Splunk 理解与纪元时间的差异并添加分钟

Question

我已经能够阅读博客并了解一些计算是如何进行的，但需要进一步说明。

案例：Ingestion_Time_Logged将在第 7 分钟或第 37 分钟输出 CreationTime 事件，而不管实际 CreationTime 事件发生的时间。示例：

如果 CreationTime 事件发生在“2021-03-06 07:38:59.000”，那么 Ingestion_Time_Logged 将是最接近的第 7 分钟或第 37 分钟。在这种情况下，Ingestion_Time_Logged 将是 “2021-03-06 08:07:59.000”。该代码工作正常。我只是想了解它是如何计算的。

目前我的理解：

% 是模运算符，它是一种确定除法运算余数的方法。模运算 returns 整数余数

而不是返回除法的结果

latestComposed_min%30 会将分钟数除以 30 并生成提醒。我用它来查找分钟是在 0 - 7 还是 30 - 37 之间。它与下面相同，但更容易和高效。

if(latestComposed_min < 7 或 (latestComposed_min>30 AND latestComposed_min < 37))

排除37和7保持原样，因为它们已经可以了，如果我们不排除它们，它们将增加37分钟。由于两者都不是比较并且应该在它们之间使用否则结果将始终为真（这是错误的）

我纠结的部分：

| eval Ingestion_Time_Logged=strftime(case(latestCreated_min%30 < 7, CreationTime_epoch-CreationTime_epoch%1800+420+latestCreated_sec, latestCreated_min!=37 AND latestCreated_min!=7, CreationTime_epoch-CreationTime_epoch%1800+2220+latestCreated_sec,1=1,CreationTime_epoch),"%Y-%m-%d %H:%M:%S.%6N")

完整代码：

|制作结果

| eval CreationTime="2021-03-06 07:38:59.000"

| eval CreationTime_epoch=strptime(CreationTime, "%Y-%m-%d %H:%M:%S.%6N")

| eval latestCreated_hour=tonumber(strftime(CreationTime_epoch, "%H"))

| eval latestCreated_min=tonumber(strftime(CreationTime_epoch, "%M"))

| eval latestCreated_sec=round(CreationTime_epoch%60,6)

| eval Ingestion_Time_Logged=strftime(case(latestCreated_min%30 < 7, CreationTime_epoch-CreationTime_epoch%1800+420+latestCreated_sec, latestCreated_min!= 37 AND latestCreated_min!=7, CreationTime_epoch-CreationTime_epoch%1800+2220+latestCreated_sec,1=1,CreationTime_epoch),"%Y-%m -%d %H:%M:%S.%6N")

| table Ingestion_Time_Logged、创作时间、CreationTime_epoch、latestCreated_hour、latestCreated_min

Answer 1

让我们分解一下

在这里，我们将 Ingestion_Time_logged 字段的值设置为 strftime 函数的结果。也就是说，我们正在将纪元时间转换为字符串。

| eval Ingestion_Time_Logged=strftime(

要转换的纪元由 case 语句确定。

case(

如果创建的分钟（示例中的 38）是 0-6 或 30-36

latestCreated_min%30 < 7,

然后向下舍入。 %1800 与上面的 %30 相同，只是以秒而不是分钟为单位。从纪元时间中减去它会将纪元时间移动到小时的顶部或底部。 420 在 7 分钟内添加，然后我们在几秒钟内添加。

CreationTime_epoch-CreationTime_epoch%1800+420+latestCreated_sec,

如果创建的分钟既不是 7 也不是 37（我们的例子）

latestCreated_min!=37 AND latestCreated_min!=7,

然后和上面一样，只是用37分钟，把时间提前到下一个:07或:37。

CreationTime_epoch-CreationTime_epoch%1800+2220+latestCreated_sec,

这是默认（包罗万象）的情况，它按原样使用 CreationTime_epoch 字段。

1=1,CreationTime_epoch),

这就是时间戳字符串的格式。

"%Y-%m-%d %H:%M:%S.%6N")

Splunk 理解与纪元时间的差异并添加分钟

Splunk Understanding Difference with epoch time and adding min

case

epoch

splunk