Splunk 搜索 - 如何循环多值字段 原答案根据提到的 transaction 命令进行编辑

如何解决Splunk 搜索 - 如何循环多值字段 原答案根据提到的 transaction 命令进行编辑

我的用例是分析工单，以便对有关特定工单的所有状态的状态进行归因。

原始数据如下所示：

Id	版本	状态	事件时间
0001	1	新	2021-01-07T09:14:00Z
0001	1	已完成 - 已执行操作	2021-01-07T09:38:00Z

交易命令后的数据如下所示：

Id	版本	状态	事件时间	state
0001,0001	1,1	新建，已完成 - 已执行操作	2021-01-07T09:14:00Z,2021-01-07T09:38:00Z	致谢，工作

我正在使用事务命令来计算工单的确认和解决的持续时间。

我有预定义规则来选择正确的状态。此规则比较 n-1 状态（New）和当前状态（Completed - Action Performed）以选择状态。

问题

每张票都有不同的状态数。我们无法提前知道最大状态数。我无法编写比较“状态”字段的每个值的静态搜索。

预期的解决方案

我有一个字段告诉我状态（工单状态数）字段的索引数。

我想使用循环（为什么不是循环），对字段状态的每个索引进行迭代并比较 i-1 和 i 的值。

我找不到如何执行此操作。这可能吗？

谢谢

解决方法

更新以反映更多细节

这是一个带有 streamstats 的方法，它应该可以让您走向答案：

index=ndx sourcetype=srctp Id=* Version=* Status=* EventTime=* state=*
| eval phash=sha256(Version.Status)
| sort 0 _time
| streamstats current=f last(phash) as chash by Id state
| fillnull value="noprev"
| eval changed=if(chash!=phash OR chash="noprev","true","false")
| search NOT changed="false"
| table *

原答案

类似以下内容应该可以获取最新状态：

index=ndx sourcetype=srctp Id=* Version=* Status=* EventTime=* state=*
| stats latest(Status) as Status latest(Version) as Version latest(state) state latest(EventTime) as "Event Time" by Id

根据提到的 transaction 命令进行编辑

不要使用transaction，除非您确实真的真的需要。

在 99% 的情况下，stats 会更快、更高效地完成 transaction 所做的事情。

例如：

index=ndx sourcetype=srctp Id=* Version=* Status=* EventTime=* state=*
| stats earliest(Status) as eStatus latest(Status) as lStatus earliest(Version) as eVersion latest(Version) as lVersion earliest(status) as estate latest(state) lstate earliest(EventTime) as Opened latest(EventTime) as MostRecent by Id

将生成一个表，然后您可以使用 eval 等进一步操作。例如（假设时间格式是可减的（即仍然是 Unix 纪元格式））：

| eval ticketAge=MostRecent-Opened
| eval Versions=eVersion+" - "+lVersion
| eval Statuses=eStatus+" - "+lStatus
| eval State=estate+",",lstate
| eval Opened=strftime(Opened,"%c"),MostRecent=strftime(MostRecent,"%c")
| eval D=if(ticketAge>86400,round(ticketAge/86400),0)
| eval ticketAge=if(D>0,round(ticketAge-(D*86400)),ticketAge)
| eval H=if(ticketAge>3600,round(ticketAge/3600),0)
| eval ticketAge=if(H>0,round(ticketAge-(H*3600)),ticketAge)
| eval M=if(ticketAge>60,round(ticketAge/60),0)
| eval ticketAge=if(M>0,round(ticketAge-(M*60)),ticketAge)
| rename ticketAge as S
| eval Age=D+" days "+H+" hours"+M+" minutes"+S+" seconds"
| table Id Versions Statuses Opened MostRecent State Age
| rename MostRecent as "Most Recent"

---

注意：我可能已经将原始秒数转换为天、小时、分钟、秒数 - 但应该很接近