Могу ли я использовать разделенную временную диаграмму без агрегатной функции?

Question

https://docs.splunk.com/Documentation/Splunk/8.0.2/SearchReference/Timechart Я пробовал несколько синтаксисов, но ни один не работает. все они требуют агрегатной функции. Моя цель - отобразить линейный график, представляющий значение поля события с течением времени. Очень просто, мне вообще не нужно ни max / min / sum / count. Мне нужно, чтобы ось X была промежутком времени (интервал времени, который я указала как интервал времени запроса), каждое событие будет точкой данных на этом графике, ось Y - это значение поля, которое я выбираю, например, fieldA, которое является полем двойного значения. как написать мой ответный запрос? поисковый запрос ... | поле временной диаграммы A? (вам не нужно использовать временную диаграмму, любая команда, которая может достичь моей цели, будет принята)

update: позвольте мне попытаться описать то, что я хотел, используя пример генерации данных: | подсчет результатов = 10 | streamstats count AS rowNumber, скажем, промежуток времени составляет последние 24 часа, при выполнении вышеупомянутого запроса в splunk он сгенерирует 10 записей данных с тем же полем _time, которое равно @now, и полем rowNumber со значениями от 1 до 10. хочу видеть визуализацию, ось x начинается с (@ now-24hours) до @now, и для большей части оси x нет точек данных, но в последнюю секунду (крайняя справа) я хочу увидеть 10 точек, их значения по оси Y составляют от 1 до 10.

Answer 1

| makeresults count=2
| streamstats count
| eval _time=if(count=1,relative_time(_time,"-1d"),_time)
| timechart span=160min count
| streamstats count
| timechart cont=f last(count)

https://docs.splunk.com/Documentation/Splunk/latest/SearchReference/Eventorderfunctions

попробуйте с помощью средства выбора времени all time

они уменьшили число от исходных результатов.

Зависит от того, как вы его используете.

Answer 2

Вам не нужно использовать статистическую функцию с timechart. Подойдет любая функция stats. См. https://docs.splunk.com/Documentation/Splunk/8.0.2/SearchReference/Timechart#Stats_function_options.

В зависимости от характера ваших данных и того, что вы хотите видеть на диаграмме, любой из timechart max(fieldA), timechart latest(fieldA), timechart earliest(fieldA) или timechart values(fieldA) может работать на вас.