如何在Splunk中计算两个事件间的秒级持续时间？

优化后的高效查询（推荐） #

index=* host="TMP-2001"
| eval event_time=strptime(timestamp, "%Y-%m-%dT%H:%M:%S.%3Q%z")
| eval start_time=if(event="Start mode", event_time, null())
| eval stop_time=if(event="Stop mode", event_time, null())
| stats values(start_time) AS start_time values(stop_time) AS stop_time BY id
| eval duration_sec=abs(stop_time - start_time)
| eval start_time=strftime(start_time, "%Y-%m-%dT%H:%M:%S.%3Q%z")
| eval stop_time=strftime(stop_time, "%Y-%m-%dT%H:%M:%S.%3Q%z")
| table id start_time stop_time duration_sec

基于原transaction查询的修改版 #

index=* host="TMP-2001"
| transaction id startswith=(event="Start mode") endswith=(event="Stop mode")
| eval duration_sec=abs(_latest - _time)
| eval start_time=strftime(_time, "%Y-%m-%dT%H:%M:%S.%3Q%z")
| eval stop_time=strftime(_latest, "%Y-%m-%dT%H:%M:%S.%3Q%z")
| table id start_time stop_time duration_sec

关键步骤说明 #

• 时间格式转换：用strptime将日志中字符串格式的timestamp转换成Splunk可计算的时间戳数值，确保时间计算准确；后续用strftime转回到原格式方便阅读。
• 提取事件时间：通过if函数分别标记Start mode和Stop mode对应的时间戳。
• 聚合计算：用stats按id聚合事务的开始/结束时间，避免transaction在大数据量下的性能问题；若坚持用transaction，则利用其自带的_time（事务首事件时间）和_latest（事务尾事件时间）计算差值。
• 处理异常顺序：用abs取绝对值，避免日志上报顺序颠倒导致的负时长。
• 格式化输出：用table展示核心字段，清晰呈现每个id的事务时间范围和持续秒数。

示例输出结果 #

以你提供的TEMP_1日志为例，计算后会得到：

如果需要整数秒，可将duration_sec的计算改为eval duration_sec=round(abs(stop_time - start_time), 0)或floor(abs(stop_time - start_time))。

内容的提问来源于stack exchange，提问作者me-me