フィルタの有効化

「フィルタ・オプション」ダイアログ・ボックスには、タイムシート・チャートで使用されるフィールドのリストが表示されます。「検索フィルタの表示」チェック・ボックスを有効にします。「フィルタ」パネルに表示する1つ以上のフィールドを選択できます。たとえば、次のような検索を行うとします。

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Entity Type'
| timestats name = 'Entity Types'
            sum(Count) as 'Number of Logs',
            sum('Raw Size (bytes)') as 'Log Size'
        by 'Entity Type'

「フィルタ・オプション」ダイアログ・ボックスに、timestatsコマンドによって生成された次のフィールドと、by句で使用されるフィールド(「エンティティ・タイプ」、「ログ数」、「ログ・サイズ」)が表示されるようになりました。

フィールド・パネルでは、1つ以上のフィルタを選択して、それらの特定のデータ・ポイントのみを表示できます。「すべて選択」オプションを切り替えることで、フィルタをリセットできます。

特定のフィールドでフィルタを有効にした後、stringフィールドの値の完全なリストを表示するには、フィールド名の横にある設定アイコンをクリックします。

フィルタのカスタマイズ

時系列チャートのタイトルの横にある設定メニューから、「フィルタのカスタマイズ」ダイアログ・ボックスにアクセスします。

数値フィールドの場合、数値フィールド名の横にある設定アイコンをクリックして、フィルタをカスタマイズすることもできます。「フィルタのカスタマイズ」ダイアログ・ボックスが開きます。次の「範囲計算方法」オプションを使用できます:

• デフォルト: デフォルトでは、範囲は最大値の5分の1に固定され、2s、3s、4s、5sまたは10sに丸められます。たとえば、最大値が48の場合、範囲は10になります。Then the buckets would be calculated as Below 0, Up to 9, 10 - 19, 20 - 29, 30 - 39, 40 - 49, Above 50.

• 対数: 1から10、10から100、1000から10000などの対数範囲を使用するには、範囲計算方法を対数に変更します。

• カスタム: 特定のデータ・セットには変数範囲が必要です。たとえば、使用率が低い場合はCPU平均を0 - 30%、有効な使用率の場合は30 - 80%、警告の場合は80 - 95%、95%を超える場合は極端な終了であるとします。この変数範囲を構成するには、カンマ区切りの値30,80,95を指定します。これにより、バケット0-30、30-80、80-95、95+が作成されます。

オプションで、「バケット値<= 0」チェック・ボックスを有効にして、ゼロ以下のフィールド値に対して個別のバケットを作成できます。

フィルタでの検索

時系列チャートのタイトルの横にある設定メニューから、「フィルタのカスタマイズ」ダイアログ・ボックスにアクセスします。

stringフィールドでは、検索用のテキストを入力できます。検索用の正規表現を指定することもできます。たとえば、e$を検索すると、文字eで終わるすべてのフィールド値が表示されます。

「反転」オプションを選択して、基準と一致しない値のみを表示します。

リンクのtimestats構文の理解

詳細な時系列ユース・ケースtimestatsコマンドを使用した時系列分析では、次の問合せが使用されます:

'Log Source' = 'OCI VCN Flow Unified Schema Logs' 
| link span=1day Time, Action
| timestats name="Trend of Action" sum(Count) as Records by Action

前述の例のtimestatsコマンドの一部を次に示します。

コマンド構文では、次のパラメータを使用できます。

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Log Source'
| timestats avg('Raw Size (bytes)') as Size,
            sum(Count) as Records
         by 'Log Source'

リンク・タイムステートでのフィールドの使用

timestats関数には、次の2つのタイプのフィールドを使用できます。

• プロパティ・フィールド: linkコマンドで使用されるフィールド、またはlinkの後にstats、eventstats、eval、lookup、nlpまたはdeltaコマンドを使用して作成されたフィールド。

• ログ・レコード・フィールド: ログ・ソースで定義され、ログ・レコードに存在するフィールド。このようなフィールドは、timestats関数から直接参照できます。

