Considere o exemplo de um conjunto de dados que consiste nos Logs de Acesso do Oracle WebLogic Server na origem de log FMW WLS Server Access Logs. Os registros de log contêm dados sobre o acesso ao Oracle WebLogic Server pelos usuários durante um período específico. Esses registros de log individuais podem ser analisados para obter informações significativas das estatísticas de uso, da popularidade dos URLs, dos usuários mais ativos e mais dados desse tipo. Nos logs, saiba obter os seguintes resultados analisando os registros de log com a seleção de campos específicos de cada resultado:

1. Exibir os principais URLs por Número de Ocorrências

2. Exibir as anomalias pelo Número de Ocorrências

3. Exibir as anomalias pela Duração do Acesso

4. Identificar os URLs pelo Tamanho do Upload

5. Identificar os URLs pelo Tamanho do Download

6. Analisar a correlação entre o Número de Ocorrências e Tamanho do Download

7. Determinar as Páginas Mais Visitadas

8. Identificar os Principais Usuários

9. Identificar os Principais Usuários e suas Páginas Favoritas

10. Identificar a página de entrada que leva ao máximo de visitas

11. Identificar o caminho de Entrada e Saída para a maioria dos usuários

Para recuperar o conjunto de dados, selecione uma faixa de datas adequada, especifique a origem de log e execute a consulta:

'Log Source' = 'FMW WLS Server Access Logs'

Selecione Link no painel Visualizar. Isso exibirá a tabela de grupos 'Logs de Acesso do Servidor WLS FMW e o gráfico de bolhas.

1. Para exibir os URLs principais por Número de Ocorrências, agrupe os registros de log pelo valor do URL no registro de log, obtenha a contagem total do URL em cada grupo, renomeie os campos padrão na tabela de grupos para os valores adequados e exiba o resultado no formato tabular. Com essa análise, você pode determinar os URLs mais usados.

   1. Arraste e solte o campo URI para Agrupar por e remova o campo Origem de Log de Agrupar por.

   2. Após a execução da consulta, na linha de comando, altere os nomes dos campos Contagem para Número de Ocorrências, Horário Inicial para Primeiro Acesso, Horário Final para Último Acesso e Duração do Grupo para Duração do Acesso.

   3. Remova o comando classify da linha de comando e submeta a consulta.

      A consulta será a seguinte:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

   Na execução da consulta, você pode determinar os URLs principais pelo número de ocorrências na tabela. As colunas são renomeadas conforme especificado no comando rename.

2. Para exibir as anomalias pelo Número de Ocorrências, agrupe os registros de log pelo valor do URL no registro de log, renomeie os campos padrão na tabela de grupos para os valores adequados e analise os grupos para obter o número de ocorrências do URL. Com essa análise, você pode separar o padrão incomum no acessar aos URLs.

   Clique em Analisar, selecione Número de Ocorrências e clique em OK.

   A consulta deve mudar para:

   'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Number of Hits'

   Essa consulta aciona a análise da coluna 'Número de Ocorrências' e cria bolhas representando as faixas comumente vistas. A maioria dos valores é tratada como linha de base. Por exemplo, uma bolha grande pode se tornar a linha de base ou um grande número de bolhas menores agrupadas podem formar a linha de base. As bolhas mais distantes da linha de base são marcadas como anomalias.

   Portanto, isso exibe os URLs anômalos agrupados em bolhas distintas no gráfico de bolhas. Para exibir a porcentagem de URLs em cada faixa do número de ocorrências, passe o cursor do mouse sobre as bolhas.

3. Para exibir as anomalias pela Duração do Acesso, agrupe os registros de log pelo valor do URL no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para obter a duração do acesso do URL. Com essa análise, você pode separar o padrão incomum no tempo gasto no acesso aos URLs. Em continuação para a etapa 2:

   Clique em Analisar, selecione Duração do Acesso e clique em OK.

   A Duração do Acesso é uma indicação de quanto tempo durou o acesso a cada URL. Isso é calculado como a diferença entre o último e o primeiro timestamps no arquivo de log de cada URL.

