Базовый вид и агрегация
Azure Monitor хранит данные в различных таблицах в Log Analytics Workspace, и мы начнем с таблицы Perf, в которой мы находим основные данные телеметрии в основном из мира IaaS, т. е. такие вещи, как загрузка процессора, память и т. д. аналогичным образом. . Однако Azure Monitor также может собирать сетевые данные, журналы отдельных запущенных процессов и данные телеметрии из служб платформы.
Что я нахожу в таблице Perf? Обычно я начинаю с того, что записываю какую-нибудь случайно выбранную выборку этих данных.
Я хотел бы знать, сколько значений в моих данных добавляется в столбец CounterName.
Мне также может пригодиться информация о схеме этой таблицы.
Я думаю, что имя объекта, которое я хочу изучить, — это процессор. Как найти в данных все CounterName?
Отлично, я выберу % процессорного времени. Сколько InstanceNames может быть у него?
Поэтому это значения для отдельных core-паролей в системе, и я выберу _Total, т.е. представление для всех из них на какой машине.
Я уже мог выполнить некоторую агрегацию с этим. Среднее возможное для ЦП не очень информативно, т.к. система может время от времени читаться, а в среднем забывается. Впрочем, смотреть на максимум тоже будет не совсем уместно, ведь кратковременные всплески обычны. Лучше всего смотреть на процентиль, и я обычно выбираю 90-й, 95-й или 99-й. Итак, давайте посчитаем 95-й процентиль от CounterValue (то есть загрузка процессора в процентах) отдельно для каждого компьютера.
ВГЅборнД›. Используя аналогичную процедуру, я нашел это для использования памяти.
Я быНо он хотел получить одну таблицу, в которой будет строка Computer и процентиль для CPU и памяти. Таким образом, мы можем собрать два предыдущих запроса в один. Во-первых, я распечатаю процентиль ЦП и выполню соединение со своим вторым дампом памяти. Я использую fullouter как метод, связанный здесь, потому что может случиться так, что я не менял процессор на одном компьютере, но помню да, а на другом наоборот. Поэтому я также хочу, чтобы в таблице были машины, которых нет ни в одном из запросов — поэтому fullouter. Как мне объединить результаты, чтобы они были такими же, как у компьютера? Присоединяйтесь к новостям через эту колонку. В результирующем отчете слово «Компьютер» появляется дважды и второй раз в столбце «Компьютер1». Это бесполезно, и я не хочу, чтобы он там был, поэтому я удаляю его из списка через project-away. Результат будет выглядеть следующим образом:
Если мне это действительно нравится, я могу сохранить запрос, закрепить полученную таблицу на панели инструментов, создать из нее оповещение или экспортировать ее в виде CSV или в виде запроса в PowerBI (иногда давайте вернемся назад — это может быть отличный выбор, когда мне нужно поместить данные из Azure Monitor в одно изображение и показать, как нагрузка на инфраструктуру влияет на продажи футболок размера XL, которые я извлекаю из Azure SQL).
Агрегация времени и графики разработки
Страница запроса также может создать простую визуализацию, но мы вернемся к этому позже, потому что здесь мы идеально будем работать с рабочими книгами Azure Monitor, где возможности будут безграничны › общее Но сегодняшняя тема — как писать вопросы и иногда давайте рисовать их в Рабочей тетради.
Чтобы построить график, мне нужно прочесать данные. Каждый компьютер теоретически может отправлять счетчики с другими интервалами итакая детализация в изображении за последний месяц отрисовывала бы миллион точек и занимала смехотворное количество времени. Итак, я хочу суммировать данные в некоторые фиксированные временные окна, например пятиминутные интервалы. Вот я и говорю: нарубить данные на пятиминутные интервалы и сделать агрегацию значений в них, конкретно 95-й процентиль, и помимо суммирования по временным окнам, хочу сделать по данным Компьютера.
Текстовый результат выглядит следующим образом, и обратите внимание, что время указано «хорошее», т.е. пятиминутные интервалы.
Позвольте мне составить временную диаграмму.
Красиво, но сбоку слишком много — непрозрачно.
