事件類型分組

VMware Aria Operations for Logs 可將大量個別事件彙整為較少量而廣泛的事件類型。VMware Aria Operations for Logs 會使用機器學習將類似事件分組在一起，且每個群組都會顯示該群組中約略的事件數目。事件分組有助於識別通訊最頻繁的事件和訊息最少的事件，這兩者對疑難排解而言都很重要。

[探索記錄] 頁面中的事件類型索引標籤位於搜尋列下方，可針對查詢的指定時間範圍提供事件的彙總視圖。系統會選取群組中的某個事件作為代表事件。您可以按一下每個代表事件下方的展開連結，以檢視群組中的事件。

將事件分組後，每個事件都會有指派的事件類型。系統會建立適當的 event_type 欄位，供您進一步用於一般查詢中。

VMware Aria Operations for Logs 不會記錄事件分組的確切機制。它會嘗試根據事件具備的共通點數目，自動偵測類似事件的群組。例如，請考量下列事件：

• [2019-05-20 06:41:24.291+0000] ["SearchWorker-thread-12999"/10.113.164.150 INFO] [com.company.product.analytics.distributed.LogSearchWorkerService] [Worker fully completed query (token=5f6e5e1faf93e4ce) in 11 msec]
• [2019-05-20 06:41:24.284+0000] ["SearchWorker-thread-11961"/10.113.164.167 INFO] [com.company.product.analytics.distributed.SearchWorkerService] [Worker fully completed query (token=3b247b2ba6057c47) in 24 msec]

這些事件有八個共通點 - 時間戳記、執行緒名稱、主機 IP、記錄層級、類別名稱、訊息文字、權杖數目，以及持續時間。

接著，請考量下列事件：

• [2019-05-20 06:41:24.291+0000] ["LogSearchWorker-thread-12999"/10.113.164.150 INFO] [com.vmware.loginsight.analytics.distributed.LogSearchWorkerService] [Worker finished search (wait=59500 token=5f6e5e1faf93e4ce) in 12 msec]
• [2019-05-20 06:41:20.136+0000] ["AliasStudentStudyPool-thread-1"/192.168.110.24 INFO] [com.vmware.loginsight.analytics.alias.AliasStudent] [looking for alias due to rule DatastoreFromVmFileSystem]

這些事件只有三個共通點 - 時間戳記、主機 IP 和記錄層級。

除了將事件分組在一起，VMware Aria Operations for Logs 還會識別群組中各個事件的有用欄位，名為智慧型欄位。每個智慧型欄位都會在代表事件內顯示為超連結，且旁邊有下拉式功能表圖示。您可以按一下該圖示以檢視欄位值的長條圖，或根據智慧型欄位定義擷取的欄位。