Splunk - продолжительность между двумя разными сообщениями по guid

Splunk:

{   [-] 
     guid:  ABC
     level:  warn   
     message:    Analytics Audit: analyticsLoaded   
     source:     client 
     timestamp:  2017-08-07T16:38:38+00:00   }


{   [-] 
     guid: BAC
     level:  warn   
     message:    Analytics Audit: doneWithAnalytics 
     source:     client 
     timestamp:  2017-08-07T16:38:38+00:00   }

Эти сообщения появляются для каждого гида. Я хотел бы узнать продолжительность между появлением первого сообщения «Analytics Audit: analyticsLoaded» и вторым сообщением «Analytics Audit: doneWithAnalytics» с помощью guid. И получите среднюю продолжительность для обоих сообщений, появляющихся после двух сообщений для гида.

В основном, получите продолжительность для каждого гида. Получите среднюю продолжительность.

Как я могу это сделать в splunk?


splunk
person Chris Scott    schedule 07.08.2017    source источник

Ответы (1)


arrow_upward
1
arrow_downward

Попробуй это

index=blah | transaction guid startswith="analyticsLoaded" endswith="doneWithAnalytics" | timechart avg(duration)

person skoelpin    schedule 08.08.2017