Ну и что, если бы мы построили график только для тех систем, которые находятся в наихудшем состоянии с точки зрения общей процентильной нагрузки. Сначала я должен найти 10 худших. У нас тут уже был такой вопрос, я сейчас поищу и узнаю штук десять.
ВГЅборнД› — теперь я хочу сделать из них граф. Поэтому мы используем соединение. С первым запросом я получаю 10 худших в целом, и только для них у меня есть суммирование значений по интервалам. В этом случае я захочу использовать внутреннее соединение, поэтому в результате я хочу иметь только те компьютеры, которые я выбрал с первым запросом, остальные мне не нужны. Я выполню объединение через Компьютер и в результирующей таблице мне не нужен дубликат Компьютер1, а также я не хочу, чтобы там была загрузка ЦП, которую я использовал для выборки в первом запросе. Мне нужен только CPUtrend на графике, который я вычислил во втором запросе.
После того, как я изобразил это на графике, я получил гораздо более четкий результат.
Давайте попробуем съесть что-нибудь еще. Что, если бы у нас были машины в списке, их результат был бы наименее однородным (т.е. график был бы наиболее кликабельным). Для этого я используюфункция стандартного отклонения, и я выберу 3 самых кликабельных, а затем удалю их.
Чтобы убедиться, что это работает, я попробую наоборот, т.е. наиболее сбалансированные серверы.
Что делать, если я хочу отслеживать только одну конкретную виртуальную машину. Конечно, тогда я буду использовать where для имени такой ВМ, но пользователям будет сложно найти его в коде. Kusto позволяет определить переменную, отправив годы. Тогда достаточно поменять полет в начале и мне не надо копаться внутри запроса. Как вы увидите в другой части, в Рабочей книге я могу дать пользователям простую кнопку для выбора машины, но все равно стоит вынести эти переменные из запроса в переменные.
В конце этого раздела покажем один прием. Иногда мне нужно было бы взять возвращаемые данные с кучей строк и значений счетчиков и сделать из них временной ряд, т.е. поле, которое будет содержать один столбец на одной строке. Он имеет два основных применения. Во-первых, это его сложные возможности анализа временных рядов, что мы и сделаем через мгновение. Второе — это визуализации в Workbook. Там можно еще захотеть сделать таблицу машин с агрегированными значениями загрузки ЦП, но в эту же таблицу вставить небольшой график с развитием загрузки ЦП. Итак, я визуализирую в три строки, но историю счетчика компьютера сохраняю в один столбец той же строки, что и поле, которое Workbook рисует для меня в виде небольшого графика на строке. Но мы еще вернемся к этому. А пока давайте просто посмотрим, как выглядит результат примера make-series. Перед этим есть поле со значениями (в нашем случае CounterValue) и способ суммирования временного ряда. Я использовал последние 7 дней во временных окнах в один час.
КакЭто ежегодная операция, и сколько данных обрабатывается. Я получаю результат в течение десяти секунд, что, я думаю, быстро.
Показатели диагностики от PaaS
Прежде чем мы перейдем к сложному вопросу, я хотел бы упомянуть, что в Azure Monitor есть другие таблицы, которые могут меня заинтересовать с точки зрения телеметрии. У служб платформы в Azure есть папка параметров диагностики, которая позволяет отправлять журналы и данные телеметрии в Azure Monitor, чтобы вы могли запрашивать их, как мы это делали для таблицы Perf. Меня будет интересовать таблица AzureMetrics, и я увижу, какие типы ресурсов я там вижу в данный момент, т.е. для каких типов я включил сбор. Следует отметить, что Azure постепенно переходит на создание специализированных таблиц для каждого сервиса PaaS, что приведет к повышению прозрачности и скорости обработки данных. Однако на сегодня мы останемся в таблице AzureMetrics.
Я соберу несколько из них, но не все. Допустим, меня интересует конкретное веб-приложение. Я посмотрю, какие показатели можно найти там.
Итак, это переводы, переданные данные, количество успешных вызовов, количество статусов ошибок типа кода возврата 400 на 500. Допустим, я хочу расписать запросы за последние 7 дней и меня интересует в среднем во временных окнах 15 минут.
