Splunk需求：仅展示count列总计值用于单值可视化

需求说明：
原查询按Successful_Unsuccessful字段分组统计数量：

| stats count by Successful_Unsuccessful

需要将所有分组的count值求和，仅保留总计数值，用于仪表盘的Single Value可视化组件。之前使用addcoltotals的查询会保留原有分组行，不符合需求。

解决方案1：过滤总计行 #

在addcoltotals之后添加过滤条件，仅保留总计行并只展示count列：

| stats count by Successful_Unsuccessful 
| addcoltotals labelfield=Successful_Unsuccessful label="Grand Totals" count
| where Successful_Unsuccessful="Grand Totals"
| fields count

解决方案2：直接二次求和 #

跳过保留分组行的步骤，直接对分组统计后的count列求和，一步得到总计值：

| stats count by Successful_Unsuccessful 
| stats sum(count) as total

两种方法最终都会输出单个数值，完全适配Single Value可视化的需求。

内容的提问来源于stack exchange，提问作者ashu mallik