条形图值

Question

某一应用正在产生与以下事件格式性能日志文件：

日期时间的sessionid的requestId的userid invocationTime类型 invocationContext

例如：

2016-07-22T23：12：50.223 000025b98d67ed Jqpmkt1_ZVMpfmwpPeCKQIs ABCD1234 28 HTTP/mytool/samplecontext

我想绘制给定invocationContext的条形图。条形图应该具有不同条形的条形高度和调用时间桶的点击次数。例如：我想回答以下问题：

• 过去4小时内/ mytool/samplecontext的点击次数在0-1000毫秒内具有invocationTime。
• 最近4小时内/ mytool/samplecontext的点击数在1001-2000毫秒内具有invocationTime。

依此类推。请建议如何实现这一点。我试图使用时间表，我可以根据特定字段获取图表，但我无法根据字段值将事件分组到不同的桶中。

Answer 1

有2种方法我已经在过去

1. Rangemap
   https://docs.splunk.com/Documentation/Splunk/6.5.0/SearchReference/Rangemap

2. 四舍五入做到了这一点（我发现它呈现更好）
   搜索... | eval bin = round（invocationTime/1000,0）|图表通过bin invocationContext |进行计数使连续bin