timestats

Use esse comando para gerar dados de exibição de tendências estatísticas ao longo do tempo, opcionalmente agrupadas por campo.

Sintaxe

timestats [<timestats_options>] <stats_function / timestats_function> "("<field_name>")" [as new_field_name] [, <stats_function / timestats_function> "("<field_name>")" [as new_field_name]]* [by_<field_name>]

Parâmetros

A tabela a seguir lista os parâmetros usados com esse comando, com suas descrições.

Parâmetro Descrição

timestats_options

Use esse parâmetro para especificar como os dados devem ser colocados no bucket. Os valores permitidos para esse parâmetro devem seguir o formato [span = <int><timescale>] [field = <field_name>][maxvalues = <limit>][topcount = <count> | bottomcount = <count>][name = <chart_name>].

span

Use esse parâmetro para definir o tamanho de cada bucket, usando um intervalo com base no tempo. Os valores permitidos para esse parâmetro devem seguir o formato <int><timescale>.

timescale

Use esse parâmetro para especificar o tempo para dimensionar os buckets. Os valores permitidos para esse parâmetro devem ser <sec>, <min>, <hour>, <day>, <week>, <month> ou <year>.

Sintaxe:

sec: Os valores permitidos para esse parâmetro incluem s, sec, secs, second e seconds.

min: Os valores permitidos para esse parâmetro incluem m, min, mins, minute ou minutes.

hour: Os valores permitidos para esse parâmetro incluem h, hr, hrs, hour e hours.

week: Os valores permitidos para esse parâmetro incluem w, week e weeks.

month: Os valores permitidos para esse parâmetro incluem mon, month e months.

field

O campo deve ter um valor de timestamp. Se não for especificado, Time será usado.

maxvalues

Reduza o número de valores agregados a serem retornados para uma função.

topcount

Ao agrupar por campos, retorne n contagem de grupos distintos com os maiores valores agregados.

bottomcount

Ao agrupar por campos, retorna n contagem de grupos distintos com os menores valores agregados

name

Nome a ser exibido para o gráfico.

Observação

Você também pode usar as funções associadas ao comando stats com o comando timestats. Para obter detalhes sobre as funções e os exemplos de uso das funções com o comando, consulte stats.

Funções

A tabela a seguir lista as funções disponíveis com este comando, em conjunto com seus exemplos.

Função Exemplos

persecond: Retorna um ponto de dados por intervalo representando a taxa média por segundo.

persecond(field_name)

  • | timestats persecond('Error Id')

perminute: Retorna um ponto de dados por intervalo representando a taxa média por minuto

perminute(field_name)

  • | timestats perminute('Error Id')

perhour: Retorna um ponto de dados por intervalo representando a taxa média por hora

perhour(field_name)

  • | timestats perhour('Error Id')

perday: Retorna um ponto de dados por intervalo representando a taxa média por dia

perday(field_name)

  • | timestats perday('Error Id')

A consulta a seguir retorna a contagem de entradas de log fatais na faixa de tempo especificada.

Severity = fatal | timestats count

A consulta a seguir retorna a contagem de logs no bucket em chunks diários.

* | timestats span = 1day count

Retorna a contagem de entradas de log, por destino durante o intervalo de tempo especificado para os destinos de produção:

'lifecycle status'='production' | search * | timestats count by target

Gráfico de séries temporais por entidade na propriedade do grupo:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats avg('Content Size') by Entity

Gráfico de séries temporais por entidade apenas para logs fatais:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | addfields [ * | where Severity = fatal | timestats avg('Content Size') by Entity ]

Limite o gráfico de séries temporais a 20 valores:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats maxvalues = 20 avg('Content Size')

Retorne os gráficos de séries temporais das 3 principais entidades:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats topcount = 3 avg('Content Size') by Entity

Retorne os gráficos de séries temporais para as 3 entidades inferiores:

* | link Entity, Severity | stats sum('Content Size') as 'Content Size' | timestats bottomcount = 3 avg('Content Size') by Entity