根据字段的平均值设置 Splunk 警报答案

【问题标题】：Set up Splunk alert based on average of a field根据字段的平均值设置 Splunk 警报
【发布时间】：2018-04-11 15:22:40
【问题描述】：

我是 Splunk 的新手，如果我的问题过于幼稚，请原谅我。如果字段的平均值高于阈值，我想设置 Splunk 警报。我的搜索如下：

sourcetype="somesourcetype" search phase | stats avg(f1) as Average

如果我使用

sourcetype="somesourcetype" search phase | timechart avg(f1) as Average span=1h

我可以看到表格列出了字段 f1 的平均值。但是对于stats avg(f1)，我在统计面板下没有得到任何信息，如果 f1 的平均值高于 100 毫秒，我不确定如何设置警报。

【问题讨论】：

【解决方案1】：

要在某个阈值触发警报，请在查询中包含阈值，然后在结果数不为零时触发警报。

sourcetype="somesourcetype" search phase | stats avg(f1) as Average | where Average > 100

【讨论】：

谢谢。我认为现在的问题是该字段包含数值和“ms”。所以看起来在一个事件中我有 f1=50ms，而在另一个事件中我有 f1=120ms。计算平均值时如何修改查询以删除此“毫秒”？
有几种方法可以做到这一点，但也许最简单的是convert。试试... | convert num(f1) | stats ...。