clustercompare
Utilice el comando clustercompare
para comparar una recopilación de clusters con otra, así como para ver los clusters que existen exclusivamente en el rango actual frente a los clusters que existen exclusivamente en el rango base. Este comando devuelve una tabla con nueve columnas:
- Recopilación: nombre de la recopilación en la que se mantienen los datos
- ID: ID de cluster único dentro de la recopilación
- Origen de log: origen del cluster
- Recuento: número de registros de log con esta firma
- Ejemplo de cluster: registro de log de ejemplo de la firma
- Recuento de ejemplos: número de ejemplos para cada patrón. Puede ser uno o más en determinados casos
- Unidad: número calculado asignado a cada tendencia única para agrupar tendencias similares
- Trend: tendencia de entradas de log que coinciden con el patrón a lo largo del tiempo
- Puntuación: valor calculado asignado a cada cluster utilizado en la ordenación por defecto
Sintaxis
clustercompare [timeshift = <offset> | starttime = <datetime> endtime = <datetime>] [includetrends = [true | false]] [span = <span>] [<baseline_query>]
Parámetros
En la siguiente tabla se muestran los parámetros utilizados en este comando, junto con sus descripciones.
Parámetro | Descripción |
---|---|
|
Sintaxis:
|
|
Define explícitamente el rango de tiempo de inicio y finalización de la recopilación de clusters base. |
|
Indica si los resultados deben incluir datos de tendencias. Si no se especifica includeTrends, se utiliza el valor por defecto |
|
Define el tamaño del tiempo que se utilizará para el histograma de resultados. Sintaxis:
|
|
Permite especificar una consulta de búsqueda diferente para la recopilación de cluster base. |
Con el siguiente comando se comparan los clusters host1 del rango actual con los clusters host2 desde hace 7 días:
Entity = host1 | clustercompare timeshift = -7days [ Entity = host2]
Con el siguiente comando se comparan los clusters del rango actual con los clusters desde otro período de tiempo:
* | clustercompare starttime = '2018-06-07T00:00:00Z' endtime ='2018-06-14T00:00:00Z'