如何在Splunk每日统计结果中追加整体统计行？

你可以通过append命令将每日统计结果与整体统计结果合并，同时为整体统计行的时间字段指定"overall"标识，具体查询语句如下：

timechart span=1d avg(field) as avg_field, max(field) as max_field, exactperc95(field) as perc95_field
| append [
    stats avg(field) as avg_field, max(field) as max_field, exactperc95(field) as perc95_field
    | eval _time = "overall"
]

关键说明： #

• 第一部分用timechart按天统计目标字段的平均值、最大值和95分位数，为每个统计字段设置别名是为了保证子查询与主查询的字段完全匹配，避免合并后字段错位
• 通过append调用子查询执行全量数据的整体统计，再用eval _time = "overall"将整体统计行的时间列标记为"overall"，方便在结果表格中快速区分每日数据与整体汇总数据
• 若需要调整统计指标或列名，直接修改对应统计函数或字段别名即可

内容的提问来源于stack exchange，提问作者Petros Tsialiamanis