clustercompare

clustercompareコマンドを使用して、あるクラスタ・コレクションを別のクラスタ・コレクションと比較し、現在の範囲に排他的に存在するクラスタと、ベースライン範囲に排他的に存在するクラスタを表示します。このコマンドは、9つの列を持つ表を返します:

  • コレクション – データが維持されるコレクションの名前
  • ID – コレクション内で一意のクラスタID
  • ログ・ソース - クラスタのソース
  • 件数 - このシグネチャを含むログ・レコードの数
  • クラスタ・サンプル - シグネチャからのサンプル・ログ・レコード
  • サンプル件数 - 各パターンのサンプル数は、一定のケースで1つ以上になることがあります
  • シェイプ - 類似するトレンドをグループ化するために一意の各トレンドに割り当てられた計算済数値
  • トレンド - 時系列のパターンに一致するログ・エントリのトレンド
  • スコア - デフォルトのソートで使用される各クラスタに割り当てられた計算済数値

構文

clustercompare [timeshift = <offset> | starttime = <datetime> endtime = <datetime>] [includetrends = [true | false]] [span = <span>] [<baseline_query>]

パラメータ

次の表に、このコマンドで使用されるパラメータとその説明を示します。

パラメータ 説明

offset

offsetは、ベースライン・クラスタ・コレクションの時間範囲を現在の時間範囲のオフセットとして設定します。

構文: <direction><int><timescale> OR auto

  • auto: タイムシフトは、負方向の現在の時間範囲のウィンドウ・サイズと同じです。
  • directionの値: + | -
  • timescale構文: <sec> | <min> | <hour> | <day> | <week> | <month>
  • secの値: s | sec | secs | second | seconds
  • minの値: m | min | mins | minute | minutes
  • hourの値: h | hr | hrs | hour | hours
  • week値: w | week | week
  • month値: mon | month | months

datetime

ベースライン・クラスタ・コレクションの開始と終了の時間範囲を明示的に設定します。

includetrends

結果にトレンド・データを含める必要があるかどうかを示します。includeTrendsが指定されていない場合は、デフォルト値trueが使用されます。

span

結果のヒストグラムに使用する時間の長さのサイズを設定します。

構文: <int><timescale>

  • timescale構文: <sec> | <min> | <hour> | <day> | <week> | <month>
  • secの値: s | sec | secs | second | seconds
  • minの値: m | min | mins | minute | minutes
  • hourの値: h | hr | hrs | hour | hours
  • week値: w | week | week
  • month値: mon | month | months

baseline_query

ベースライン・クラスタ・コレクションに対して異なる検索問合せを指定できます。

次のコマンドは、現在の範囲のhost1クラスタを7日前のhost2クラスタと比較します:

Entity = host1 | clustercompare timeshift = -7days [ Entity = host2]

次のコマンドは、現在の範囲のクラスタを別の期間のクラスタと比較します:

* | clustercompare starttime = '2018-06-07T00:00:00Z' endtime ='2018-06-14T00:00:00Z'