topic Re: いくつかのvalueを一つにまとめたい in Splunk Search

いくつかのvalueを一つにまとめたい

appleman — Tue, 02 Sep 2014 11:39:54 GMT

nameというフィールドに、同じappAという名前が、「app A」、「app a」、「App A」などのようにいくつかvalueの入力方法が異なってしまい、stats countした際に別のものとして認識されてしまいます。
eval case()とかで指定すると、他の正常に入ってきているデータが省かれてしまうので、
他にうまくまとめる方法はございますでしょうか。

Re: いくつかのvalueを一つにまとめたい

melonman — Tue, 02 Sep 2014 14:50:29 GMT

以下、一旦小文字に変換してから count してますが、どうでしょうか。

... | eval yourfield=lower(yourfield) | stats count by yourfield

Re: いくつかのvalueを一つにまとめたい

appleman — Wed, 03 Sep 2014 07:06:51 GMT

これだけだと、nameの中にあるスペースの有無や、日本語と英語で書かれているものを別のものと認識したままになってしまいます。。。。
（例：日本語でグーグルと入っているものと英語でGoogleと入っているものも名前は一緒なので1つのものとしてカウントさせたいです）