Splunk搜索：如何按作业ID分组重置统计而非全局重置生成作业执行时长报告

之前尝试的全局重置参数、初始检索逻辑失效的核心原因有两点：

• 全局stats聚合逻辑没有区分同一JobID的不同执行周期，会把跨多次启动的日志合并成单条统计结果，计算出的运行时长完全失真
• reset_before/reset_after/reset_on_change属于管道级的全局状态控制参数，一旦触发匹配条件就会清空所有分组的累计统计值，无法实现仅针对单个重启JobID的重置效果

核心思路是绕开全局reset参数，通过复合分组键切分单个JobID的不同执行周期：

1. 先从日志中标记出作业启动类事件、运行类事件的属性差异
2. 在每个JobID的独立分组内部统计启动事件的累计次数，每遇到一次启动事件就生成一个新的执行批次标识
3. 基于「JobID+执行批次号」的复合键做聚合统计，每个批次自然对应一次独立的作业执行，从逻辑上实现“遇到新启动事件就重置当前JobID历史统计”的效果，且完全不会影响其他JobID的统计逻辑

index=jobs 
(message="*Started*" OR message="*processing*")
| rex field=message "@(?<JobID>[^\(]+)"
# 标记是否为作业启动事件
| eval is_start_event = if(match(message, ".*Started.*"), 1, 0)
# 按JobID独立分组，累计当前作业的启动次数生成批次号
| streamstats sum(is_start_event) as exec_batch by JobID
# 生成独立执行批次的复合分组键
| eval exec_group_key = JobID . "_" . exec_batch
# 按复合键统计单次执行的起止时间
| stats earliest(_time) as start_time, latest(_time) as stop_time by exec_group_key, JobID
# 格式化时间、计算运行时长（单位：小时，保留2位小数）
| eval starttime = strftime(start_time, "%Y-%m-%d %H:%M")
| eval stoptime = strftime(stop_time, "%Y-%m-%d %H:%M")
| eval runtime = round((stop_time - start_time)/3600, 2)
| table JobID, starttime, stoptime, runtime

注意原始检索语句中存在两处容易导致异常的笔误：

• 最终table语句中将JobID误写为JobbID，会导致输出表中作业ID字段为空
• 未拆分执行批次的全量JobID聚合，会合并同一作业跨多次执行的日志，导致时长计算完全不符合预期

和之前尝试的全局reset方案相比，这套逻辑不存在跨分组的全局状态操作：

• 所有批次切分动作都在单个JobID的分组内部完成，新启动事件只会触发当前JobID生成本批次的独立分组，不会改动其他JobID的历史统计值
• 不需要依赖全局的状态重置参数，从分组逻辑层面从根本上满足需求，不会出现预期外的全量清空问题

内容的提问来源于stack exchange，提问作者TechZen07