performance - 如何在 Splunk 中有效地对长时间跨度进行采样？

Question

我想在很长一段时间内(例如，几个月或几年)运行 Splunk 查询，但我正在搜索足够多的数据，我只能搜索数小时或数天的数据。

但是，对于我想在 Splunk 中回答的问题，我会对统一或统计上无偏差的数据样本感到满意。换句话说，与任何 N 个连续事件相比，我更希望查询返回分布在过去一个月内的 N 个事件。

我考虑的一种方法是只搜索带有 date_minute=0 的事件以便快速过滤1/60的事件，这有帮助但不是很灵活。

是否有更好的方法在 Splunk 中有效地采样事件？

Answer 1

如果您尝试运行搜索并且对 Splunk 的性能不满意，那么我建议您使用 report accelerate它或 data model accelerate it .或者您可以使用 tscollect 创建您自己的 tsidx 文件(由报告和数据模型加速自动创建) ，然后运行 ​​ tstats 超过它。