4. Para identificar os URLs pelo Tamanho do Upload, agrupe os registros de log pelo valor do URL no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para ver o tamanho dos dados de upload. Com essa análise, você pode identificar os URLs que têm tamanho incomum dos dados de upload. Em continuação para a etapa 3:

   1. Arraste e solte o campo Tamanho do Conteúdo em para a seção Valor.

   2. Renomeie o campo Tamanho do Conteúdo em como Bytes Carregados alterando a consulta na linha de comando e execute a consulta.

   3. Clique em Analisar, selecione Bytes Carregados e clique em OK.

      A consulta será a seguinte:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Bytes Uploaded'

      O gráfico Analisar exibe os grupos de URLs pelos bytes carregados.

   4. Para correlacionar os dados de Bytes Carregados ao longo da faixa de tempo, é possível ocultar ou mostrar seletivamente os gráficos nas Opções do Gráfico de Histograma. Explore as outras opções de visualização, além do gráfico de barras.

5. Para identificar os URLs pelo Tamanho do Download, agrupe os registros de log pelo valor do URL no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para ver o tamanho dos dados baixados. Com essa análise, você pode identificar os URLs que têm tamanho incomum dos dados baixados. Em continuação para a etapa 4:

   1. Arraste e solte o campo Tamanho do Conteúdo de Saída para a seção Valor e remova Tamanho do Conteúdo de Entrada da seção Valor.

   2. Renomeie o campo Tamanho do Conteúdo de Saída para Tamanho do Download alterando a consulta na linha de comando e execute a consulta.

   3. Clique em Analisar, selecione Tamanho do Download e clique em OK.

      A consulta será a seguinte:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Download Size'

      O gráfico Analisar exibe os grupos de URLs pelo tamanho do download.

   4. Para correlacionar os dados de Tamanho do Download ao longo da faixa de tempo, é possível ocultar ou mostrar seletivamente os gráficos nas Opções de Gráfico de Histograma. Explore as outras opções de visualização, além do gráfico de barras.

6. Para analisar a correlação entre Número de Ocorrências e Tamanho do Download, agrupe os registros de log pelo valor do URL no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para ver o tamanho dos dados baixados e o número de ocorrências. Com essa análise, você pode identificar os URLs que têm padrões incomuns de tamanho dos dados baixados e número de ocorrências. Em continuação para a etapa 5:

   1. Clique em Analisar, selecione os campos Número de Ocorrências, Tamanho do Download e clique em OK.

   2. Remova topcount=300 da consulta para ver todas as bolhas e execute a consulta.

      A consulta será a seguinte:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify 'Download Size', 'Number of Hits'

   No gráfico de bolhas, o campo Número de Ocorrências é representado ao longo do eixo x e Tamanho do Download ao longo do eixo y.

   
   
   
   Descrição da ilustração correlation.bmp
   
   

   As bolhas podem ser interpretadas da seguinte maneira:

   • 73,8% dos URLs foram acessados de uma a sete vezes.

   • O tamanho médio do download para 73,8% dos URLs está entre 32.345 e 34.000. Essa faixa apertada significa que um grande número de URLs tem um comportamento muito uniforme com referência ao tamanho do download.

   • Uma vez que 73,8% é a grande maioria, o restante dos pontos é marcado como anomalias.

   • Com dados reais, é comum o sistema agrupar arquivos .css, .js e de imagem separadamente de outros URLs porque eles tendem a ter diferentes comportamentos de download.

