在 Splunk 查询中对“最早”使用亚秒精度

Question

我有一个 Splunk 搜索字符串。 如果我添加earliest=10/05/2020:23:59:58 ，搜索字符串仍然有效。 但是，如果我将其更改为 earliest=10/05/2020:23:59:58: 01 ，我会收到一条错误消息，指出时间项的无效值“10/05/2020:23:59:58:01” '最早' . 这是否意味着 Splunk最早的参数精度仅次于第二？ 我在他们的文件中找不到答案。

谢谢！

Answer 1

是的， earliest的精度仅限于“标准” Unix 纪元时间（即自 Unix 诞生以来经过的秒数（任意设置为 1970 年 1 月 1 日 00:00:01（或有时，1969 年 12 月 31 日 23:59） :59))) 因为_time字段包含整数seconds 。

Splunk 知道如何以比秒数更精确的方式转换看到的时间戳，但这并不意味着_time本身就拥有它们。

_time ，因此，任何引用它的东西（比如earliest ）都不能理解亚秒级精度。 对于这一点，你需要有一个包含在你的事件另一个领域。

Answer 2

对于毫秒搜索时间，包括 timeformat=%m/%d/%Y:%H:%M:%S:%3N 以及您的 earliest=10/05/2020:23:59:58:01。