如何调整Splunk查询让timechart表按TOTAL行的统计值降序排列？

你可以通过提前统计错误类型总计数并排序的方式，指定timechart的列生成顺序，修改后的完整查询如下：

index=xxxxx "searchTerm"
| rex "someterm(?<errortype>.*)" 
| eventstats count as total_count by errortype
| sort -total_count errortype
| timechart count by errortype span="1w" 
| addcoltotals labelfield=_time
| fillnull value=TOTAL
| fields - abc,def

改动说明 #

• 新增eventstats count as total_count by errortype：预计算每个错误类型的全局总发生次数，关联到对应类别的所有事件上
• 新增sort -total_count errortype：按错误类型的总计数降序排列事件，timechart命令会默认按照errortype字段的首次出现顺序生成列，替代默认的字母排序规则
• 修正原查询的3处问题：
  • 删除了查询开头多余的右括号
  • 错误写法fillnullvalue=TOTAL修正为标准语法fillnull value=TOTAL
  • 拼写错误的fileds修正为fields，同时调整addcoltotals的labelfield参数为_time，让"TOTAL"标签直接显示在时间列最后一行，和你给出的示例格式完全匹配

修改后生成的表格列会直接按照TOTAL行的数值从高到低排列，符合你需要的265、223、158、117、86的排序要求。

内容的提问来源于stack exchange，提问作者nsingh