Splunk中如何创建单柱多分段序列图表及选型

适配图表类型选择 #

完全匹配需求的图表类型是堆叠柱状图（Stacked Column Chart），如果需要重点展示各分段在单根柱中的占比，可以选择它的变体100%堆叠柱状图。
这类图表的核心逻辑就是：同一分类维度下仅生成1根独立柱形，柱形内部按你配置的不同数据series切分为多个连续分段，每个分段的高度对应该series在当前分类下的数值，整根柱的总高度为当前分类下所有series的数值总和，和单根柱多分段展示一组series的需求完全匹配。
注意不要选普通并列柱状图，这个类型会在同一分类下为每个series生成独立的并排柱，不符合单柱多分段的要求。

具体配置步骤 #

• 第一步：整理符合要求的SPL查询结果结构
  你需要保证查询输出至少包含3类字段：
  1. 分类维度字段：用来决定一共生成多少根独立柱，比如时间、业务线、主机名这类维度
  2. 系列维度字段：用来区分同根柱内的不同分段，比如状态码、错误类型、流量渠道这类维度
  3. 数值字段：对应每个分段的量化数值，比如访问量、报错数、流量大小这类统计值
     举个最常见的统计示例，统计每小时不同HTTP状态码的访问量，SPL写法如下：

  index=web_access_logs | bin _time span=1h | stats count by _time, status
  

  如果你习惯用chart命令生成宽表结果也完全兼容，比如chart count by _time, status，Splunk会自动识别除分类列外的所有列作为独立series，不需要额外做格式转换。
• 第二步：选择对应图表子类型
  切到可视化选项卡，在图表类型下拉菜单中找到「柱状图」分类，在展开的子类型选项中选择「堆叠」，如果要展示各分段占整体的比例就选「100%堆叠」。
• 第三步：校验字段映射关系
  打开可视化面板的「格式」-「字段映射」配置项，确认X轴（分类轴）绑定你的分类维度字段，系列项绑定你的分段区分维度字段，Y轴（数值轴）绑定你的统计数值字段，映射错误会导致柱形展示异常。
• 第四步：按需优化展示效果
  你可以在格式配置里按需开启图例（方便对应每个分段的series含义）、数据标签（直接展示每个分段的具体数值），也可以自定义分段配色、柱形间距、坐标轴精度等参数，适配实际展示要求。

小提示：如果配置后出现同分类下多柱并排的情况，先检查是不是选成了普通并列柱状图，再检查字段映射里是不是误把系列维度绑到了X轴上。

内容的提问来源于stack exchange，提问作者karen