Você pode combinar os recursos de link e cluster para classificar os clusters de um campo específico. Você pode identificar as entidades ou os tipos de entidade que têm os problemas mais prováveis e ver quaisquer padrões ou anomalias entre essas entidades.

Usando clusters, você pode analisar um grande conjunto de registros de log e identificar possíveis problemas. Com o recurso Vincular por Cluster, você pode agrupar os registros de log por clusters e identificar possíveis problemas com base na seleção do campo para análise. Por exemplo, se você quiser agrupar seus clusters com base na entidade, no tipo de entidade ou na origem do log, poderá usar o link por cluster.

No exemplo a seguir, os registros de log do tipo de entidade Host (Linux) são analisados com recursos de link e cluster incluindo * | link 'Entity Type', cluster() na consulta. A consulta completa usada para análise é:

* | link 'Entity Type', cluster() | where 'Potential Issue' != null | fields -'Potential Issue' | where Count = 45 and 'Entity Type' = literal("Host(Linux)"))

Primeiro, o comando de cluster é executado na string de pesquisa, nesse caso *, que produz um campo chamado Amostra de Cluster. Este campo está vinculado ao tipo de entidade para agrupar todos os clusters por tipo de entidade. A cláusula where especifica para procurar apenas Possíveis Problemas. Por isso, agora temos todos os possíveis problemas agrupados por tipo de entidade. Como você pode ver no gráfico de bolhas, existem cerca de 45 possíveis problemas do tipo de entidade Host (Linux).

A tabela de grupos exibe os detalhes da amostra de cluster correspondente ao grupo de anomalias. Observe o conteúdo do log da amostra de cluster disponível na tabela que possivelmente é a causa do problema: detected unhandled Python exception.

Siga o link Analisar Possíveis Problemas por Tipo de Entidade para ver o comando de amostra a ser usado em seu ambiente. Clique em Mais para obter mais de comandos de amostra que você pode usar:

• Possíveis Problemas por Entidade
• Outliers de Possível Problema por Entidade
• Outliers de Possível Problema por Tipo de Entidade
• Possíveis Problemas por Entidade, Severidade

Na amostra Outliers de Possível Problema, a consulta é semelhante ao exemplo discutido, mas tem outra cláusula where adicionada (where 'Potential Issue' != null and count = 1) para identificar todos os erros que ocorreram apenas uma vez no período. No entanto, observe que as amostras de cluster ainda exibem as variáveis, mas não é possível fazer drill-down nas variáveis mostradas no link.

Para obter mais informações sobre a visualização de link e as etapas para acessar o link no painel Visualizar, consulte Visualização de Link.