compare

compareコマンドを使用して、指定した比較間隔でlinkコマンドによって生成されたプロパティを比較します。

構文

compare [fields=<field> [,<field>]*] [timeshift = <offset> [size = <size>][count=<int>] | timerange <datetime> to <datetime> [as <new_field_name>], ...]

パラメータ

次の表に、このコマンドで使用されるパラメータとその説明を示します。

パラメータ 説明

offset

<direction><int><timescale> OR auto

比較時間範囲を現在の時間範囲のオフセットとして設定します。

  • auto: タイムシフトは、負方向の現行時間範囲のウィンドウ・サイズと同じです。
  • directionの構文: + | -
  • timescaleの構文: <sec> | <min> | <hour> | <day> | <week> | <mon>
  • secの構文: s | sec | secs | second | seconds
  • minの構文: m | min | mins | minute | minutes
  • hourの構文: h | hr | hrs | hour | hours
  • weekの構文: w | week | weeks
  • monthの構文: mon | month | months
size <int><timescale>

比較時間範囲の時間の長さのサイズを設定します。

  • timescaleの構文: <sec> | <min> | <hour> | <day> | <week> | <mon>
  • secの構文: s | sec | secs | second | seconds
  • minの構文: m | min | mins | minute | minutes
  • hourの構文: h | hr | hrs | hour | hours
  • weekの構文: w | week | weeks
  • monthの構文: mon | month | months
count <int>

比較する時間範囲の数を指定します。指定しない場合のデフォルト値は1です。

datetime

比較時間範囲の開始と終了を明示的に設定します。

一般的なシナリオでこのコマンドを使用する例は、次を参照してください:

次のコマンドは、7日前と14日前のエンティティの平均コンテンツ・サイズを比較します:

* | link Entity 
| stats avg('Content Size') as 'Average Content Size' 
| compare fields = 'Average Content Size' timeshift = -7d count = 2

次のコマンドは、別の期間のエンティティの平均コンテンツ・サイズを比較します:

* | link Entity 
| stats avg('Content Size') as 'Average Content Size' 
| compare fields = 'Average Content Size' 
        timerange = '2018-06-07T00:00:00Z' to '2018-06-14T00:00:00Z' as T1

次のコマンドは、現在の時間範囲と同じウィンドウサイズを持つ2つの時間範囲を負の方向で比較します。たとえば、現在の時間範囲が「過去60分」の場合、timeshiftの範囲は「過去60分から120分」および「過去120分から180分」です。

* | link span = 5minute 'Log Source'
 | compare timeshift = auto count = 2