Что означают поля итогового индекса 'psrsvd'? - PullRequest
Новая
       4

Что означают поля итогового индекса 'psrsvd'?

2 голосов
/ 29 ноября 2011

Сводная индексация в Splunk дает множество полей psrsvd_ *. За что они стоят? Я предполагаю, что это аббревиатуры или сокращения. Вот несколько примеров при усреднении количества байтов, возвращаемых на IP-адрес клиента, как указано в apache (т. Е. sistats avg(bytes) by clientip):

  • psrsvd_ct_bytes
  • psrsvd_gc
  • psrsvd_nc_bytes
  • psrsvd_sm_bytes
  • psrsvd_ss_bytes
  • psrsvd_v
  • psrsvd_vt_bytes

Ответы [ 2 ]

4 голосов
/ 29 ноября 2011

Эти поля являются артефактом использования si * версии команд отчетов. Поля специально названы так, чтобы при извлечении из сводного индекса команда создания отчетов (диаграмма / временная диаграмма / статистика) могла правильно декодировать информацию.

psrsvd означает «зарезервированные предстаты»

Общий шаблон - psrsvd_ [тип] _ [имя поля], хотя некоторые типы не ограничиваются полем 

ct = count
gc = group count (the count for a stats "grouping", not scoped to a field)
nc = numerical count (number of numerical values)
sm = sum
ss = sum of squares
v = version (not scoped to a field)
vt = value type (contains the precision of this field)

Так, например, счетчик для поля с именем 'foobar' сохраняется как psrsvd_ct_foobar.

0 голосов
/ 28 марта 2018

Вот обновленный список, который теперь выделен в Splunk docs :

  • ct = count
  • gc = количество групп (количество для статистики "группировка", не ограниченное одним полем.
  • nc = числовой счет (количество числовых значений)
  • nn = минимальное числовое значение
  • nx = максимальное числовое значение
  • rd = rdigest значений (значения, сколько раз они появляются)
  • см = сумма
  • sn = минимальное лексикографическое значение
  • сс = сумма квадратов
  • sx = максимальное лексикографическое значение
  • v = версия (не ограничена одним полем)
  • vm = карта значений (все различные значения для поля и количество раз их появления)
  • vt = тип значения (содержит точность связанного поля)
...