如何用Splunk生成按名称分组、拆分结果值的统计表格？

问题根源 #

appendcols是按行位置拼接多个子查询结果，而非通过name字段做关联匹配。当不同子查询的分组顺序不一致时，就会出现统计值与分组错位的问题，这是该命令的特性决定的，不适合用于分组统计的结果合并。

正确查询语句 #

方法1：使用stats命令（推荐，逻辑清晰）

先通过eval标记各结果类型，再按name分组聚合统计：

# 替换为你的基础搜索语句
index=xxx sourcetype=xxx 
| eval success=if(result="success", 1, 0)
| eval failure=if(result="failure", 1, 0)
| eval na=if(result="N.A.", 1, 0)
| stats 
    values(type) as type 
    sum(success) as success_count 
    sum(failure) as failure_count 
    sum(na) as na_count 
    count as total_count 
    by name

• 若每个name对应唯一type，可将values(type)替换为first(type)或last(type)，结果更简洁
• count as total_count直接统计每组总条数，无需额外计算

方法2：使用chart命令（更简洁）

利用chart的行列分组特性直接生成结果，再补充type字段和总计：

# 替换为你的基础搜索语句
index=xxx sourcetype=xxx 
| chart count over name by result
| rename success as success_count failure as failure_count "N.A." as na_count
| eventstats values(type) as type by name
| addcoltotals labelfield=name label="总计"

优化建议 #

• 彻底放弃用appendcols实现分组统计合并，改用stats/chart这类原生支持分组聚合的命令，从根源避免对齐错误
• 若需补充分组关联的其他字段（如type），优先使用stats内置的values()/first()等函数，或用eventstats做全局字段补充
• 统计时尽量在单阶段完成聚合，减少多子查询拼接的复杂度和出错概率

内容的提问来源于stack exchange，提问作者kelvint