compare
compare
コマンドを使用して、指定した比較間隔でlink
コマンドによって生成されたプロパティを比較します。
構文
compare [fields=<field> [,<field>]*] [timeshift = <offset> [size = <size>][count=<int>] | timerange <datetime> to <datetime> [as <new_field_name>], ...]
パラメータ
次の表に、このコマンドで使用されるパラメータとその説明を示します。
パラメータ | 説明 |
---|---|
|
<direction><int><timescale> OR auto 比較時間範囲を現在の時間範囲のオフセットとして設定します。
|
size |
<int><timescale> 比較時間範囲の時間の長さのサイズを設定します。
|
count |
<int> 比較する時間範囲の数を指定します。指定しない場合のデフォルト値は1です。 |
|
比較時間範囲の開始と終了を明示的に設定します。 |
一般的なシナリオでこのコマンドを使用する例は、次を参照してください:
次のコマンドは、7日前と14日前のエンティティの平均コンテンツ・サイズを比較します:
* | link Entity
| stats avg('Content Size') as 'Average Content Size'
| compare fields = 'Average Content Size' timeshift = -7d count = 2
次のコマンドは、別の期間のエンティティの平均コンテンツ・サイズを比較します:
* | link Entity
| stats avg('Content Size') as 'Average Content Size'
| compare fields = 'Average Content Size'
timerange = '2018-06-07T00:00:00Z' to '2018-06-14T00:00:00Z' as T1
次のコマンドは、現在の時間範囲と同じウィンドウサイズを持つ2つの時間範囲を負の方向で比較します。たとえば、現在の時間範囲が「過去60分」の場合、timeshift
の範囲は「過去60分から120分」および「過去120分から180分」です。
* | link span = 5minute 'Log Source'
| compare timeshift = auto count = 2