splunk

Splunkコマンド 「accum」でフィールドの累計値を算出

投稿日:

accumコマンドを使うと、数値フィールドの累計値を算出できます。
例えば、日付順にデータを累計したい場合に使います。

サンプルコード

| makeresults | eval date = now() ,count=1
| append [| makeresults | eval date =relative_time(now(),"+1day") ,count=5]
| append [| makeresults | eval date =relative_time(now(),"+2day") ,count=2]
| append [| makeresults | eval date =relative_time(now(),"+3day") ,count=4]
| eval dateutc = strftime(date,"%Y-%m-%d")
| fields - _time date
| fields  dateutc count
| accum count as totalcount

結果

元データ

makeresultsコマンドで生成しています。

| makeresults | eval date = now() ,count=1
| append [| makeresults | eval date =relative_time(now(),"+1day") ,count=5]
| append [| makeresults | eval date =relative_time(now(),"+2day") ,count=2]
| append [| makeresults | eval date =relative_time(now(),"+3day") ,count=4]

結果

累計

accumコマンドで累計します。
公式サイトを確認してもオプションは特にないので、とてもシンプルなコマンドですね。

| accum count as totalcount

結果

まとめ

私は主に日付別に累計で使ってます。(グラフ表示時に自動で累計してくれたりしますが、自力で計算することも多い)







-splunk
-

Copyright© Tech Log , 2020 All Rights Reserved Powered by STINGER.