Splunk 理解与纪元时间的差异并添加 min

如何解决Splunk 理解与纪元时间的差异并添加 min

我已经能够阅读博客并在一定程度上了解计算是如何进行的，但需要进一步澄清。

Case：Ingestion_Time_Logged 将在第 7 分钟或第 37 分钟输出 CreationTime 事件，而不管实际 CreationTime 事件发生的时间。示例：

如果 CreationTime 事件发生在“2021-03-06 07:38:59.000”，那么 Ingestion_Time_Logged 将是最接近的第 7 分钟或第 37 分钟。在这种情况下，Ingestion_Time_Logged 将是 “2021-03-06 08:07:59.000”。该代码工作正常。我只是想了解它是如何计算它的。

目前我的理解：

% 是模运算符，它是一种确定除法运算余数的方法。取模运算不返回除法结果，而是返回整数余数。

latestComposed_min%30 将分钟除以 30 并产生提醒。我用它来确定分钟是在 0 - 7 还是 30 - 37 之间。它与下面相同，但更容易和高效。

if(latestComposed_min 30 AND latestComposed_min

排除 37 和 7 以保持它们原样，因为它们已经可以了，如果我们不排除它们，它们将被添加 37 分钟。由于两者都不是比较并且应该在它们之间使用，否则结果将始终为真（这是错误的）

我正在努力解决的问题：

| eval Ingestion_Time_Logged=strftime(case(latestCreated_min%30 < 7,CreationTime_epoch-CreationTime_epoch%1800+420+latestCreated_sec,latestCreated_min!=37 AND latestCreated_min!=7,CreationTime_epoch-CreationTime_epoch%1800+2220+latestCreated_sec,1=1,CreationTime_epoch),"%Y-%m-%d %H:%M:%S.%6N")

完整代码：

|取得成果

| eval CreationTime="2021-03-06 07:38:59.000"

| eval CreationTime_epoch=strptime(CreationTime,"%Y-%m-%d %H:%M:%S.%6N")

| eval latestCreated_hour=tonumber(strftime(CreationTime_epoch,"%H"))

| eval latestCreated_min=tonumber(strftime(CreationTime_epoch,"%M"))

| eval latestCreated_sec=round(CreationTime_epoch%60,6)

| eval Ingestion_Time_Logged=strftime(case(latestCreated_min%30

|表 Ingestion_Time_Logged、CreationTime、CreationTime_epoch、latestCreated_hour、latestCreated_min

解决方法

让我们分解一下

在这里，我们将 Ingestion_Time_logged 字段的值设置为 strftime 函数的结果。也就是说，我们正在将纪元时间转换为字符串。

| eval Ingestion_Time_Logged=strftime(

要转换的纪元由 case 语句决定。

case(

如果创建的分钟（示例中为 38）是 0-6 或 30-36

latestCreated_min%30 < 7,

然后向下舍入。 %1800 与上面的 %30 相同，只是以秒而不是分钟为单位。从纪元时间中减去该值会将纪元时间移至小时的顶部或底部。 420 在 7 分钟内添加，然后我们在几秒钟内添加。

CreationTime_epoch-CreationTime_epoch%1800+420+latestCreated_sec,

如果创建的分钟既不是 7 也不是 37（我们的情况）

latestCreated_min!=37 AND latestCreated_min!=7,

然后我们和上面一样，除了使用 37 分钟，将时间提前到下一个 :07 或 :37。

CreationTime_epoch-CreationTime_epoch%1800+2220+latestCreated_sec,

这是默认（catch-all）情况，它按原样使用 CreationTime_epoch 字段。

1=1,CreationTime_epoch),

这是时间戳字符串的格式。

"%Y-%m-%d %H:%M:%S.%6N")