基本的なTransforming Commands

このページの内容

1. Transforming Commandsとは

Transforming Commands(変換コマンド)とは、個々のイベントを集計して表(統計)の形に作り変えるコマンドの総称です。前節で触れたとおり、グラフや表を作るには、どこかでこの変換コマンドを通す必要があります。

ここでは初心者がまず覚えるべき代表格として、 top・rare・statsの3つを取り上げます。

topは、指定したフィールドの値を登場回数の多い順に上位を表示するコマンドです。「一番アクセスの多いIPは？」「最も多いステータスコードは？」といった問いに素早く答えられます。

SPL ― topで上位を見る

index=web | top limit=5 clientip

limit=5で上位5件に絞っています。topは件数(count)だけでなく、全体に占める割合(percent)も自動で計算して表示してくれます。

逆に登場回数の少ない順に見たいときはrareを使います。書き方はtopと同じで、めったに現れない珍しい値を探すのに役立ちます。

SPL ― rareで下位を見る

index=web | rare limit=5 status

statsは、集計コマンドの中でも最も基本となるコマンドです。 count(件数)・sum(合計)・avg(平均)などの集計関数と、 by句によるグループ分けを組み合わせて、必要な集計表を作れます。

SPL ― statsの基本

index=web | stats count
        index=web | stats count by status
        index=web | stats avg(bytes) sum(bytes) by host

1行目は全体の件数、2行目はステータスコードごとの件数、 3行目はホストごとに転送バイト数の平均と合計を求めています。 byのうしろに書いたフィールドが表の「行の見出し」になります。

集計結果に分かりやすい列名を付けたいときはasを使います。例: stats count as アクセス数 by host。

statsを発展させたコマンドにchartとtimechartがあります。いずれもグラフ表示と相性のよい表を作ります。

SPL ― timechartで時系列集計

index=web | timechart span=1h count by status

この例は1時間ごとに、ステータスコード別の件数を集計します。結果はそのまま「時間帯別のアクセス推移グラフ」として可視化でき、時間帯ごとのエラー件数の変化を確認できます。

timechartは横軸が必ず時間(_time)になります。時間以外の軸で集計したいときはchartやstatsを使いましょう。