Если вам нравится диаграмма, вы можете легко подключить ее к панели инструментов. Позже мы покажем, как использовать эти запросы для создания рабочих книг, то есть интерактивных отчетов.
Игрушки с временными рядами
В последней части мы посвятим себя более сложной работе с временными рядами. Чтобы вы тоже могли попробовать сами и получить такие же результаты, я не буду работать сс реальными данными, но я создам в памяти фиксированную таблицу и буду задавать вопросы по ней.
Во-первых, давайте поместим данные во временной ряд, поэтому мне нужен массив из них.
Первой расширенной функцией, которую мы будем использовать, будет обнаружение аномалий. Функция series_decompose_anomalies возвращает нам значение 0 для тех значений временных рядов, которые никак не отклоняются и выглядят нормально. Если это аномалия, верните положительное или отрицательное слово. Значение (по модулю) этого числа есть отклонение от нормы. С этим можно по-разному работать в запросе и соотносить с другими данными, например, с логами, но об этом позже. Мы нанесем результат функции обнаружения аномалий на график и посмотрим, где, по вашему мнению, есть отклонение.
Первое отклонение вверх, конечно, видно с первого взгляда. Другой путь вниз еще возможен, но пока нет. Обнаружение аномалий также учитывает сезонность (мы вернемся к этому чуть позже) и то, что отклонение в сторону дна не является обычным явлением (вам уже очевидно, что в субботу и воскресенье всегда наблюдается провал дна, и мы рассчитывайте на это, но это было всего неделю назад). Теперь представьте, что у вас есть огромное количество данных, и вы не знаете, где именно искать — вот где такое обнаружение может быть чрезвычайно полезным. Вы можете установить будильник и так далее на основе этого. Это очень умно и может вам очень помочь.
Во многом это связано с тем, что анализ временных рядов, вероятно, слишком сложен для нас, математик способен выделить базовую составляющую, в которой ему удается выделить некоторые повторяющиеся закономерности из общей тенденции. Мы можем визуализировать что-то подобное.
Давайте посмотрим на получившийся график.
Видно, что общая тенденция одинакова, а синяя базовая линия обычно перекрывается зелеными фактическими значениями. Но мы видим, что один раз он распространился сильно вверх, а второй раз немного вниз. Ну, это аномалии, которые мы видели на этом графике до этого.
Видимо, здесь удалось уловить какую-то закономерность (это хорошо видно на нашем простом примере). Мы можем найти функцию series_periods_detect с минимальной длиной периода, равной 1 выборке, максимальной 8, и я хочу максимум 3 периода.
Произошёл один период длительностью 7 дней.
Если бы данные были более сложными, мы, вероятно, нашли бы их больше. Может быть, один цикл в течение дня (рабочие часы), один в течение недели (рабочие дни) и один, может быть, в году (Рождество).
Давайте действовать в ожидании будущего. Теперь я расширю функцию make-series на 7 дней в «будущее», поэтому у меня там нет данных, поэтому логически это будут нули. Однако я оставлю 7 других предсказанных значений.
В зависимости от последней недели графика. Зеленый — это ноль, потому что мы находимся в будущем, а синий — это предсказание.
Сегодня мы взяли телеметрию на языке Kusto на шоу. Обратите внимание, что источниками данных для Azure Monitor являются агенты на виртуальных машинах, параметры всех служб платформы, включая базы данных, элементы SEG и платформы приложений, включая управление средами Kubernetes или телеметрию приложений с помощью Application Insights. Вы можете задавать простые или сложные вопросы об этом. И в идеале они будут визуализированы в Workbook, соотнесены друг с другом или обогащены логотипами. И все это будет дальнейшими темами цикла статей о Кусто. И кстати — если выМне это нравится, но если вы хотите, чтобы ваши данные, не связанные с ИТ, например данные телеметрии с датчиков Интернета вещей, находились под ним, разверните свой собственный кластер Kusto с помощью Azure Data Explorer и поместите туда все, что хотите.
