如何从 splunk 日志中提取数值字段并生成最小值、最大值、平均值

Question

我在应用程序日志中有这些条目：API 调用耗时 2.340474 秒

如何提取响应时间值并生成最小值、最大值和平均值统计信息？

我试过这个，但我没有得到任何结果API 调用已接听 |雷克斯"打电话接听：（？*） 秒" |统计分钟（时间）

我认为字段的提取不适用于我的正则表达式。提取响应时间和生成统计信息的正确方法是什么？

Answer 1

您需要在 rex 命令中命名该字段：

rex "call took: (?<apitime>.*) seconds"

如果这仍然不起作用，请简化表达式，然后根据需要一点一点地增加复杂性。 你可以像这样开始：

rex "(?<apitime>w+) seconds"

Answer 2

怎么样

API call took | rex field=_raw "call took: (?<apitime>d+.d+) seconds" | stats min(apitime) as min_apitime, max(apitime) as max_apitime, avg(apitime) as avg_apitime