desidera abbinare.

  
  
  
  
  

  È possibile ripetere questo processo per ogni campo nell'elenco a discesa Colore per configurare i colori.

Informazioni sul funzionamento del collegamento timecluster

Il cluster esamina ogni serie temporale con forme e valori simili. Di seguito sono riportate alcune delle caratteristiche utilizzate per raggruppare le serie temporali:

• Picchi e valli nella serie temporale: le serie temporali con picchi e valli simili tendono a essere raggruppate insieme.

• Valori in ogni punto: anche se due serie temporali hanno picchi simili, possono comunque rientrare in cluster diversi, se i valori sono distanti.

Ogni cluster ottiene le seguenti proprietà visualizzate nella console:

La sintassi e le opzioni di timecluster sono simili a quelle del comando timestats. Per informazioni sulla sintassi e sulle opzioni di configurazione per i grafici delle serie temporali, vedere Introduzione alla sintassi delle statistiche temporali dei collegamenti e Opzioni di configurazione per i grafici delle serie temporali.

Per un esempio di caso d'uso per la rappresentazione di una serie temporale mediante timecluster, vedere Clustering delle serie temporali.