Gráfico de Série de Tempo

Ativar Filtros

A caixa de diálogo Opções de Filtro exibe a lista de campos usados no gráfico de timestats. Marque a caixa de seleção Mostrar Filtros de Pesquisa. Você pode selecionar um ou mais campos a serem exibidos no painel Filtro. Por exemplo, considere a seguinte pesquisa:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Entity Type'
| timestats name = 'Entity Types'
            sum(Count) as 'Number of Logs',
            sum('Raw Size (bytes)') as 'Log Size'
        by 'Entity Type'

A caixa de diálogo Opções de Filtro agora mostra os seguintes campos gerados pelo comando timestats e os campos usados na cláusula by: Tipo de Entidade, Número de Logs, Tamanho do Log.

No painel de campos, você pode selecionar um ou mais filtros para exibir apenas esses pontos de dados específicos. Você pode redefinir o filtro alternando a opção Selecionar Tudo.

Depois que o filtro for ativado para um campo específico, para exibir a lista completa de valores de um campo string, clique no ícone Definições ao lado do nome do campo.

Personalizar Filtros

Acesse a caixa de diálogo Personalizar Filtros no menu Definições em ao lado do título do gráfico de séries temporais.

No caso de campos numéricos, você também pode personalizar o filtro clicando no ícone Configurações ao lado do nome do campo numérico. A caixa de diálogo Personalizar Filtro é aberta. As seguintes opções de Método de Cálculo de Intervalo estão disponíveis:

• Padrão: Por padrão, o intervalo é fixado em um quinto do valor máximo e, em seguida, arredondando-o para 2s, 3s, 4s, 5s ou 10s. Por exemplo, se o valor máximo for 48, o intervalo será 10. Then the buckets would be calculated as Below 0, Up to 9, 10 - 19, 20 - 29, 30 - 39, 40 - 49, Above 50.

• Logarítmico: Para usar intervalos logarítmicos como 1 - 10, 10 - 100 e 1000 - 10000, altere o método de cálculo de intervalo para logarítmico.

• Personalizado: Determinados conjuntos de dados precisam de faixas variáveis. Por exemplo, considere o requisito para definir o bucket de Média da CPU como 0 a 30% para utilização insuficiente, 30 a 80% como utilização efetiva, 80 a 95% como advertência e qualquer valor acima de 95% é extremo. Para configurar intervalos de variáveis para isso, você pode fornecer valores separados por vírgulas 30,80,95. Isso cria os blocos 0-30, 30-80, 80-95, 95+.

Opcionalmente, você pode ativar a caixa de seleção Valores do Período <= 0 Separadamente para criar um período separado para os valores de campo menores ou iguais a zero.

Pesquisar no Filtro

Acesse a caixa de diálogo Personalizar Filtros no menu Definições em ao lado do título do gráfico de séries temporais.

Para os campos de string, você pode digitar o texto para pesquisa. Você também pode fornecer expressões regulares para pesquisa. Por exemplo, procurar e$ mostrará todos os valores de campo que terminam com a letra e.

Marque a opção Inverter para exibir somente os valores que não correspondem aos critérios.

Compreendendo a Sintaxe de timestats do Link

No caso de uso detalhado de séries temporais Análise de Séries Temporais Usando o Comando timestats, a seguinte consulta é usada:

'Log Source' = 'OCI VCN Flow Unified Schema Logs' 
| link span=1day Time, Action
| timestats name="Trend of Action" sum(Count) as Records by Action

Partes do comando timestats no exemplo acima têm a seguinte aparência:

Os seguintes parâmetros podem ser usados na sintaxe de comando:

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Log Source'
| timestats avg('Raw Size (bytes)') as Size,
            sum(Count) as Records
         by 'Log Source'

Usando os Campos nos timestats do Link

Há dois tipos de campos que podem ser usados para uma função de timestats:

• Campo de propriedade: Qualquer campo usado no comando link ou criado usando os comandos stats, eventstats, eval, lookup, nlp ou delta depois de link.

• Campo de registro de log: Um campo que é definido na origem de log e existe no registro de log. Você pode consultar diretamente esses campos em uma função de timestats.

