使用 mstats 过滤掉值答案

【问题标题】：Filter out values using mstats使用 mstats 过滤掉值
【发布时间】：2020-08-13 13:10:16
【问题描述】：

我正在尝试过滤掉我的指标中的所有负值，我想知道 mstats 调用本身中的过滤是否可能，在下面的查询中添加类似 AND metrics_name:data.value > 0 的内容？

| mstats avg(_value) WHERE metric_name="data.value" AND index="my_metrics" BY data.team

目前，我正在使用msearch，然后过滤掉事件，所以我的查询类似于下面的查询，但它太慢了，因为我正在提取所有事件：

| msearch index=my_metrics
| fields "metrics_name:data.value"
| where mvcount(mvfilter(tonumber(metrics_name:data.value') > 0)) >= 1 OR isnull('metrics_name:data.value')

【问题讨论】：

标签： splunk

【解决方案1】：

很遗憾，您无法使用 Metrics 过滤或分组 _value 字段。

您可以通过在过滤器中包含 metric_name 来加快使用 msearch 的搜索速度。

| msearch index=my_metrics filter="metric_name=data.value"

请注意，使用 msearch 会返回度量值的样本，而不是全部，除非您指定 target_per_timeseries=0

参考https://docs.splunk.com/Documentation/Splunk/latest/SearchReference/Mstats

【讨论】：