根据时间表 table 中一行的值按降序对 splunk 时间表 table 进行排序

Question

这是我的 splunk 查询

index=xxxxx "searchTerm")|rex "someterm(?<errortype>)" | timechart count by
errortype span ="1w" | addcoltotals labelfield=total | fillnullvalue=TOTAL|fileds - abc,def,total

我将一周内的错误总数添加到另一个名为 TOTAL 的列中，如 table below.Here 中所述 A...B... 是按字母顺序排列的错误名称，这些值是当天发生的该错误类型

的错误总数

_time       A....   A....   C....   D....   E....

2021-08-25  11      22      05      23      89  
2021-08-26  15      45      45      13      39  
2021-08-27  34      05      55      33      85
2021-08-28  56      08      65      53      09
2021-08-29  01      06      95      36      01
TOTAL       117     86      265     158     223

我希望这些按 TOTAL 行中的值降序排列，例如

265 223 158 117 86

但我总是按照错误类型的字母顺序得到这个，比如

A... A... B...

我如何改进此查询以获得我想要的排序结果？

Answer 1

为此，请转置结果，使 TOTAL 字段成为列而不是行。然后对 TOTAL 进行排序并将结果转置回去。这是一个运行-anywhere 示例：

index=_internal 
| timechart span="5m" count by component  
| addcoltotals labelfield=_time label="TOTAL"
| transpose header_field="_time" 0
| sort - TOTAL
| transpose header_field="column" 0
| rename column as _time

根据时间表 table 中一行的值按降序对 splunk 时间表 table 进行排序

Sorting the splunk timechart table with the values in descending order based on a row's values in the timechart table

splunk

splunk-query

splunk-dashboard