stats 命令和 eventstats 命令有什么区别？

What is the difference between stats and eventstats commands?

题目类型: 技术面试题

这是一道技术面试题，常见于澳洲IT公司面试中。

难度: medium

分类: Splunk 搜索命令, 数据聚合

标签: splunk, stats, eventstats, aggregation, search

参考答案摘要

TL;DR stats 输出的是聚合后的统计结果； eventstats 会把聚合结果作为新字段“内联”回每条事件中（仅对相关事件生效），因此保留原始事件粒度。 stats 对搜索结果做聚合统计，并生成汇总结果。 通常会“丢失”原始逐事件的结构（输出变成聚合后的表）。 eventstats 计算方式类似 stats ，但会把统计结果写回到每条事件中。 保留原始事件数据，同时附带聚合指标字段。

本题提供 STAR 原则详细解答和技术解析，登录匠人学院学习中心即可查看完整答案。