splunk - 如何计算两个事件之间的持续时间 Splunk

Question

我需要找到两个事件之间的持续时间。我在 splunk 上查看了解决方案和 Stack Overflow，但仍然无法得到计算结果。

sentToSave 和 SaveDoc 都已格式化时间戳，这就是我使用 case 函数的原因。我可以看到字段填充了时间戳，但我无法获取 Duration 字段来填充持续时间 - 它根本不填充。

需要一些有关如何获取持续时间的帮助 - 有什么建议吗？这是我的搜索:

(index=souce1 dept=qvc event="sentToSave") OR (index=source dept=save area=saveDoc)
| eval saveDocTime=case(area="saveDoc", TimeStamp), sentToSaveTime=case(event="sentToSave", TimeStamp)
| eval Duration=saveDocTime-sentToSaveTime
| stats values(Duration) as Duration earliest(sentToSaveTime) as sentToSaveTime latest(saveDocTime) as saveDocTime  by emailRequest
| where isNotNull(sentToSaveTime) AND isNotNull(saveDocTime)

Answer 1

时间戳必须采用整数(纪元)形式才能进行比较。使用strptime function将它们从字符串转换为整数，然后您可以减去它们。

正如 @Anant Naugai 所说，如果您提供一些示例事件，那么我们可以更具体。