12.1 Sentinelにおける時刻について

Sentinelは分散システムであり、ネットワークのさまざまな部分に配置できる複数のプロセスで構成されています。また、デバイスによって遅延が発生する可能性があります。これに対応するために、Sentinelプロセスは、イベントを処理する前に、イベントの順序を変更して時間順に並べられたストリームにします。

次の図は、Sentinelがこれをどのように処理するのかを示しています。

図 12-1 Sentinelの時刻

  1. デフォルトでは、イベント時刻がコレクタマネージャの時刻に設定されます。理想的な時刻は、デバイスの時刻です。したがって、デバイス時刻が利用可能で、正確であり、コレクタによって適切に解析される場合は、イベント時刻をデバイス時刻に設定することが最適です。

  2. イベントは30秒間隔でソートされ、アクティブビューで確認できます。デフォルトでは、サーバ時刻から前後5分の範囲内のタイムスタンプを有するイベントは、通常通り処理されます。タイムスタンプが5分後よりも後のイベントは、アクティブビューには表示されませんが、イベントストアには挿入されます。タイムスタンプが5分前よりも前で、そして24時間前までのイベントは、チャートには表示されますが、チャートのイベントデータには表示されません。これらのイベントをイベントストアから取得するには、ドリルダウン操作が必要です。

  3. イベント時刻がサーバ時刻よりも30秒を超えて古い場合、相関エンジンはイベントを処理しません。

  4. イベント時刻がコレクタマネージャ時刻(正しい時刻)よりも5分を超えて古い場合、イベントはイベントストアに直接ルーティングされます。