Splunk统计面板无数据求助：查询语句问题排查

核心问题分析 #

你的查询语句存在两个关键问题，导致Statistics面板无数据：

• 字段名使用减号引发语法错误：Splunk中字段名包含减号（-）会被解析为算术减法运算符，比如success-count会被识别为success - count，但你并未定义success字段，这会导致eval计算失败，最终无法生成统计数据。
• 聚合后字段缺失导致过滤异常：stats命令默认将所有结果聚合为单条记录，仅保留聚合生成的字段，而你最后通过fields指定的sourcetype和eventtype在聚合后已不存在，这会导致最终结果没有符合要求的字段，Statistics面板无法展示数据。

修正后的查询语句 #

index="cba_strat_risk" sourcetype IN ("kube:container:abc-service", "kube:container:xyz-service") 
| stats count as total_count, count(eventtype="nix-all-logs") as success_count, count(eventtype="nix_errors") as error_count by sourcetype
| eval success_percentage=round(success_count/total_count*100,2) 
| eval error_percentage=round(error_count/total_count*100,2) 
| fields sourcetype total_count success_count error_count success_percentage error_percentage

关键改动说明 #

• 将带减号的字段名替换为下划线（success-count→success_count、error-count→error_count），避免算术运算符解析错误；同时将总数字段重命名为total_count，避免与内置count函数混淆。
• 在stats命令后添加by sourcetype，按数据源类型分组统计，保留sourcetype字段，匹配后续fields命令的需求。

额外排查建议 #

• 确认eventtype="nix-all-logs"和eventtype="nix_errors"确实匹配到Events面板中的日志，可单独执行以下查询验证：

  index="cba_strat_risk" sourcetype IN ("kube:container:abc-service", "kube:container:xyz-service") eventtype="nix-all-logs"
  

  如果无返回结果，说明eventtype的定义或匹配存在问题，需检查事件类型配置。

内容的提问来源于stack exchange，提问作者Pritish