Optimierung von transaktionsorientierten Abfragen

Ausdrücke

Verwenden Sie die im Folgenden beschriebenen Ausdrücke, um Ihre transaktionsorientierte AQL-Abfrage zu optimieren:

Syntax

SESSION BY 
<TimeExpression> <ExpressionList> 
[EXPLICIT] BEGIN <booleanExpression>  
[EXPLICIT] END <booleanExpression> 
TIMEOUT <IntegerLiteral millieseconds> 
TIMEWINDOW <IntegerLiteral SECONDS|MINUTES|HOURS|DAYS>

Die folgenden Beispiele zeigen die Ergebnisse, die Sie mit verschiedenen Kombinationen der verfügbaren Abfrageausdrücke erhalten:

BEGIN-und END-Ausdrücke

Ein BEGIN-Ausdruck startet eine Sitzung, wenn ein Ereignis mit dem BEGIN-Ausdruck übereinstimmt oder das vorherige Ereignis die Sitzung beendet.

Ein Ausdruck END beendet eine Sitzung, wenn der Ausdruck END für ein Ereignis wahr ist oder wenn das nächste Ereignis eine neue Sitzung startet.

Wenn Sie den Ausdruck EXPLICIT mit den Ausdrücken BEGIN und END verwenden, wenden Sie einen präziseren Filter an, der die Ergebnismenge eingrenzt.

Sehen Sie sich die folgenden Beispiele für Abfragen und Ergebnisse an.

Im folgenden Abfragebeispiel werden BEGIN-und END-Ausdrücke verwendet.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss') 
start_time, username, sourceip, 
category from events into TR1 
where username = 'user_x' 
SESSION BY starttime username, sourceip 
BEGIN category=16001 
END category=16003 
start '2016-12-10 16:00' stop '2016-12-10 23:30'

Die folgende Tabelle zeigt die Ergebnisse für die Abfrage, die BEGIN und END verwendet.

EXPLICIT BEGIN-und END-Ausdrücke

Ereignisse werden übersprungen, wenn eine Sitzung nicht gestartet wird und ein Ereignis kein EXPLICIT BEGIN -Ereignis ist.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss') 
start_time, username, sourceip, 
category from events into TR2 
where username='user_x' 
SESSION BY starttime username, sourceip 
EXPLICIT BEGIN category=16001 
END category=16003 start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Die folgende Tabelle zeigt die Ergebnisse für die Abfrage, die EXPLICIT BEGIN und END verwendet.

Es werden nur Ereignisse zurückgegeben, die den Ausdruck EXPLICIT BEGIN erfüllen.

Sessionid 2 und Sessionid 4 in EXPLICIT BEGIN und END erfüllen den Ausdruck EXPLICIT BEGIN nicht.

BEGIN und EXPLICIT END

Aktuelle Sitzung nur schließen, wenn der Ausdruck EXPLICIT END wahr ist. Es gibt keine weiteren Prüfungen auf BEGIN-Ereignisse in der Sitzung, wenn der Ausdruck EXPLICIT END wahr ist.

Einem EXPLICIT END -Ausdruck können mehrere BEGIN-Ereignisse in einer Sitzung zugeordnet werden. Sie können beispielsweise den Ausdruck EXPLICIT END verwenden, um mehrere fehlgeschlagene Anmeldeversuche zu zählen, gefolgt von einer erfolgreichen Anmeldung während eines bestimmten Zeitintervalls (Sitzungszeitlimit).

Im folgenden Abfragebeispiel werden die Ausdrücke BEGIN und EXPLICIT END verwendet.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss') 
start_time, username, sourceip, 
category from events into TR3 
where username = 'user_x' 
SESSION BY starttime username, sourceip 
BEGIN category=16001 
EXPLICIT END category=16003 
start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Die folgende Tabelle zeigt die Ergebnisse für die Abfrage, die BEGIN-und EXPLICIT END-Ausdrücke verwendet.

EXPLICIT BEGIN und EXPLICIT END

Ereignisse werden ignoriert, wenn eine Sitzung nicht gestartet wird und ein Ereignis kein EXPLICIT BEGIN-Ereignis ist.

Aktuelle Sitzung nur schließen, wenn der Ausdruck EXPLICIT END wahr ist. Es gibt keine weiteren Prüfungen auf BEGIN-Ereignisse in der Sitzung, wenn der Ausdruck EXPLICIT END wahr ist.

Im folgenden Abfragebeispiel werden sowohl EXPLICIT BEGIN-als auch EXPLICIT END-Ausdrücke verwendet.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss') 
start_time, username, sourceip, 
category from events into TR4 
where username = 'user_x' 
SESSION BY starttime username, sourceip 
EXPLICIT BEGIN category=16001 
EXPLICIT END category=16003 
start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Die folgende Tabelle zeigt die Ergebnisse für die Abfrage, die sowohl EXPLICIT BEGIN-als auch EXPLICIT END-Ausdrücke verwendet.

TIMEOUT

Schließt die Sitzung, wenn der angegebene Zeitraum für TIMEOUT von dem Zeitpunkt, zu dem das vorherige Ereignis aufgetreten ist, bis zu dem Zeitpunkt, zu dem das aktuelle Ereignis eingetreten ist, abläuft. Das aktuelle Ereignis wird Teil einer neuen Sitzung. Der Wert für TIMEOUT wird in Millisekunden angegeben.

Im folgenden Abfragebeispiel wird der Ausdruck TIMEOUT verwendet.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss.SSS') 
start_time, username, sourceip, 
category from events into TR5 
where username='user_x' 
SESSION BY starttime username, sourceip 
BEGIN category=16001 
EXPLICIT END category=16003 
TIMEOUT 3600 
start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Die folgende Tabelle zeigt die Ergebnisse für die Abfrage, die den Ausdruck TIMEOUT verwendet.

Sessionid 1 wird beendet und sessionid 2 wird gestartet, da das TIMEOUT von 3600 überschritten wird.

ZEITFENSTER

Verfolgt die Sitzungszeit. Schließt die Sitzung, wenn der angegebene TIMEWINDOW-Zeitraum von dem Zeitpunkt, zu dem das erste Ereignis aufgetreten ist, bis zu dem Zeitpunkt, zu dem das aktuelle Ereignis eingetreten ist, abläuft. Das aktuelle Ereignis wird Teil einer neuen Sitzung. Der Wert für TIMEWINDOW kann in Sekunden, Minuten, Stunden oder Tagen angegeben werden.

Im folgenden Abfragebeispiel wird der Ausdruck TIMEWINDOW verwendet.

Select sessionId, 
DATEFORMAT(starttime,'YYYY-MM-dd HH:mm:ss.SSS') 
start_time, username, sourceip, 
category from events into TR6 
where username='user_x' 
SESSION BY starttime username, sourceip 
BEGIN category=16001 
EXPLICIT END category=16003 
TIMEWINDOW 3000 
start '2016-12-10 16:00' 
stop '2016-12-10 23:30'

Die folgende Tabelle enthält die Ergebnisse für die Abfrage, die den Ausdruck TIMEWINDOW verwendet.

Sessionid 1 liegt innerhalb der Zeit des Ausdrucks TIMEWINDOW, aber sessionid 2 wird beendet, da der Wert 3600 für TIMEWINDOW überschritten wird.