Scheduled View でサポートされる operator

Scheduled View はクエリによって定義され、検索結果がインデックス化されます。

ビューでデータをインデックス化する方法のため、以下の operator のみがサポートされます。

Scheduled View の検証

Scheduled View の検証は次のように行われます。

• 非集計クエリの場合は、非集計用のリストの operator のみが使用できます。
• 集計クエリの場合は、最初の group-by ステートメントの前では non-aggregate operator のみしか使用できません。最初の group-by ステートメントの後では、すべての operator が使用できます。

以下の operator は、Scheduled View で使用した場合は信頼できる結果を返しませんが、値を取得するための代替手段を紹介します。

[Average (平均)]。
タイムスライスでの合計値を計算してから合計数で割ることによって算出できます。

元の検索:

_sourceCategory=mySourceCategory "literal search term"
| parse “seconds = *,” as seconds
| avg(seconds)

Scheduled View の定義:

_sourceCategory=mySourceCategory "literal search term"
| parse “seconds = *,” as seconds
| timeslice 1m
| sum(seconds) as secondspertimeslice,count as countpertimeslice by _timeslice

クエリ:

_view=myScheduledView
| sum(secondspertimeslice) as totalseconds, sum(countpertimeslice) as totalcount
| totalseconds / totalcount as theaverage

Count_Distinct、First、Last、Min、Max、Most_Recent、Least_Recent、Pct、Stddev、Math Values、および RollingStd。 
サポートされていない operator の代わりに、count operator で集計したいフィールドごとにカウントする Scheduled View を作成します。その後、ビューを参照して、必要な集計を行います。

たとえば、most_recent で Scheduled View を作成したい場合は次のように記述します。

_sourceCategory=receiver
| parse "dataPointCount=*)" as points
| parse "remote_ip=*]" as ip
| withtime points
| most_recent(points_withtime) as last_result by ip
 

サポートされていない operator である most_recent を削除して、count operator で Scheduled View を作成します。

_sourceCategory=receiver
| parse "dataPointCount=*)" as points
| parse "remote_ip=*]" as ip
| withtime points 
| count points_withtime, ip

ビュー名が Points であれば、ビューに対して most_recent operator を次のように使用できます。

_view=Points
| most_recent(points_withtime) as last_result by ip

Scheduled View の例

Scheduled View で最適化できるクエリの例をいくつか示します。元の検索、Scheduled View の定義、そして Scheduled View で実行できるクエリをすべて示します。