LogCompare の実行
LogCompare の処理の実行では、事前設定された時間シフトを使用するか、検索用にカスタムの時間シフトを作成できます。LogCompare ボタンをクリックしたときのデフォルトは 24 時間のシフトです。
時間設定された LogCompare の実行
- 検索するキーワードを入力して、Enter を押すか、[Start (開始)] を選択します。例:
error
- 検索の時間範囲を選択します。この例では [Last Minute (過去 1 分間)] が選択されています。
- [Messages (メッセージ)] タブに最初の結果が表示されたら、[LogCompare] をクリックしてクエリをすぐに実行するか、メニューを使用して別の時間シフトを選択します。
logcompare
operator とtimeshift -24h
がクエリに追加されます。次の例を参照してください。error | logcompare timeshift -24h
- 結果は、[Signatures (シグネチャ)] タブに表示されます。
カスタム LogCompare の実行
- 検索するキーワードを入力して、Enter を押すか、[Start (開始)] を選択します。例:
_sourceCategory=stream
- 時間範囲を選択します。この例では [Last Minute (過去 1 分間)] が選択されています。
- [Messages (メッセージ)] タブに最初の結果が表示されたら、[LogCompare] ボタンの横にある矢印をクリックするか、メニューから [Custom (カスタム)] を選択します。
- [Custom LogCompare (カスタム LogCompare)] ダイアログで、次の編集を行うことができます。
- Baseline Query (基準クエリ)。元のクエリ。
- Time Shift (時間シフト)。これは Baseline Query (基準クエリ) の時間シフトであり、Baseline Query (基準クエリ) を実行するタイミングを制御します。時間シフトが -2d の場合は、2 日前の正確な時間範囲 (このクエリでは 1 分) の期間について実行されます。
- Target Query (対象クエリ)。対象クエリは、元は基準クエリと同じものですが、編集して新しい対象と比較できます。ここでは、
_sourceCategory=stream
と比較するために_sourceCategory=analysis
が追加されています。 - Time Range (時間範囲)。時間範囲は、対象クエリと基準クエリの両方に関係します。[Search (検索)] ページの時間範囲と同様に、事前設定済み時間範囲、相対時間範囲、または絶対時間範囲を入力できます。時間範囲は、時間シフトの (start_time = now - timeshift) または (start_time + end_time) によって指定できます。
- 対象の時間範囲では、end_time が指定されていない場合は、暗黙的に now が設定されます。
- 基準の時間範囲では、end_time が指定されていない場合、暗黙的に (end_time = start_time + range_length) のように設定されます。(range_length = end_time - start_time) には、対象の時間が使用されます。
- [Run (実行)] をクリックします。
- logcompare、timeshift、および baseline operator がクエリに追加されます。
_sourceCategory=analysis | logcompare timeshift -2d baseline (_sourceCategory=stream)
- 結果は、[Signatures (シグネチャ)] タブに表示されます。
時間シフトと時間範囲の例
次の例では、カスタム LogCompare の検索を設定するときに [Time Shift (時間シフト)] が [Time Range (時間範囲)] と比較される意味について説明します。
次のクエリは、[Time Range (時間範囲)] が -1d
(当日の日付は 2018 年 11 月 10 日 (11/10/2018)) で、[Time Shift (時間範囲)] が -30d
で実行されます。
_sourceCategory=prod/* "error: 400"
| logcompare timeshift -30d
このクエリは、現在 (対象) の検索を昨日の 11/09/2018 から 11/10/2018 に対して実行し、さらに基準 (過去) の検索を 10/10/2018 から 10/11/2018 (30 日前の 1 日間の時間範囲) に対して実行し、両方の検索のログ シグネチャを比較します。
次のクエリは、[Time Range (時間範囲)] が -30d
(当日の日付は 2018 年 11 月 10 日 (11/10/2018)) で、[Time Shift (時間範囲)] が -1d
です。
_sourceCategory=prod/* "error: 400"
| logcompare timeshift -1d
現在 (対象) の検索を過去 30 日の 10/11/2018 から 11/10/2018 に対して実行し、さらに基準 (過去) の検索を 2018/10/10 から 11/09/2018 (過去 30 日間の時間範囲を 1 日シフト) に対して実行し、次に比較します。