Charts 如何为splunk timechart命令添加总计和百分比列

使用一个简单的示例：计算每个主机名的事件数

…|按主机列出的时间图表计数

> ... | timechart count BY host
> 
> This search produces this results table:
> 
> _time         host1   host2   host3   
> 
> 2018-07-05    1038    27      7      
> 2018-07-06    4981    111     35      
> 2018-07-07    5123    99      45       
> 2018-07-08    5016    112     22    

我想添加一列来显示当天的总事件以及每个http状态代码的百分比

我试过了

 ... | timechart count BY host
| eval total= host1 + host2 + host3
| eval host1_percent = host1 / total
| eval host2_percent = host2 / total
| eval host3_percent = host3 / total
| table _time, host1_percent, host2_percent, host3_percent

这在大多数情况下都有效，但我发现如果某一天某个主机处于脱机状态（某个主机没有记录），那么搜索就不起作用（返回空白结果），我必须从“total=host1+host2+host3”中删除该主机才能使其起作用

---

因此，我的问题是：是否有一种方法可以获得每天（行）的记录总数，而不必将它们相加，例如，用计数或总和替换“total=host1+host2+host3”，我尝试了两种方法，但都不起作用。

知道您迄今为止尝试了哪些方法会有所帮助，因此我们不建议使用相同的方法

您是否尝试过添加总数

| timechart count by host
| addtotals row=true fieldname=total host*