7. Para determinar as Páginas Mais Visitadas, agrupe os registros de log pelo valor do URL no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para ver o número de visitantes exclusivos. Com essa análise, você pode identificar os URLs mais visitados pelos visitantes exclusivos. Em continuação para a etapa 6:

   1. Arraste e solte o campo Nome do Usuário na seção Valor.

   2. Clique na seta para baixo ao lado do nome do campo, altere a função de Exclusivo para Contagem Distinta. Consulte as outras funções que você pode selecionar para um campo numérico:

   3. Renomeie o campo Nome do Usuário para Número de Usuários Exclusivos, remova o comando classify alterando a consulta na linha de comando e execute a consulta. A consulta será a seguinte:

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded', avg('Content Size Out') as 'Download Size', distinctcount('User Name') as 'Number of Unique Users' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' 

   4. Clique em Analisar, selecione o campo Número de Usuários Exclusivos e clique em OK.

   A tabela lista os URLs e o número correspondente de usuários exclusivos, ajudando a identificar os URLs mais visitados por usuários exclusivos. Na tabela, você também pode determinar o número de ocorrências que cada URL tem.

   A análise mostra que mais de 99% dos URLs têm 0 ou 1 usuário exclusivo. Esse seria o caso de URLs que não precisam de log-in ou que raramente são acessados. O drill-down em qualquer uma das bolhas menores apontará para as páginas específicas, quantas ocorrências geralmente elas têm e quantos visitantes exclusivos.

8. Para identificar os Usuários Principais, agrupe os registros de log pelo valor do nome do usuário no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para ver o número de ocorrências. Com essa análise, você pode identificar os usuários mais ativos.

   1. Edite a linha de comando para remover todos os filtros: 'Log Source' = 'FMW WLS Server Access Logs' | link URI

   2. Arraste e solte o campo Nome do Usuário para Agrupar por, remova URI e execute a consulta.

   3. Remova o comando classify, renomeie os campos padrão na linha de comando e execute a seguinte consulta:

      'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

      A tabela é classificada pelo número de ocorrências pelo usuário.

   4. Para exibir o comportamento do usuário por acesso, clique em Analisar, selecione o campo Número de Ocorrências e clique em OK.

   5. Clique nas anomalias para identificar os usuários que registraram o número maior ou menor de ocorrências em comparação com os outros usuários.

9. Para identificar os Usuários Principais e suas Páginas Favoritas, agrupe os registros de log pelo valor do nome do usuário no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para ver o número de páginas exclusivas. Com essa análise, você pode identificar os usuários menos e mais ativos e suas páginas favoritas. Em continuação para a etapa 8:

   1. Arraste e solte o campo URI para a seção Valor. Altere a função de Exclusivo para Contagem Distinta.

   2. Renomeie o campo URI como Número de Páginas Exclusivas alterando a consulta na linha de comando e execute a consulta.

   3. Clique em Analisar, selecione o campo Número de Páginas Exclusivas e clique em OK.

10. Para identificar a página de entrada que leva ao número máximo de visitas, agrupe os registros de log pelo valor do nome do usuário no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para obter os valores dos URLs de entrada e o número de ocorrências nos URLs. Com essa análise, você pode identificar as páginas que os usuários atingiram primeiro. Em continuação para a etapa 9:

    1. Para obter os URLs de entrada, altere a função do campo URI de Contagem Distinta para Mais Antigo.

    2. Renomeie o campo URI como URL de Entrada alterando a consulta na linha de comando e execute a consulta.

    3. Clique em Analisar, selecione os campos Número de Ocorrências e URL de Entrada, selecione o topcount como 20 e clique em OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Number of Hits', 'Entry URL'

    
    
    
    Descrição da ilustração entry_page.bmp
    
    

    Isso exibe o primeiro URL utilizado pelos usuários em relação ao número de ocorrências. Por exemplo, /login é o primeiro URL que a maioria dos usuários utiliza.