プロパティ・フィールドのみが句で使用可能です。「メッセージ」、「元のコンテンツ」、「エラー・スタック」などの大きいフィールドは、関数または副句では使用できません。

ログのサブセットを示す: addfieldsコマンドを使用して、データの特定のサブセットのチャートを生成します。addfieldsで使用するフィールドは、プロパティ・フィールドである必要があります。次の例では、addfieldsの使用方法を示します。

*
| link Time, 'Log Source'
| addfields 
   [ * | where 'Log Source' in ('Linux Audit Logs', 
                                'Linux Secure Logs', 
                                'Linux Syslog Logs', 
                                'Linux Cron Logs') 
       | timestats name = 'Linux Logs' sum(Count) as Records by 'Log Source' 
   ],    [ * | where 'Log Source' not in ('Linux Audit Logs', 
                                          'Linux Secure Logs', 
                                          'Linux Syslog Logs', 
                                          'Linux Cron Logs') 
             | timestats name = 'Non Linux Logs' sum(Count) as Records by 'Log Source' 
   ]

返されるチャート数の指定: topcountまたはbottomcountパラメータを使用して、UIに返されるチャートの数を指定します。

• topcount: フィールド別にグループ化する場合は、集計値が最も大きい個別グループのN個数を返します。
• bottomcount: フィールド別にグループ化する場合は、集計値が最小の個別グループのN個数を返します。

例:

*
| link Time, 'Log Source'
| timestats topcount = 3 name = 'Top 3 Log Sources by Count'
            sum(Count) as 'Log Records'
        by 'Log Source'
| addfields
     [ * | where 'Log Source' in ('Linux Audit Logs', 'Linux Secure Logs', 'Linux Syslog Logs', 'Linux Cron Logs')
         | timestats bottomcount = 3 name = 'Bottom 3 Linux Logs'
                     sum(Count) as Records
                   by 'Log Source' ]

前述の問合せを実行した結果、次のチャートが生成されます。

時系列の制限

• by句のフィールド数: 句ごとに許可されるフィールドは最大4つのみです。

• 許可されるフィールド: 関数およびby句で大きなフィールドを使用しないでください。大きいフィールドの例には、「メッセージ」フィールド、「補足詳細」フィールド、「エラー・スタック」フィールド、「元のログ・コンテンツ」フィールドなどがあります。

• NULL値: 「開始時間」列の値を使用して、リンク表の値を整列します。たとえば、「期間」フィールドには、午前10時6分、午前10時10分および午後1時12分の値のみを指定できます。alignmentの一部として、timestats avg(Duration)コマンドは、午前10時6分と午前10時10分を午前10時の単一の平均に平均します。午前11時と午後12時の値がないため、ゼロで埋められます。午後1時12分の値は、午後1時の間隔に配置されます。

  実際の配置間隔は、問合せに使用される間隔によって異なります。間隔は、spanパラメータを使用して明示的に指定できます。

• 時系列値の数: timestatsコマンドごとに100シリーズのみが返されます。この制限を説明する例を次に示します。

  • コマンドtimestats sum(Count) as Records by 'Log Source'は、上位100個のログ・ソースのみを返します。上位100は、まず各ログ・ソース時系列の値をソートし、次にこれらの時系列をソートすることによって識別されます。つまり、ログ・ソースのレコードにすべてのゼロと1つの大きなスパイクが含まれている場合、返される結果にそのレコードが含まれます。
  • コマンドtimestats sum(Count) as Records by 'Log Source'、 Labelは、ログ・ソースとラベルの上位100個の一意の組合せを返します。

  結果の一部が返された場合、時系列の横にある情報アイコンは、生成された系列の合計数を示します。

  多数の時系列値を処理するためのオプションの一部を次に示します。

  • addfieldsコマンドを使用して、タイムスタットで使用される特定の値をフィルタします。
  • topcountまたはbottomcountを使用して、上位100または下位100のチャートを返します。
  • timeclusterコマンドを使用して、時系列をクラスタ化します。これにより、代表的なサンプルのみが返されるため、チャートの数が削減されます。