Somente campos de propriedade são permitidos em uma cláusula acessória. Campos grandes como Mensagem, Conteúdo Original, Pilha de Erros não são permitidos em uma função ou em uma cláusula secundária.

Criando um subconjunto de logs: Use o comando addfields para gerar gráficos para um subconjunto específico de dados. Os campos usados no addfields devem ser um campo de propriedade. O exemplo a seguir ilustra o uso de addfields:

*
| link Time, 'Log Source'
| addfields 
   [ * | where 'Log Source' in ('Linux Audit Logs', 
                                'Linux Secure Logs', 
                                'Linux Syslog Logs', 
                                'Linux Cron Logs') 
       | timestats name = 'Linux Logs' sum(Count) as Records by 'Log Source' 
   ],    [ * | where 'Log Source' not in ('Linux Audit Logs', 
                                          'Linux Secure Logs', 
                                          'Linux Syslog Logs', 
                                          'Linux Cron Logs') 
             | timestats name = 'Non Linux Logs' sum(Count) as Records by 'Log Source' 
   ]

Especificando o número de gráficos a serem retornados: Use os parâmetros topcount ou bottomcount para especificar o número de gráficos a serem retornados de volta à IU.

• topcount: Ao agrupar por campos, retorna a contagem N de grupos distintos com os maiores valores agregados.
• bottomcount: Ao agrupar por campos, retorna a contagem N de grupos distintos com os menores valores agregados.

Por exemplo:

*
| link Time, 'Log Source'
| timestats topcount = 3 name = 'Top 3 Log Sources by Count'
            sum(Count) as 'Log Records'
        by 'Log Source'
| addfields
     [ * | where 'Log Source' in ('Linux Audit Logs', 'Linux Secure Logs', 'Linux Syslog Logs', 'Linux Cron Logs')
         | timestats bottomcount = 3 name = 'Bottom 3 Linux Logs'
                     sum(Count) as Records
                   by 'Log Source' ]

Os seguintes gráficos são gerados como resultado da execução da consulta acima:

Limites para Séries Temporais

• Número de campos na cláusula by: Somente até quatro campos são permitidos na cláusula by.

• Campos Permitidos: Abster-se de usar campos grandes na função e na cláusula by. Exemplos de campos grandes incluem os campos Mensagem, Detalhes Complementares, Pilha de Erros e Conteúdo do Log Original.

• Valores Nulos: Timestats alinha os valores na tabela de links usando os valores na coluna Horário Inicial. Por exemplo, um campo Duração pode ter valores apenas para 10:06 AM, 10:10 AM e 1:12pm. Como parte do comando alignment, um comando timestats avg(Duration) faria uma média dos valores de 10:06 AM e 10:10 AM em uma única média para 10:00. Como não há valores para as 11h e 12h, eles são preenchidos com zeros. O valor de 1:12pm é colocado no intervalo de 1 PM.

  O intervalo de alinhamento real depende do intervalo usado para a consulta. Um intervalo pode ser especificado explicitamente usando o parâmetro span.

• Número de valores de séries temporais: Somente 100 séries por comando timestats é retornado. Veja alguns exemplos que ilustram esse limite:

  • O comando timestats sum(Count) as Records by 'Log Source' retorna somente as 100 principais Origens de Log. As 100 principais são identificadas primeiro classificando os valores de cada série temporal da Origem de Log e, em seguida, classificando essas séries temporais. Isso significa que, se Registros de uma Origem de Log contiver todos os zeros e um único pico grande, isso será incluído nos resultados retornados.
  • O comando timestats sum(Count) as Records by 'Log Source', Label retorna as 100 principais combinações exclusivas da Origem de Log e do Label.

  Se resultados parciais forem retornados, um ícone de informações ao lado da série temporal indicará o número total de séries geradas.

  A seguir estão algumas das opções para tratar um grande número de valores de séries temporais:

  • Use o comando addfields para filtrar os valores específicos a serem usados em timestats.
  • Use topcount ou bottomcount para retornar os 100 primeiros ou os 100 últimos gráficos.
  • Use o comando timecluster para clusterizar a série temporal. Isso reduz o número de prontuários, uma vez que apenas amostras representativas são retornadas.

