O utilitário de comparação de clusters pode ser usado para identificar novos problemas, comparando o conjunto atual de clusters com uma linha de base e reduzindo os resultados eliminando clusters comuns ou duplicados. Alguns dos cenários típicos são:

• Quais clusters são diferentes nesta semana em comparação com a semana passada?

  Consulte Comparação de Clusters por Mudança de Horário.

• Qual é a diferença entre o conjunto de clusters da entidade A e o conjunto da entidade B?

  Consulte Comparação de Clusters por Horário Atual.

• As coisas estavam funcionando bem no mês X. O que mudou nesse mês?

  Consulte Comparação de Clusters por Tempo Personalizado.

Considerando dois conjuntos de dados de log, o utilitário de comparação de clusters remove os dados pertencentes aos clusters comuns e exibe os dados do histograma e a tabela de registros que são exclusivos de cada conjunto. Por exemplo, quando você compara os dados do log das semanas x e da semana y, os clusters comuns às duas semanas são removidos para simplificação e os dados exclusivos de cada semana são exibidos. Isso permite identificar padrões exclusivos da semana específica e analisar o comportamento.

Para obter a sintaxe e outros detalhes do comando clustercompare, consulte clustercompare.

1. Na visualização dos clusters, selecione a faixa de tempo atual. Por padrão, a consulta é *. Você pode refinar a consulta para filtrar dados de log.
2. No painel Visualizar, clique em Comparação de Clusters.

   A caixa de diálogo de comparação de clusters é aberta.

3. Você pode observar que a consulta e a faixa de tempo atuais são exibidas para referência.
   • Consulta de Linha de Base: Por padrão, essa é a mesma consulta atual. Clique em e modifique a consulta de linha de base, se necessário.
   • Faixa de Tempo da Linha de Base: Por padrão, o utilitário de comparação de clusters utiliza a opção Usar Mudança de Horário para determinar a faixa de tempo da linha de base. Portanto, a faixa de tempo da linha de base é da mesma duração da faixa de tempo atual e é alterada para o período antes da faixa de tempo atual. Você pode modificar isso clicando no ícone e selecionando Usar Tempo Personalizado ou Usar Horário Atual. Se você selecionar Usar Tempo Personalizado, especifique a faixa de tempo personalizada usando o menu.
   • Clique em Comparar.

     Agora você pode exibir a comparação de clusters entre os dois conjuntos de logs.

     Clique no botão correspondente a cada conjunto para exibir os detalhes como clusters, possíveis problemas, discrepâncias, tendências e tabela de registros que são exclusivos do conjunto. A página também exibe o número de clusters comuns entre os dois conjuntos de logs.

     No exemplo anterior, há 11 clusters encontrados apenas na faixa atual, 4 apenas na faixa da linha de base e 30 comuns nas duas faixas. O histograma da faixa de tempo atual exibe a visualização usando apenas os dados do log que são exclusivos da faixa de tempo atual.

Use o lookup de dicionário após o comando cluster para anotar clusters.

Considere os resultados de cluster para Linux Syslog Logs. Para definir um dicionário a fim de adicionar labels com base no campo Amostra de Cluster:

1. Crie um arquivo CSV com o seguinte conteúdo:

   Operator,Condition,Issue,Area
   CONTAINS IGNORE CASE,invalid compare operation,Compare Error,Unknown
   CONTAINS IGNORE CASE REGEX,DNS-SD.*?Daemon not running,DNS Daemon Down,DNS
   CONTAINS ONE OF REGEXES,"[[Cc]onnection refused,[Cc]onnection .*? closed]",Connection Error,Network
   CONTAINS IGNORE CASE,syntax error,Syntax Error,Validation
   CONTAINS IGNORE CASE REGEX,Sense.*?(?:Error|fail),Disk Sensing Error,Disk
   CONTAINS IGNORE CASE REGEX,device.*?check failed,Device Error,Disk

   Importe-o como lookup de tipo de Dicionário usando o nome Linux Error Categories. Essa consulta contém dois campos, Issue e Area que podem ser retornados em uma condição de correspondência. Consulte Criar um Lookup de Dicionário.

2. Use o dicionário no cluster para retornar um campo:

   Execute o comando cluster para Linux Syslog Logs. Adicione um comando lookup após cluster, conforme mostrado a seguir:

   'Log Source' = 'Linux Syslog Logs' 
   | cluster
   | lookup table = 'Linux Error Categories' select Issue using 'Cluster Sample'

   O valor de Cluster Sample para cada linha é avaliado em relação às regras definidas no dicionário Categorias de Erro do Linux. O campo Problema é retornado de cada linha correspondente.

3. Retorne mais de um campo selecionando cada campo no comando lookup:

   'Log Source' = 'Linux Syslog Logs'
   | cluster
   | lookup table = 'Linux Error Categories' select Issue as Category, Area using 'Cluster Sample'

   A consulta anterior seleciona o campo Issue e também o renomeia para Category. O campo Area também é selecionado, mas não renomeado.

4. Filtre os resultados do cluster usando os campos de dicionário:

   Use o comando where nos campos específicos para filtrar os clusters. Considere a seguinte consulta:

   'Log Source' = 'Linux Syslog Logs' 
   | cluster 
   | lookup table = 'Linux Error Categories' select Issue as Category, Area using 'Cluster Sample' 
   | where Area in (Unknown, Disk)

   Isso exibe somente os registros que correspondem aos valores especificados para o campo Área.

A Visualização de Cluster permite clusterizar mensagens de texto em registros de log. O cluster funciona agrupando mensagens com número semelhante de palavras em uma sentença e identificando as palavras que mudam nessas sentenças. O cluster não considera o significado literal das palavras durante o agrupamento.

O comando nlp suporta clusterização semântica. A Clusterização Semântica é feita extraindo as palavras-chave relevantes de uma mensagem e clusterizando com base nessas palavras-chave. Dois conjuntos de mensagens que têm palavras semelhantes são agrupados juntos. Cada grupo recebe um ID de Cluster determinístico.

O exemplo a seguir mostra o uso de clusterização NLP e de palavras-chave em Linux Syslog Logs:

'Log Source' = 'Linux Syslogs Logs'
| link Time, Entity, cluster()
| nlp cluster('Cluster Sample') as 'Cluster ID', 
                    keywords('Cluster Sample') as Keywords
| classify 'Start Time', Keywords, Count, Entity as 'Cluster Keywords'

Para obter mais exemplos de casos de uso de clustering semântica, consulte Exemplos de Clusterização Semântica.

Kernel reported iSCSI connection 1:0 error (1020 - ISCSI_ERR_TCP_CONN_CLOSE: TCP connection closed) state (2) 
Please verify the storage and network connection for additional faults

Kernel
reported
iSCSI
connection
error
ERR
TCP
CONN
CLOSE
closed
state
...
...