编写Splunk查询提取JSON数组数据并绘图，无统计结果求助

原查询问题分析 #

你的查询能匹配到事件但无统计数据，核心问题出在嵌套JSON数组的处理逻辑上：

1. rename Data{} as data_*的方式无法稳定提取嵌套数组中的Key和Value字段，导致后续mvfind和mvindex无法定位到有效数据；
2. 日志中Value是字符串类型，直接用sum计算会因类型不匹配被忽略，最终统计结果为空。

修正后的查询语句 #

index=myindex 
| spath path=Data{} output=DataElements
| mvexpand DataElements
| spath input=DataElements path=Key output=Key
| spath input=DataElements path=Value output=Value
| eval Value=tonumber(Value)
| bin _time span=1h  // 可根据数据频率调整时间分桶跨度
| stats sum(Value) as ValueSum by _time, source, Key
| eval series=source.":".Key
| xyseries _time, series, ValueSum

关键步骤说明 #

• spath path=Data{} output=DataElements：精准提取Data数组中的每个嵌套对象，生成多值字段DataElements；
• mvexpand DataElements：将数组元素拆分为独立事件，让每个事件对应一组Key-Value对，简化后续字段提取；
• 两次spath操作：从拆分后的DataElements中分别提取Key和Value，确保每个事件的字段清晰可辨；
• eval Value=tonumber(Value)：将字符串类型的Value转为数值，保证sum函数能正常计算；
• stats和xyseries：按时间、数据源、Key聚合数据，并转换为适合多系列图表展示的结构。

调试技巧 #

在查询中间插入| table _time source Key Value，可以验证每个步骤的字段提取是否正确，比如确认Key和Value是否存在、Value是否已转为数值类型；另外可根据数据生成频率调整bin _time的span参数（如span=30m），避免因时间分桶过细导致无统计结果。

内容的提问来源于stack exchange，提问作者Matthew David Jankowski