如何拆分同一行中的两条Splunk日志并提取为独立事件？

碰到这种两条独立日志挤在同一行的情况确实头疼——Splunk默认按行分割事件，自然识别不出第二条日志。这里给你两种实用方案，分别适合快速验证和长期持久化处理：

方法一：搜索时临时拆分（快速见效） #

不想改动系统配置的话，直接用搜索命令就能把两条日志拆成独立事件：

# 先替换成你的基础搜索语句
index=your_index sourcetype=your_sourcetype
| rex mode=sed "s/(?<=\,\s)(?=\d{2}:\d{2}:\d{2}\.\d{3})/\n/g" 
| makemv delim="\n" _raw 
| mvexpand _raw

命令说明： #

• rex mode=sed：用sed替换逻辑，精准定位到第二条日志的时间戳开头（比如02:09:50.826），在它前面插入换行符，把一行拆成两行。
• makemv delim="\n" _raw：把拆分后的多行内容转换成多值字段。
• mvexpand _raw：将多值字段展开成独立事件，这样每条日志就会成为单独的条目，后续字段提取就能正常识别第二条日志了。

方法二：配置Splunk持久化拆分（一劳永逸） #

如果这类合并日志是常态，建议修改Splunk配置，让数据采集时就自动拆分事件：

1. 修改props.conf #

在索引器或Heavy Forwarder的$SPLUNK_HOME/etc/system/local/（或对应应用目录）下的props.conf中添加：

[你的数据源sourcetype名称]
SHOULD_LINEMERGE = false
LINE_BREAKER = ([\r\n]+)?(?=\d{2}:\d{2}:\d{2}\.\d{3}\s+\d+\s+\[)

2. 配置解释： #

• SHOULD_LINEMERGE = false：禁用Splunk默认的多行合并逻辑。
• LINE_BREAKER：定义事件分割规则——匹配每条日志的起始标识（时间戳+进程ID+线程名，比如02:09:50.296 64785434 [http-bio-8085-exec-156]），把这个位置作为新事件的开头，自动拆分同一行内的多条日志。

3. 生效配置 #

修改后重启Splunk服务，或者通过splunk reload deploy-server（使用部署服务器时）让配置生效，之后新采集的日志就会自动拆分成独立事件了。

小提示 #

如果日志的时间格式或开头标识有变化，只需调整LINE_BREAKER里的正则表达式，确保能精准匹配每条日志的起始位置即可。

内容的提问来源于stack exchange，提问作者ravi