时间戳

首页 > 解决方案 > Splunk：来自多个事件的统计数据并期望一个组合输出

splunk - Splunk：来自多个事件的统计数据并期望一个组合输出

问题描述

我有以下事件

event_a 有time_a和MAS_A字段

event_b 有time_b和MAS_B字段

event_c 有time_c和MAS_C字段

sourcetype="app" eventtype in (event_a,event_b,event_c) 
| stats avg(time_a) as "Avg Response Time" BY MAS_A 
| eval Avg Response Time=round('Avg Response Time',2)

我从上面的搜索得到的输出是两个字段MAS_A和Avg Response Time

我正在尝试在相同的搜索 SPL 中获取此信息，并期望最终输出仅包含两个 event_b字段和event_cMAS_A_B_CAvg Response Time

标签： splunk

解决方案

这就是你所追求的吗？一些示例事件可能对您的查询有所帮助。

sourcetype="app" eventtype in (event_a,event_b,event_c) 
| eval time_value=coalesce(time_a, time_b, time_c)
| eval MAS_value =coalesce(MAS_A,MAS_B,MAS_C)
| stats avg(time_value) as "Avg Response Time" BY MAS_value 
| eval Avg Response Time=round('Avg Response Time',2)

推荐阅读