splunk - 如何对数字变量进行直方图绘制？

Question

我想生成一个数字变量 X 的简单直方图。

我找不到一个明确的例子。

由于直方图有意义比美观更重要，我宁愿指定 bin 大小而不是让工具决定。请参阅:Data Scientists: STOP Randomly Binning Histograms

Answer 1

直方图是了解数据分布的主要工具。因此，Splunk 默认情况下会自动为原始事件查询创建直方图。因此按理说，Splunk 应该为您提供工具来创建您自己的从查询结果中提取的变量的直方图。

这可能是很难找到的原因，因为基本答案很简单:

(your query) |rename (your value) as X
|chart count by X span=1.0

选择“可视化”并将图表类型设置为“柱形图”以获得传统的垂直条柱状图。

docs 中有一个这样的例子被描述为“按持续时间绘制交易数量图表”。

span 值用于控制数据的装箱。调整此值以优化您的可视化效果。

警告:省略 span 是合法的，但如果您这样做，X 轴将被非线性压缩以消除空箱——如果您这样做可能会导致混淆不注意观察箱标签(假设它们甚至被绘制)。

---

如果您有长尾分布，将结果分区以关注感兴趣的范围可能会很有用。这可以使用 where 来完成:

(your query) |rename (your value) as X
|where X>=0 and X<=100
|chart count by X span=1.0

或者，使用夹紧 function保留超出范围的计数:

(your query) |rename (your value) as X
|eval X=max(0,min(X,100))
|chart count by X span=1.0

另一种处理长尾的方法是使用对数 span 模式——span 的特殊值包括 log2 和 log10(documented 作为log-span)。

---

如果您想要两者 一个非默认的span 和一个压缩的X 轴，那么可能有一个参数——但是文档是含糊不清的。

我发现这种两阶段方法实现了这一点:

(your query) |rename (your value) as X
|bin X span=10.0 as X
|chart count by X

同样，如果您不仔细注意标签，这种类型的图表可能会产生危险的误导。