Splunk将Epoch毫秒转换为人类可读日期格式问题

Question

我有以下Splunk查询，它试图将Epoch捕获的开始和结束时间格式化为人类可读格式，但似乎splunk在此处提取错误值...

index=wd_test source=*-1.0.0.log | fieldformat c_start=strftime(start,"%m/%d/%Y %H:%M:%S") | convert timeformat="%m/%d/%Y %H:%M:%S" ctime(end) as c_end | eval duration=(end-start)/1000|table start, c_start, end, c_end , duration, sla

我在执行上述查询

时获得了以下结果

start   c_start end c_end   duration    sla

1 1430167363808 12/31/9999 23:59:59 1430167364085 12/31/9999 23:59:59 0.277000 2 2 1430167236667 12/31/9999 23:59:59 1430167236856 12/31/9999 23:59:59 0.189000 2

有人可以帮我解决这个问题吗？我在这里尝试了两种不同的方法，但它们都没有工作。

使用以下在线Epoch格式化工具，我能够成功转换，但不能使用Splunk ....

http://www.freeformatter.com/epoch-timestamp-to-date-converter.html

Answer 1

我试过在这个问题上进行了调查，看来Splunk不支持13位数EPOCH时间Splunk API仅支持10位数字，EPOCH支持。由于我无法使用13位数，当我将13位数改为10位数时，它对我来说效果很好。

Answer 2

index=wd_test source=*-1.0.0.log | fieldformat c_start=strftime(start,"%m/%d/%Y %H:%M:%S") | convert timeformat="%m/%d/%Y %H:%M:%S" ctime(end) as c_end | eval duration=***round***(end-start)/1000|table start, c_start, end, c_end , duration, sla

在***round***(end-start)/1000

之前添加回合

纪元时间基于秒，而不是毫秒