11. Para identificar o caminho de Entrada e Saída para a maioria dos usuários, agrupe os registros de log pelo valor do nome do usuário no registro de log, renomeie os campos padrão na tabela de grupos para valores adequados e analise os grupos para obter os valores dos URLs de entrada e de saída. Com essa análise, você pode identificar

    • Os caminhos mais comuns utilizados pelos usuários para percorrer o site

    • As páginas de produtos mais populares de onde os usuários estão saindo do site

    • Os URLs de saída mais comuns, como as páginas de check-out do produto ou o gateway de pagamento

    • Os URLs de saída incomuns e a causa principal das saídas inesperadas

    Em continuação para a etapa 10:

    1. Arraste e solte o campo URI para a seção Valor.

    2. Para obter a página de saída, altere a função do campo URI de Exclusivo para Mais Recente.

    3. Edite a linha de comando e renomeie o campo latest(URI) para URL de Saída e submeta a consulta.

    4. Clique em Analisar, selecione os campos URL de Entrada e URL de Saída, selecione o topcount como 20 e clique em OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL', latest(URI) as 'Exit URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Entry URL', 'Exit URL'

    5. Aumente o tamanho do gráfico usando as opções de Gráfico de Análise.

    
    
    
    Descrição da ilustração entry_exit.bmp
    
    

    Este mapa de árvore mostra o relacionamento entre os URLs de entrada e de saída em um site. Isso seria muito útil para os sites de varejo nos quais os provedores de serviço desejariam identificar os URLs de entrada que levam os clientes às páginas de check-out e os URLs do produto que estão fazendo com que os usuários não prossigam para o check-out.

Para criar um novo campo virtual, você pode usar o comando eval no recurso de link. A consulta eval na linha de comando vai gerar um gráfico de linhas para o campo virtual e permitir rastreá-lo ao longo do tempo.

Exemplos:

• Considere o cenário em que os registros de log da origem de log SAR CPU Logs são agrupados pelo nome do host e pela CPU. Para determinar a carga experimentada pela CPU do servidor ao longo do tempo, o comando eval cria um campo virtual Load % e gera o gráfico de linhas.

  'Log Source' = 'SAR CPU Logs' | rename Instance as CPU | link 'Host Name (Server)', CPU | stats avg('CPU Idle Time (%)') as 'CPU Idle Time (%)' | eval 'Load %' = 100 - 'CPU Idle Time (%)'

  Para exibir o gráfico de linhas:

  1. Clique na guia Histograma.

  2. Clique na seta para baixo ao lado do ícone Opções de gráfico (). Clique em Ocultar/Mostrar Gráficos. Selecione % de Carga.

  3. Clique na seta para baixo ao lado do ícone Opções de gráfico (). Clique em Opções de Gráfico. Na lista Tipo de Gráfico, selecione Linha sem Marcador. Clique em Fechar.

  
  
  
  Descrição da ilustração eval_load_cpu.png
  
  

• Considere o cenário em que os registros de log da origem de log OMC WLS Server Access Logs são agrupados pelo URI. Para determinar o tamanho dos dados acessados ao longo do tempo em megabytes, o comando eval cria um campo virtual Content Size (MB), calcula o tamanho do conteúdo em megabytes com base no valor do campo Content Size e gera o gráfico de linhas.

  'Log Source' = 'WLS Server Access Logs' | link URI | stats avg('Content Size') as 'Content Size Bytes' | eval 'Content Size (MB)' = 'Content Size Bytes' / 1024

  Para exibir o gráfico de linhas:

  1. Clique na guia Histograma.

  2. Clique na seta para baixo ao lado do ícone Opções de gráfico (). Clique em Ocultar/Mostrar Gráficos. Selecione Tamanho do Conteúdo (MB) e Registros de Log de Acesso.

  3. Clique na seta para baixo ao lado do ícone Opções de gráfico (). Clique em Opções de Gráfico. Na lista Tipo de Gráfico, selecione Linha sem Marcador. Clique em Fechar.

  
  
  
  Descrição da ilustração content_size_mb.png
  
  

Você pode usar link 'SQL Statement' para agrupar SQLs e analisar seu comportamento e identificar anomalias.

