Splunk - 合并相关事件

Question

我有一个脚本可以将单个事件发送到Splunk，每个事件本质上都是一个关于HTTP请求的报告，无论是GET还是POST。该事件包含许多字段，但两个关键字段是StepName和Timing：

1. StepName将是HTTPRequest等的标题.PostLogin
2. 时间将是HttpRequest
所用毫秒的int值

我正在编写一份报告，显示过去15分钟内每个步骤的平均时间。然而，从最终用户的观点来看，一些步骤是一个过程的一部分，例如，

1. Step1 - GetLoginPage
2. Step2 - PostLoginPage
3. Step3 - ProcessUserDetails
4. Step4 - GetHomePage

在这种情况下，Step2和Step3将是最终用户的一个流程，因此我希望能够将这些报告为一步，如下所示：

---

GetLoginPage 50
PostLoginPage 100
ProcessUserDetails 250
GetHomePage 80

---

会变成

---

GetLoginPage 50
PostLoginPage 350
GetHomePage 80

---

我可以在StepName上使用替换，所以我有

---

GetLoginPage 50
PostLoginPage 100
PostLoginPage 250
GetHomePage 80

---

如何合并这些结果，以便汇总两个PostLoginPage步骤，然后给出三个单独步骤的平均时间段？

注意每个步骤都有一个名为TransactionGUID的字段，它将一组步骤关联起来进行相同的执行。

Answer 1

如果您在http://splunk-base.splunk.com/answers/上发布了问题，那么您将获得更多Splunk专业知识，我将尝试在那里回答您的问题。