Splunk：堆叠柱状Timechart无渲染问题求助

你的查询出错的核心原因有两个：

1. 第一个stats values(Action) by GroupId执行后，结果里丢失了_time字段，而timechart必须基于_time字段生成时间轴，没有时间数据自然渲染不出任何内容。
2. 这个前置的stats命令完全偏离了你的需求——你需要按时间维度统计，却先把所有时间信息丢弃，只聚合了GroupId和对应的Action集合，后续的timechart根本无法基于这种数据生成时间相关的图表。

正确查询方案 #

要实现每个10分钟时间段内，不同Action对应的唯一GroupId数量的堆叠柱状图，直接用timechart结合去重计数函数dc()即可，不需要额外的前置stats：

| timechart stack_mode=stacked span=10m dc(GroupId) by Action

说明： #

• dc(GroupId)：统计每个时间桶内，对应Action下的唯一GroupId数量（避免同一个GroupId多次触发同一Action时重复计数）。
• stack_mode=stacked：指定堆叠柱状图模式。
• span=10m：按10分钟为间隔划分时间桶。

如果你的日志中存在同一个GroupId在同一时间桶内多次触发同一Action的情况，这个查询会自动去重，只统计一次该GroupId，完全符合你“包含每个Action的GroupId数量”的需求。

内容的提问来源于stack exchange，提问作者Developer