如何在Splunk查询中用变量实现按团队ID分组的请求统计饼图？

最终查询语句 #

"Call made for " "%2F" 
| rex field=_raw "%2F(?<team_id>\d+)" 
| stats count by team_id 
| rename count as 呼叫量

关键说明 #

• 移除原查询中固定的团队ID1234，保留"%2F"作为通用匹配条件，覆盖所有包含团队ID的日志条目
• 通过rex命令提取团队ID：正则表达式%2F(?<team_id>\d+)会捕获%2F后的数字序列，存入自定义字段team_id
• 使用stats count by team_id按团队ID分组统计总呼叫次数
• rename命令为可选操作，用于将统计字段count重命名为更易懂的呼叫量

可视化设置 #

查询执行完成后，在Splunk可视化界面切换为饼图类型，即可直观展示各团队呼叫量的占比情况。

内容的提问来源于stack exchange，提问作者T Anna