charts - 基于类型的 Splunk 图表数据

Question

我以以下格式（实际格式）从 Splunk 导出数据。但我想进一步格式化它，以便我可以看到哪些项目出现在哪些类别中，哪些项目缺失（预期格式）。我试图根据 categoryID 绘制它，但它对我不起作用，因为我认为 max 函数不适合这个。谁能帮我知道我该如何实现这一目标

尝试使用

| chart max(itemId) over itemId by categoryID

实际数据

预期格式数据：

标签： chartssplunksplunk-query

Answer 1

解决了它使用..

| xyseries itemId categoryID itemId