Splunk - 按天统计搜索计数，占总天数的百分比

Question

我的用例是按天提供某个错误的计数（按某种模式搜索），并提供此类“错误”请求相对于请求总数的百分比（在没有错误模式的情况下搜索）每天处理。无法为其形成适当的查询。基本查询是 -

获取每天的总计数：

index=my_index | bucket _time span=day | stats count by _time

只获取每天的错误：

index=my_index "Error-Search-Pattern" | bucket _time span=day | stats count by _time

如何将这两个计数结合起来并排显示并显示错误：总百分比？

提前致谢。

Answer 1

试试这个

index=my_index 
| eval error=if(match(_raw,".*Error-Search-Pattern.*"), 1, 0) 
| bucket _time span=1d 
| stats count as total, count(eval(error==1)) as errored by _time