Добавить рассчитанную пороговую линию на временной диаграмме

Question

У меня есть простой график, который показывает 5 нижних серверов по количеству запросов в минуту. Я рассчитываю добавить расчетную пороговую оверлейную линию, которая представляет собой среднее количество запросов на всех серверах минус одно стандартное отклонение. Я искал несколько часов, но ничего не смог найти.

Текущий поисковый запрос:

sourcetype = x source = y host = "server *" ENTERING | временная диаграмма useother=f span=1 м отсчет хостом ГДЕ подсчет в bottom 5

По сути, я хочу что-то вроде ниже (что, конечно, не работает):

sourcetype = x source = y host = "server *" ENTERING | временная диаграмма useother=f span=1 м счетчик хостом ГДЕ счет в bottom5 | eval threshold=(avg(countByHost) - stdev(countByHost))

Answer 1

Попробуй это

sourcetype=x source=y host="server*" ENTERING | временная диаграмма useother=f span=1 мес. avg(количество) как avgByHost, stdev(количество) как stdevByHost, счетчик по хосту WHERE счетчик в bottom5 | eval threshold=avgByHost-stdevByHost | поля - порог, счет