如何编写Splunk查询按JobAction汇总TimeTaken与Records总和？

核心原因分析 #

TimeTaken(ms)字段汇总为空，大概率是以下两个问题导致：

1. 字段不是数值类型：Splunk的sum()函数仅对数值型字段生效，若TimeTaken(ms)是字符串格式（比如带"ms"后缀、包含非数字字符），sum计算会返回空值。
2. 字段名的特殊字符解析问题：字段名中的括号()属于特殊字符，Splunk可能无法正确识别，需要用单引号包裹字段名。

针对性解决方案 #

方案1：处理字段名解析问题

如果TimeTaken(ms)本身是数值型，仅需用单引号包裹字段名即可：

| stats sum(Records) as TotalRecords, sum('TimeTaken(ms)') as TotalTime(ms) by host, JobAction, Status

方案2：转换字段为数值类型

如果字段是字符串格式，先提取纯数字并转为数值后再汇总：

# 提取字段中的纯数字（适用于字段带"ms"等后缀的情况）
| rex field='TimeTaken(ms)' "(?<TimeTaken_num>\d+)"
# 转换为数值类型
| eval TimeTaken_num = tonumber(TimeTaken_num)
# 执行汇总计算
| stats sum(Records) as TotalRecords, sum(TimeTaken_num) as TotalTime(ms) by host, JobAction, Status

验证字段类型的方法

可以先添加验证语句，确认字段是否为数值：

| eval is_numeric = isnum('TimeTaken(ms)')
| table JobAction, 'TimeTaken(ms)', is_numeric

• is_numeric值为1：字段是数值型，使用方案1即可。
• is_numeric值为0：字段是字符串，需要使用方案2处理。

内容的提问来源于stack exchange，提问作者AD27060