サーチジョブ調査の入力カウントについて

[HiroshiSatoh]

サーチジョブ調査で表示される入力カウントは何をカウントしてるんでしょうか？カスタムコマンドを使ってサーチした際に１万件のデータに対して１５万件とカウントされました。何か情報があればお願いします。使ったカスタムコマンドは項目の値を変換するコマンドで、入力と出力件数は同じです。

[melonman · Accepted solution]

• 基本的に、cwlさんと同じ内容です。

以下、ご参考にいただければとおもいます。

http://docs.splunk.com/Documentation/Splunk/latest/Search/UsingtheSearchJobInspector

各項目によって count値が、件数の場合もありますし、データ量（Bytes等）や時間（Secounds)の場合もありますので、すこし注意が必要です。

[HiroshiSatoh]

20,002件の入力に対して、UNIQコマンドで検証してみたところ入力カウントは20,002件でした。パラメータの設定が違っていたので、パラメータのstreamingをtrueからfalseに変更して実行したら35万件とカウントされました。この動きはカスタムコマンドを実行した場合も同様でした。

この質問はPYTHONで作ったカスタムコマンドがあまりに遅かったので入力カウントの35万を実際の入力の20,002件にすれば早くなるのではと考えて質問しましたが、検索スピードはstreaming=falseのほうが早い結果となりました。

PYTHONで作ったカスタムコマンドは、1万件の処理に1秒あたりが限界で、少し複雑な処理を加えればどんどん遅くなるという結論に達しました。文字列が長くなっても標準のサーチコマンドを駆使したほうが断然高速でした。

[cwl]

サーチジョブ調査画面の内容について以下のマニュアルに説明が記載されています。
http://docs.splunk.com/Documentation/Splunk/5.0.3/Search/Usingthesearchjobinspector
内容をみますと入力カウントはコマンドに対する入力イベントの数に読み取れます。
カスタムコマンドを使用されているため、もしかしたら、サーチジョブ調査の表示で問題が発生しているかもしれませんが、簡単なサーチでも変なカウントが表示されますか？