timecluster

Utilizzare questo comando per raggruppare i grafici delle serie temporali in base alla loro somiglianza.

Sintassi

timecluster [<timecluster_options>] <stats_function> (<field_name>) [as new_field_name] [, <stats_function> (<field_name>) [as new_field_name]]* by <field_name> [, <field_name>]*

Parametri

La tabella seguente elenca i parametri utilizzati con questo comando e le relative descrizioni.

Parametro descrizione;

timecluster_options

Utilizzare questo parametro per specificare la modalità di definizione dei bucket dei dati. I valori consentiti per questo parametro devono seguire il formato [span = <int><timescale>] [field = <field_name>][maxvalues = <limit>][name = <chart_name>].

span

Utilizzare questo parametro per impostare la dimensione di ogni bucket, utilizzando una lunghezza di intervallo basata sul tempo. I valori consentiti per questo parametro devono seguire il formato <int><timescale>.

Utilizzare il parametro timescale per specificare l'ora per il dimensionamento dei bucket. I valori consentiti per questo parametro devono essere <sec>, <min>, <hour>, <day>, <week>, <mon>.

Sintassi per timescale:

sec: i valori consentiti per questo parametro includono s, sec, secs, second e seconds.

min: i valori consentiti per questo parametro includono m, min, mins, minute o minutes.

hour: i valori consentiti per questo parametro includono h, hr, hrs, hour e hours.

week: i valori consentiti per questo parametro includono w, week e weeks.

mon: i valori consentiti per questo parametro includono mon, month e months.

field

Il campo deve avere un valore di indicatore orario. Se non specificato, viene utilizzato il valore Start Time.

maxvalues

Ridurre il numero di valori aggregati da restituire per una funzione.

name

Nome da visualizzare per il grafico.

Nota

È possibile utilizzare anche le funzioni associate al comando stats con il comando timecluster. Per informazioni dettagliate sulle funzioni e sugli esempi di utilizzo del comando, vedere stats.

Ad esempio, utilizzare questo comando in scenari tipici, vedere:

La query seguente raggruppa il pattern di serie temporale per entità.

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timecluster avg('Content Size') by Entity

La query seguente raggruppa i pattern delle serie temporali per entità solo per i log irreversibili.

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | addfields [ * | where Severity = fatal | timecluster avg('Content Size') by Entity ]