Splunk告警设置两个不重叠调度频率 能否共用一个cron表达式

你提出的两个非重叠时段的差异化调度需求无法通过单个标准cron表达式实现。

原因说明 #

标准cron表达式的5个时间位（分、时、日、月、周）的规则是全局统一的，无法为不同的小时区间配置不同的分钟执行间隔。你的两个规则的分钟位要求存在冲突：0-6点要求仅0、30分执行，8-22点要求每10分钟执行，单个cron无法同时满足两套规则。

替代方案（无需克隆告警冗余配置） #

你不需要完全克隆告警维护两套相同配置，Splunk场景下有两种低成本实现方式：

方案1：单告警任务+运行时段过滤 #

使用覆盖所有时段的最高频率cron */10 * * * * 作为告警的调度规则，在原有搜索逻辑最开头增加运行时段判断，不符合规则的时段直接返回空结果，不会触发告警：

| eval current_hour = tonumber(strftime(now(), "%H")), current_minute = tonumber(strftime(now(), "%M"))
| where (current_hour >= 0 AND current_hour <= 6 AND current_minute % 30 == 0) OR (current_hour >=8 AND current_hour <=22)

后面直接拼接你原来的告警搜索语句即可，仅需维护单个告警任务，无冗余配置。

方案2：逻辑封装+多调度任务 #

将告警的所有核心逻辑（搜索语句、触发阈值、字段处理规则）封装为Splunk宏，再新建两个极简的调度搜索任务，分别配置两个对应的cron表达式，任务逻辑仅调用你封装的宏即可。后续调整告警逻辑时仅需要修改宏定义，不需要修改两个调度任务，无重复维护成本。

内容的提问来源于stack exchange，提问作者Marco Schmitz