Exemplo:

Considere a seguinte consulta que vincula os registros de log com base no campo Instrução SQL:

'Log Source' in ('Database Audit Logs', 'Database Audit XML Logs') 
	| rename 'Host Name (Server)' as 'DB Server', 'User Name (Originating)' as 'OS User', 'User Name' as 'DB User' 
	| link 'SQL Statement' 
	| rename Count as 'Number of Runs', 'Start Time' as 'First Run', 'End Time' as 'Last Run', 'Group Duration' as Age 
	| addfields [ Object = dual | stats count as 'dual Table Access' ], 
		[ Object like 'all_%' | stats count as 'ALL_ Table Access' ], 
		[ Object like 'dba_%' | stats count as 'DBA_ Table Access' ], 
		[ Object like 'user_%' | stats count as 'USER_ Table Access' ], 
		[ Object like 'v$%' | stats count as 'VDollar Table Access' ], 
		[ Object = null | stats count as 'No Table Access' ], 
		[ Action = '2' | stats count as 'Insert Count' ], 
		[ Action = '3' | stats count as 'Select Count' ], 
		[ Action = '6' | stats count as 'Update Count' ], 
		[ Action = '7' | stats count as 'Delete Count' ], 
		[ Type = '8' | stats count as 'Connect Count' ], 
		[ 'Status Code' = 1 | stats count as Failures ] 
	| eval 'Object Type' = if('dual Table Access' > 0, Dual, 
		'ALL_ Table Access' > 0, System, 
		'DBA_ Table Access' > 0, System, 
		'USER_ Table Access' > 0, System, 
		'VDollar Table Access' > 0, System, 
		'No Table Access' > 0, 'No Table', Other) 
	| eval 'SQL Type' = if('Insert Count' > 0, Insert, 
		'Select Count' > 0, Select, 
		'Update Count' > 0, Update, 
		'Delete Count' > 0, Delete, 
		'Connect Count' > 0, Connect, Other) 
	| stats distinctcount(Object) as Objects, distinctcount('Database ID') as 'Number of DBs', 
		distinctcount(Session) as 'Number of Sessions' 
	| fields -'dual Table Access', -'No Table Access', -'ALL_ Table Access', 
		-'USER_ Table Access', -'DBA_ Table Access', -'VDollar Table Access', -'Insert Count', 
		-'Select Count', -'Update Count', -'Delete Count', -'Connect Count', -'SQL Type', -'Object Type' 
	| classify Age 
	| classify 'Number of Sessions' 
	| classify 'Number of DBs' 
	| classify 'Number of Runs', 'Object Type' 
	| classify 'Object Type', 'SQL Type'

Ao executar a consulta acima, os seguintes resultados podem ser observados:

• Com base no comando de classificação, são gerados os gráficos de bolhas para Age, Number of Sessions, Number of DBs, Number of Runs, Object Type e Object Type, SQL Type.

  
  
  
  Descrição da ilustração link_sql_statement.png
  
  
  
  
  Descrição da ilustração link_sql_bubble.png
  
  

  Nos gráficos de bolhas, os registros de log são agrupados com base no número de SQLs que se enquadram em cada conjunto de parâmetros. Os parâmetros Object Type e SQL Type são determinados usando o comando eval na consulta.

• Os gráficos de histograma Linha com Área ilustram a ocorrência de campos como dual Table Access, No Table Access, ALL_ Table Access, USER_ Table Access, DBA_ Table Access, VDollar Table Access, Insert Count, Select Count, Update Count, Delete Count, Connect Count e Log Records representados de acordo com o tempo.

  1. Na guia do gráfico de histograma, clique na seta para baixo ao lado do ícone Opções de gráfico ().

  2. Selecione para mostrar os gráficos de todos os campos.

  3. Em Tipo de Gráfico, selecione Linha com Área.

  4. Ajuste a largura para exibir dois gráficos por linha.

  
  
  
  Descrição da ilustração link_sql_area_chart.png
  
  

• A Tabela de Grupos lista os grupos identificados por link com base no campo Instrução SQL. Você pode observar que, para cada SQL, a tabela lista o número de vezes que a SQL foi executada, o horário inicial, o horário final e a duração do grupo. Clique em cada grupo e exiba os registros de log para obter mais detalhes. Você também pode exibir os grupos na visualização do cluster para análise posterior.

