折れ線グラフ

折れ線グラフは、時間を通じた傾向の把握を容易にします。

NQL クエリには、timestamp フィールドと少なくとも 1 つの集計を含める必要があります。

データ構造

<timestamp>, <kpi1>, <kpi2>, ...

NQL構造

データのクエリ例は、ライブダッシュボードNQL例のドキュメントを参照してください。

時間を通じた集約されたKPI

<event table> <time_duration>
...
概要 <kpi1>, <kpi2>, ... <time_duration_granularity>による
(リスト <time>, <kpi1>, <kpi2>, ...)

リスト行はオプションです。リスト行を指定しない場合、システムはデフォルトでstart_timeを使用します。例えばend_timeなど異なる時間フィールドを使用したい場合は、リスト行でこれを指定することができます。

シリーズ名

シリーズ名は、それに対応するNQLクエリの変数名から取得されます。

変数名は次の方法でフォーマットされます：

アンダースコアはスペースに置き換えられます。
変数の最初の文字は大文字に変えられます。

折れ線グラフに特有の視覚化フィールドを設定する

このウィジェットに固有でない残りの設定フィールドの入力方法については、ライブダッシュボードの管理のドキュメントを参照してください。

「ウィジェットを追加する」/ウィジェットを編集する」のポップアップで折れ線グラフオプションを選択した後：

ウィジェットに**タイトル（オプション）**を付けます。
指標の解釈方法、計算方法、または指標に関連する微妙な点を説明するために、**ウィジェット説明（オプション）**を入力します。
- ダッシュボードの折れ線グラフウィジェットの隣にある情報アイコンにホバーすると、ウィジェット説明が表示されます。
Data updates with を選択:
- グローバルタイムピッカー: ダッシュボード閲覧者が選択した時間範囲に基づいてチャートが更新され、NQL クエリで指定された時間範囲には関係しません。
- グローバルフィルター: ダッシュボード閲覧者が選択したフィルターに基づいてチャートが更新されます。
Y 軸スケーリングを定義:
- 自動スケーリング: システムがデータ系列全体の最大値と最小値に基づいて Y 軸範囲を自動的に調整します。システムは、しきい値がデータ系列から適切な距離で視認でき、正確に解釈できるよう、これらの範囲を拡張します。
- カスタム範囲: 予想されるデータ範囲が分かっている場合に、最小値と最大値を指定します。
問題解決のためにデータを素早く評価できるように、折れ線グラフの一部を赤または黄色に着色するための評価しきい値を設定します。次から選択：

1 しきい値

折れ線グラフでは、悪い範囲を示す赤いセクションが表示されます。

システムは>=演算子でしきい値を評価します。上記の例は次のように評価されます：

良い: もし指標が< 2.2
悪い: 指標が >= 2.2 の場合

インバートを選択して、良い状態と悪い状態を反転させます。逆にすると、上記の例は次のように評価されます：

悪い: もし指標が< 2.2
良い: もし指標が>= 2.2

2 つのしきい値

折れ線グラフでは、悪い範囲を示す赤いセクションと、平均的な範囲を示す黄色いセクションが表示されます。

システムは>=演算子でしきい値を評価します。上記の例は次のように評価されます：

良い: 指標が < -80 の場合
平均: 指標が >= -80 かつ < -60 の場合
悪い: 指標が >= -60 の場合

インバートを選択して、良い状態と悪い状態を反転させます。逆にすると、上記の例は次のように評価されます：

悪い: 指標が < -80 の場合
平均: 指標が >= -80 かつ < -60 の場合
良い: 指標が >= -60 の場合

折れ線グラフでの複数の指標

Nexthinkは同じ折れ線グラフで異なる単位の指標を混ぜることを推奨しません。異なる単位の指標で同じ折れ線グラフに混在させることを選ぶ場合、メトリックの順序によって測定単位が決まることに留意してください：

y軸にはクエリ内の最初のメトリックの単位が表示されます。
y 軸の最大値と最小値は、系列の指標単位に関係なく、表示されているすべての系列にわたる最高値と最小値に基づいています。システムはスケーリング目的でこれらの値を拡張します。

例1

execution.events during past 7d
| where binary.name == "outlook.exe" 
| summarize 
   memory__ = memory.avg() , 
   execution_duration__ = execution_duration.sum() by 1d

システムはmemory__から単位を取り、それはバイトフィールドです。 y 軸の最大値を取得するために、システムは memory__ 系列の最大値（386MB［4億500万バイト］）と、execution_duration__ の最大値（64 週間［3,800 万秒］）を比較します。

システムは 386 MB を最大値として使用し、表示および解釈のために y 軸を 477 MB までスケーリングします。

例2

execution.events during past 7d
| where binary.name == "outlook.exe"
| summarize 
   execution_duration__ = execution_duration.sum(), 
   memory__ = memory.avg() by 1d

システムはexecution_duration__から単位を取り、それは持続時間フィールドです。 y 軸の最大値を取得するために、システムは memory__ 系列の最大値（386MB［4億500万バイト］）と、execution_duration__ の最大値（64 週間［3,800 万秒］）を比較します。

システムは 4 億 500 万という値を秒として扱い（4 億 500 万秒 = 669 週間と 4.5 日）、表示および解釈のために y 軸を 826 週間と 5 日にスケーリングします。

指標をセグメントに分解する

折れ線グラフのクエリは、summarize <a href="#user-content-fn-1" id="user-content-fn-1"></a> 文を使用して、データセグメントに指標を分解することをサポートしています... byキーワードを使ってプロパティを追加することにより。

例えば、以下のクエリはカスタムトレンドスナップショットを取得します。 hardware_manufacturer ごとのクラッシュ数の推移を分解して表示します。

execution.crashes during past 30d
| summarize crashes_per_device = count() / device.count() by 1d, 
device.hardware.manufacturer
| sort crashes_per_device desc

summarize文の最後にプロパティを追加して、より多くの分解を表示します。たとえば、hardware_manufacturer の後に device.hardware.model を追加すると、メーカーとモデルの両方で内訳を表示できます。

execution.crashes during past 30d
| summarize total_crashes = count(), unique_devices = device.count(), crashes_per_device = count() / device.count() 
by device.hardware.manufacturer, device.hardware.model, 1d
| sort crashes_per_device desc

折れ線グラフには上位 5 件の系列のみが表示されます。

sort句を使用して、特定の期間のメトリック値が最も大きいシリーズを選択します。たとえば、上記のクエリ内の | sort crashes_per_device desc は、デバイスあたりのクラッシュ数が最も多い 5 つのハードウェアメーカーとモデルを選択します。

他の系列を表示するには、ダッシュボードにフィルターを適用します。