Opções de Configuração para os Gráficos de Séries Temporais

Semelhante aos gráficos de histograma, as opções a seguir estão disponíveis para você explorar usando os gráficos. Clique no ícone de Opções de Gráfico:

• Ocultar/Mostrar Gráficos: Você pode ocultar ou mostrar um gráfico.

• Selecionando o Tipo de Gráfico: Você pode selecionar entre diferentes tipos de gráfico.

• Ajustando a Altura e a Largura do Gráfico: Você pode aumentar a altura do gráfico usando a opção Altura. Arraste o controle Largura para aumentar ou diminuir a largura dos gráficos. Se houver mais de uma função, a redução da largura fará com que mais gráficos sejam exibidos na mesma linha. Na largura total, todos os gráficos são exibidos em linhas individuais. A redução da largura faz com que os gráficos sejam organizados em ordem de várias colunas.

• Correlacionando entre Gráficos: Você pode usar a Opção de Gráfico Mostrar Dicas de Ferramentas Correlacionadas para mostrar dicas de ferramentas correlacionadas entre gráficos.

Além disso, você também pode usar as seguintes opções para configurar seus gráficos:

• Controle de Legenda: Você pode ativar ou desativar as legendas usando a opção Mostrar Legenda em Opções de Gráfico.

• Filtros de Gráfico: Você pode usar os filtros para analisar interativamente a série temporal. Ative os filtros clicando em Opções do Gráfico, Filtros e Mostrar Filtros de Pesquisa. As opções de filtro mostram a lista de campos usados no gráfico de timestats. É possível selecionar um ou mais campos a serem exibidos no painel Filtro. Depois de selecionar as opções de Filtro, os campos gerados pelo comando timestats, bem como os campos usados na cláusula by, são exibidos acima do gráfico.

  Selecione um ou mais filtros para exibir somente os pontos de dados específicos. Você pode redefinir a seleção do filtro alternando a opção Selecionar Tudo.

• Pesquisar e Personalizar Filtros: Clique no ícone Opções ao lado de um nome de filtro para exibir a lista completa de valores desse filtro. Você pode informar o texto da pesquisa. Você também pode fornecer expressões regulares para pesquisa. Por exemplo, procurar e$ mostrará todos os resultados que terminam na letra e.

  Marque a opção Inverter para exibir somente os valores que não correspondem aos critérios.

• Selecionar Cores: Você pode configurar a cor para cada série de tempo.

  Considere a seguinte consulta que mostra a tendência de cada Status nos Logs de Auditoria do OCI:

  Status != null and 'Log Source' = 'OCI Audit Logs'
  | link Time, Status
  | timestats sum(Count) as 'Number of Hits' by Status

  O gráfico exibe os valores de Status e sua cor padrão. Os valores do campo Status são 200, 201, 404, 409, 204 e 400.

  
  
  
  
  

  Ative os filtros usando Opções de gráfico para visualizar a opção de cor ao lado do gráfico.

  
  
  
  
  

  Clique no link Cor, selecione o campo Status e selecione uma paleta que tenha tantas cores quanto os valores a serem configurados.

  
  
  
  
  

  Atualize cada expressão de cor com o valor ou uma expressão regular que você deseja corresponder.

  
  
  
  
  

  É possível repetir esse processo para cada campo no menu suspenso Cor para configurar as cores.

Compreendendo o Funcionamento do Link timecluster

O clustering analisa cada série temporal que tem forma e valores semelhantes. A seguir estão algumas das características usadas para agrupar as séries temporais:

• Picos e Vales na série temporal: As séries temporais com picos e vales semelhantes tendem a ser agrupadas.

• Valores em cada ponto: Mesmo que duas séries temporais tenham picos semelhantes, elas ainda poderão se encaixar em clusters diferentes, se os valores estiverem distantes.

Cada cluster obtém as seguintes propriedades que são exibidas na console:

timecluster tem sintaxe e opções semelhantes às do comando timestats. Para entender a sintaxe e as opções de configuração dos gráficos de séries temporais, consulte Noções Básicas sobre a Sintaxe de timestats de Link e Opções de Configuração para os Gráficos de Séries Temporais.

Para obter um exemplo de caso de uso de plotagem de uma série temporal usando timecluster, consulte Clusterização de Séries Temporais.