Splunk Query Count of Count

Question

我想知道查询计数的计数。
查询是

sourcetype="cargo_dc_shipping_log" OR sourcetype="cargo_dc_deliver_log" | stats count by X_REQUEST_ID | sort - count

所以你可以看到有多个值为 3 的行。

提前致谢

Answer 1

在这种特殊情况下，您的目标是获取此 X_REQUEST_ID 字段的计数摘要，对吗？

让我们来看看您的初始查询:

sourcetype="cargo_dc_shipping_log" OR sourcetype="cargo_dc_deliver_log" | stats count by X_REQUEST_ID | sort - count

我们在这里缺少的是如何根据您的聚合进行聚合。然后，我们可以排序:

sourcetype="cargo_dc_shipping_log" OR sourcetype="cargo_dc_deliver_log" | stats count as req_count by X_REQUEST_ID | stats count by req_count | sort - count

如果这对你有用，请告诉我。