Question

我正在尝试在Splunk中找到无序事件。这个例子类似于我们系统中发生的事情：

...
Time=15:40.09 Id=11 ScenarioId=7 Event=BlockChange Block=A-A
Time=15:40.11 Id=12 ScenarioId=7 Event=BlockChangeConfirmed Block=1-7
Time=15:41.00 Id=13 ScenarioId=2 Event=BlockChange Block=E-6
Time=15:41.01 Id=14 ScenarioId=7 Event=Restart
Time=15:41.05 Id=15 ScenarioId=2 Event=BlockChangeConfirmed Block=B-2
Time=15:41.14 Id=16 ScenarioId=3 Event=BlockChangeConfirmed Block=2-4
Time=15:41.15 Id=17 ScenarioId=2 Event=Restart
Time=15:41.16 Id=18 ScenarioId=3 Event=BlockChange Block=E-1
Time=15:43.24 Id=19 ScenarioId=8 Event=BlockChange Block=C-7
Time=15:43.27 Id=20 ScenarioId=8 Event=BlockChangeConfirmed Block=D-2
Time=15:43.35 Id=21 ScenarioId=8 Event=BlockChange Block=D-2
Time=15:43.40 Id=22 ScenarioId=8 Event=BlockChangeConfirmed Block=4-A
...

在特定场景发生BlockChange事件后，需要在分配新块之前确认。偶尔会在BlockChange事件之前收到BlockChangeConfirmed事件（参见Ids 16和18）。我正在尝试编写一个可以识别这些无序事件的查询。

我的方法是仅考虑Block *事件，将它们分组为ScenarioId的事务，从BlockChangeConfirmed开始，在10秒的时间内以BlockChange结束。因此，从逻辑角度来看，它会将上述数据转换为：

ScenarioId=3: Time=15:41.14 Id=16 Event=BlockChangeConfirmed Block=2-4
              Time=15:41.16 Id=18 Event=BlockChange Block=E-1
ScenarioId=8: Time=15:43.27 Id=20 Event=BlockChangeConfirmed Block=D-2
              Time=15:43.35 Id=21 Event=BlockChange Block=D-2

这正确识别了Ids 16和18，但也错误地识别了20和21.所以我需要包含Block字段，因为它总是在相应的BlockChange和BlockChangeConfirmed事件之间发生变化。

我在Splunk表达这个问题时遇到了麻烦。根据我使用的查询，它会返回每个 BlockChangeConfirmed事件，或者它不会识别阻止字段何时更改。

这是我正在使用的基本查询：

index="foo" sourcetype="bar" Block AND (Event=BlockChange OR Event=BlockChangeConfirmed)
| streamstats latest(Block) AS last earliest(Block) AS first 
| transaction ScenarioId startswith="(Event=BlockChangeConfirmed)" endswith="(Event=BlockChange)" maxspan=10s

我尝试添加并更改条件：

| search first != last

| search eval(first != last)

| where first != last

endswith=eval(first != last)

没有成功。

如何获得我想要的结果？

Answer 1

对于这个特定的例子，我通过使用mvcount搜索块更改数超过1的位置来解决它：

index="foo" sourcetype="bar" Block AND (Event=BlockChange OR Event=BlockChangeConfirmed)
| streamstats earliest(Block) AS first 
| transaction ScenarioId startswith="(Event=BlockChangeConfirmed)" endswith="(Event=BlockChange)" maxspan=10s
| eval numberOfBlocks=mvcount(first)
| search numberOfBlocks > 1

查找特定字段已更改的事务

1 个答案: