クラスタの数を現在の期間に一意のクラスタのみに減らして、有益なアナリティクスを生成するには、タイム・シフト・オプションを使用します。これは、クラスタ比較ユーティリティで使用可能なデフォルト・オプションです。

現在の週と前の週にわたって収集されたソースLinux Syslog Logsのログ・データを比較することを考えます。

|========================|========================|
   Baseline Time Range      Current Time Range
<----Use the same query in both the time ranges---->

現在の時間範囲を時間セレクタからLast 7 daysとして選択し、問合せ'Log Source' = 'Linux Syslog Logs' | clusterを指定します。クラスタ比較ユーティリティでは、これによって現在の時間範囲と現在の問合せが適格となります。

「クラスタ比較」をクリックすると、ベースライン問合せが現在の問合せと同じであることがわかります。また、ベースライン時間範囲がすでにデフォルトで選択されており、それが現在の1週間前の週であることもわかります。「比較」をクリックします。

クラスタ比較サマリーは次のように表示されます:

• 10個のクラスタが現在の範囲内でのみ見つかりました
• 248個のクラスタがベースライン範囲内でのみ見つかりました
• 13個の共通クラスタが両方の範囲内で見つかりました

このデータを使用して、現在の週に固有の潜在的な問題を識別し、根本原因を特定できます。ログ・レコードの選択を、潜在的な問題の原因まで絞り込みます。

ノート: タイム・シフト値は、現在時刻の開始および終了から差し引かれます。タイム・シフトが現在時刻の期間より短い場合は、重複があります。これは、その重複期間からのすべての共通(重複)クラスタを示します。これが検出されると、メッセージが表示されます。このような場合、ベースライン問合せは現在の問合せと同じです。

同じソースだが2つのカスタム時間範囲にまたがるログ・データを比較する場合は、クラスタ比較ユーティリティでカスタム時間オプションを使用します。

2019年6月の現在の時間範囲と2016年8月のベースライン時間範囲にわたって収集されたエンティティ・タイプHost (Linux)のログ・データを比較することを考えます。

|========================|                          |========================|
   Baseline Time Range                                   Current Time Range
<---------------->Use the same query in both the time ranges<---------------->

現在の時間範囲を時間セレクタから、June 1, 2019 12:00 AMからJune 27, 2019 8:21 PMまでの期間として選択し、問合せ'Entity Type' = 'Host (Linux)' | clusterを指定します。クラスタ比較ユーティリティでは、これによって現在の時間範囲と現在の問合せが適格となります。

「クラスタ比較」をクリックすると、ベースライン問合せが現在の問合せと同じであることがわかります。「ベースライン時間範囲」の横にあるアイコンをクリックし、「カスタム時間の使用」を選択します。カスタム時間範囲としてAug 15, 2016 12:00 AMからAug 20, 2016 12:00 AMまでを指定します。「比較」をクリックします。

クラスタ比較サマリーは次のように表示されます:

• 278個のクラスタが現在の範囲内でのみ見つかりました
• 7個のクラスタがベースライン範囲内でのみ見つかりました
• 4個の共通クラスタが両方の範囲内で見つかりました

この分析により、2つの期間にわたるエンティティ・タイプのsyslogデータを比較し、共通クラスタを排除して、一意クラスタを表示できます。この場合、現在の時間範囲の潜在的な問題に関連するログを表示することで、ベースライン範囲から現在の時間範囲までの潜在的な問題の数の増加を分析できます。

同じ時間範囲内の異なるソースからのログを比較する場合は、現在時刻によるクラスタの比較を使用し、異なるエンティティ・タイプまたはソースのログを選択します。

ライドシェア・アプリケーションのノードrs_host01でエラーがレポートされるが、ノードrs_host03ではレポートされないケースについて考えます。同じ時間範囲のAug 14, 2016, 9:30:00 AMからAug 20, 2016, 9:30:00 AMまでを使用して両方のノードを比較し、バリエーションを検出して根本原因の可能性がある問題を識別できます。両方のノードには、比較および分析するログ・レコードが約20,000件あります。

|=================================================|
<----Baseline Time Range = Current Time Range----->
<-----------------Baseline Query------------------>
<------------------Current Query------------------>

現在の時間範囲を時間セレクタから、Aug 14, 2016, 9:30:00 AMからAug 20, 2016, 9:30:00 AMまでとして選択し、問合せEntity = rs_host01を指定します。クラスタ比較ユーティリティでは、これによって現在の時間範囲と現在の問合せが適格となります。

「クラスタ比較」をクリックすると、ベースライン問合せが現在の問合せと同じであることがわかります。をクリックし、ベースライン問合せをEntity = rs_host03に変更します。デフォルトでは、ベースライン時間範囲はタイム・シフトされます。ベースライン時間範囲の横にあるをクリックし、オプション「現在時刻の使用」を選択します。「比較」をクリックします。

クラスタ比較サマリーは次のように表示されます:

• 2個のクラスタが現在の範囲内でのみ見つかりました
• 0個のクラスタがベースライン範囲内でのみ見つかりました
• 9個の共通クラスタが両方の範囲内で見つかりました

同じ時間範囲で、2つのライドシェア・ノードに9個の共通クラスタがあり、ノードrs_host01に2個の一意クラスタがあることに注意してください。実際、クラスタ表には、分析されたノードで問題を引き起こした致命的エラーがリストされています。

この分析では、共通クラスタを削除し、一意クラスタを識別して分析するレコードの数を減らすことで、両方のノードの20,000レコードを比較する複雑さが排除されます。