이상치

outlier 명령을 사용하여 사분위수 범위(IQR)를 기반으로 숫자 필드의 통계 이상값을 감지합니다. 이상치 행을 제거하거나 고정할 수 있습니다.

구문

| outlier [action=remove|transform] [param=n] [uselower=true|false] [mark=true|false] field [field ...]

명령은 다음 인수를 사용합니다.

• action (선택 사항) - remove (특이 행을 삭제) 또는 transform (경계에 고정)입니다. 기본값: transform.

• param (선택 사항) - IQR 승수입니다. 기본값: 2.5.

• uselower (선택 사항) - 하한 특이값을 감지할지 여부입니다. 기본값: false.

• mark (선택 사항) - 부울 마커 필드를 추가할지 여부입니다. 기본값: false.

• field - 이상치를 확인할 하나 이상의 숫자 필드입니다.

예제

다음 쿼리는 낮은 경계 감지 및 표시와 함께 3.0 IQR 승수를 사용하여 cpu 또는 메모리가 이상치인 행을 제거합니다.

fields @timestamp, cpu, memory
| outlier action=remove param=3.0 uselower=true mark=true cpu memory