https://community.splunk.com/t5/Splunk-Search/join%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%8B%E3%81%A3%E3%81%9F%E7%B5%90%E6%9E%9C%E3%82%92%E5%90%AB%E3%82%81%E3%81%A6%E8%A1%A8%E7%A4%BA%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95%E3%81%AF%E3%81%AA%E3%81%84%E3%81%A7%E3%81%97%E3%82%87%E3%81%86%E3%81%8B/m-p/123019#M33208 <P>先週と今週の結果を比較するサーチを実行したいと考えています。<BR /> 下記の例では曜日をキーにjoinして比較していますが、週の半ば（例えば水曜日）にサーチを実行すると水曜日までのグラフしか表示されません。<BR /> 先週分は、日曜日から土曜日までの１週間分を表示し、今週分はサーチを実行した曜日までの結果を表示する方法がありましたらご教示ください。</P> <P>index=_internal earliest=@w0 source=<EM>metric</EM> group=per_index_thruput series=_audit |timechart span=1d sum(ev) as 今週 values(date_wday) as wday |join wday [search index=_internal earliest=-1w@w0 latest=@w0 source=<EM>metric</EM> group=per_index_thruput series=_audit |timechart span=1d values(date_wday) as wday sum(ev) as 先週|fields - _time] |fields - wday</P> <P>joinでは実現出来ない場合、他の方法をアドバイスいただけると助かります。</P> Mon, 28 Sep 2020 16:20:03 GMT kaoriaraki 2020-09-28T16:20:03Z https://community.splunk.com/t5/Splunk-Search/join%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%8B%E3%81%A3%E3%81%9F%E7%B5%90%E6%9E%9C%E3%82%92%E5%90%AB%E3%82%81%E3%81%A6%E8%A1%A8%E7%A4%BA%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95%E3%81%AF%E3%81%AA%E3%81%84%E3%81%A7%E3%81%97%E3%82%87%E3%81%86%E3%81%8B/m-p/123019#M33208 <P>先週と今週の結果を比較するサーチを実行したいと考えています。<BR /> 下記の例では曜日をキーにjoinして比較していますが、週の半ば（例えば水曜日）にサーチを実行すると水曜日までのグラフしか表示されません。<BR /> 先週分は、日曜日から土曜日までの１週間分を表示し、今週分はサーチを実行した曜日までの結果を表示する方法がありましたらご教示ください。</P> <P>index=_internal earliest=@w0 source=<EM>metric</EM> group=per_index_thruput series=_audit |timechart span=1d sum(ev) as 今週 values(date_wday) as wday |join wday [search index=_internal earliest=-1w@w0 latest=@w0 source=<EM>metric</EM> group=per_index_thruput series=_audit |timechart span=1d values(date_wday) as wday sum(ev) as 先週|fields - _time] |fields - wday</P> <P>joinでは実現出来ない場合、他の方法をアドバイスいただけると助かります。</P> Mon, 28 Sep 2020 16:20:03 GMT https://community.splunk.com/t5/Splunk-Search/join%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%8B%E3%81%A3%E3%81%9F%E7%B5%90%E6%9E%9C%E3%82%92%E5%90%AB%E3%82%81%E3%81%A6%E8%A1%A8%E7%A4%BA%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95%E3%81%AF%E3%81%AA%E3%81%84%E3%81%A7%E3%81%97%E3%82%87%E3%81%86%E3%81%8B/m-p/123019#M33208 kaoriaraki 2020-09-28T16:20:03Z https://community.splunk.com/t5/Splunk-Search/join%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%8B%E3%81%A3%E3%81%9F%E7%B5%90%E6%9E%9C%E3%82%92%E5%90%AB%E3%82%81%E3%81%A6%E8%A1%A8%E7%A4%BA%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95%E3%81%AF%E3%81%AA%E3%81%84%E3%81%A7%E3%81%97%E3%82%87%E3%81%86%E3%81%8B/m-p/123020#M33209 <P>joinを使って比較する方法はわかりませんでしたが、appendcolsを使って曜日毎に比較することが出来ました。</P> <P>index=_internal earliest=@w0 latest=@w0+7d source=<EM>metric</EM> group=per_index_thruput series=_audit |timechart span=1d sum(ev) as thisWeek values(date_wday) as wday |appendcols [search index=_internal earliest=-1w@w0 latest=@w0 source=<EM>metric</EM> group=per_index_thruput series=_audit |timechart span=1d values(date_wday) as wday sum(ev) as lastWeek |fields - _time] |chart list(_time) as _time list(thisWeek) as 今週 list(lastWeek) as 先週 by wday |sort _time|fields - wday</P> Mon, 28 Sep 2020 16:20:08 GMT https://community.splunk.com/t5/Splunk-Search/join%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%8B%E3%81%A3%E3%81%9F%E7%B5%90%E6%9E%9C%E3%82%92%E5%90%AB%E3%82%81%E3%81%A6%E8%A1%A8%E7%A4%BA%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95%E3%81%AF%E3%81%AA%E3%81%84%E3%81%A7%E3%81%97%E3%82%87%E3%81%86%E3%81%8B/m-p/123020#M33209 kaoriaraki 2020-09-28T16:20:08Z