時系列チャートの構成オプション

ヒストグラム・チャートと同様に、チャートを使用して探索できる次のオプションがあります。「グラフ・オプション」アイコン をクリックします。

• チャートの非表示/表示: チャートを非表示または表示できます。

• チャート・タイプの選択: 様々なチャート・タイプから選択できます。

• チャートの高さと幅の調整: 「高さ」オプションを使用して、チャートの高さを増やすことができます。幅コントロールをドラッグして、チャートの幅を増減します。複数の関数がある場合、幅を小さくすると、同じ行に複数のチャートが表示されます。全幅で、すべてのチャートが個々の行に表示されます。幅を小さくすると、チャートは複数の列の順序で配置されます。

• チャート間の相関: チャート・オプション「相関ツールチップの表示」を使用して、チャート間で相関ツールのヒントを表示できます。

また、次のオプションを使用してチャートを構成することもできます。

• 凡例管理: チャート・オプションの「凡例の表示」オプションを使用して、凡例をオンまたはオフにできます。

• チャート・フィルタ: フィルタを使用して時系列を対話形式で分析できます。「チャート・オプション」、「フィルタ」および「検索フィルタの表示」をクリックして、フィルタを有効にします。フィルタ・オプションには、タイムシート・チャートで使用されるフィールドのリストが表示されます。「フィルタ」パネルに表示する1つ以上のフィールドを選択できます。「フィルタ」オプションを選択すると、timestatsコマンドによって生成されるフィールドと、by句で使用されるフィールドがチャートの上に表示されます。

  1つ以上のフィルタを選択して、それらの特定のデータ・ポイントのみを表示します。「すべて選択」オプションを切り替えることで、フィルタ選択をリセットできます。

• フィルタの検索およびカスタマイズ: フィルタ名の横にある「オプション」アイコンをクリックして、そのフィルタの値の完全なリストを表示します。検索するテキストを入力できます。検索用の正規表現を指定することもできます。たとえば、e$を検索すると、文字eで終わるすべての結果が表示されます。

  「反転」オプションを選択して、基準と一致しない値のみを表示します。

• 色の選択: 時系列ごとに色を構成できます。

  OCI監査ログの各Statusのトレンドを示す次の問合せについて考えてみます:

  Status != null and 'Log Source' = 'OCI Audit Logs'
  | link Time, Status
  | timestats sum(Count) as 'Number of Hits' by Status

  チャートには、「ステータス」の値とデフォルトの色が表示されます。「ステータス」フィールドの値は、200、201、404、409、204および400です。

  
  
  
  
  

  チャート・オプションを使用してフィルタを有効にし、チャートの横にある色オプションを表示します。

  
  
  
  
  

  「色」リンクをクリックし、Statusフィールドを選択して、構成する値と同じ数の色を持つパレットを選択します。

  
  
  
  
  

  各色式を、一致させる値または正規表現で更新します。

  
  
  
  
  

  このプロセスを「色」ドロップダウン内のフィールドごとに繰り返して、色を構成できます。

リンクtimeclusterの動作の理解

クラスタリングでは、同じ形状と値を持つ各時系列が参照されます。時系列のクラスタリングに使用される特性の一部を次に示します。

• 時系列におけるピークと谷: 類似したピークと谷を持つ時系列がまとめてクラスタ化される傾向があります。

• 各ポイントの値: 2つの時系列のスパイクが似ている場合でも、値が遠く離れている場合でも、異なるクラスタに分類される可能性があります。

各クラスタは、コンソールに表示される次のプロパティーを取得します。

timeclusterの構文とオプションは、timestatsコマンドと同様です。時系列チャートの構文および構成オプションの詳細は、リンク・タイムステート構文の理解および時系列チャートの構成オプションを参照してください。

timeclusterを使用して時系列をプロットするユースケースの例は、時系列クラスタリングを参照してください。