  
  
  
  Descrição da ilustração link_sql_table.png
  
  

Considere este conjunto de dados não ordenado obtido de um arquivo de Log de Acesso. Os seguintes campos indicam as informações sobre uma sessão do usuário e as ações executadas pelo usuário:

Time | Session ID | Action
 T2  | 1          | Login
 T1  | 5          | Login
 T6  | 1          | addtocart
 T3  | 1          | productlisting
 T4  | 1          | purchase
 T9  | 1          | purchase
 T7  | 5          | addtocart
 T5  | 1          | addtocart
 T8  | 5          | purchase 

As ações como Login, addtocart, productlisting e purchase são registradas em ordem aleatória de T1 a T9 e ocorreram em duas sessões com o ID de sessão 1 e 5.

Para executar uma análise de tempo semelhante dos seus Logs de Acesso, extraia o Session ID dos logs para um campo. Extraia as etapas intermediárias da sessão dos Logs de Acesso aplicando uma expressão regular para obter o URL dos logs.

Em um contexto genérico, as sessões neste exemplo representam qualquer transação de usuário e as ações representam as etapas intermediárias executadas pelo usuário para concluir uma transação.

Para analisar esses dados não ordenados e extrair as informações necessárias, a seguinte consulta de exemplo pode ser executada:

'Upload Name' = logadmin 
| link 'Session ID'
| rename 'Group Duration' as 'Session Duration' 
| addfields 
  [ Action = addtocart | stats earliest(Time) as 'First Add To Cart Time' ], 
  [ Action = purchase | stats latest(Time) as 'Last Purchase Time' ] 
| eval 'Time Taken for Purchase (Secs)' = ('Last Purchase Time' - 'First Add To Cart Time') / 1000 
| fields -'First Add To Cart Time', 
         -'Last Purchase Time' 
| classify 'Time Taken for Purchase (Secs)'

• link 'Session ID' agrupa os registros de Logs de Acesso pelo ID da Sessão, criando dois grupos:

  Time | Session ID | Action
   T2  | 1          | Login
   T6  | 1          | addtocart
   T3  | 1          | productlisting
   T4  | 1          | purchase
   T5  | 1          | addtocart
   T9  | 1          | purchase
  
   T1  | 5          | Login
   T7  | 5          | addtocart
   T8  | 5          | purchase

• addfields é executado em cada um desses grupos. O primeiro addfields coleta os registros em que Action = addtocart. O resultado dessa consulta é o seguinte para os dois grupos:

  Time | Session ID | Action
   T6  | 1          | addtocart
   T5  | 1          | addtocart
  
   T7  | 5          | addtocart

• stats earliest(Time) classifica o resultado acima por tempo, para cada grupo:

  Time | Session ID | Action
   T5  | 1          | addtocart
   T6  | 1          | addtocart
   
   T7  | 5          | addtocart

• Em seguida, o campo especificado, que é Time, é retirado do primeiro registro:

  'First Add To Cart Time' = T5 for Group = 1
  'First Add To Cart Time' = T7 for Group = 5

• O segundo addfields é executado em Action = purchase, extraindo os seguintes registros:

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) também classifica os registros acima por Time:

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) coleta o último registro e extrai o campo especificado, que é Time:

  'Last Purchase Time' = T9 for Group = 1
  'Last Purchase Time' = T8 for Group = 5

• Nesse ponto, os dois grupos têm os valores para First Add to Cart Time e Last Purchase Time definidos. Estes são timestamps. eval subtrai um do outro para obter o tempo decorrido.

• Efetivamente, você pode obter o tempo necessário de Adição ao Carrinho para a etapa Comprar de cada sessão. Isso agora pode ser usado em classify para analisar a variação desse Tempo Decorrido entre as sessões.

  
  
  
  Descrição da ilustração time_analysis_bubble.png
  
  

Para obter a sintaxe e outros detalhes do comando addfields, consulte addfields.