splunk - 如何在 Splunk 中计算准确的第 99.9 个百分位数

Question

有谁知道如何准确计算 Splunk 中的第 99.9 个百分位数？

我尝试了以下各种方法，例如exactperc（但这只需要整数百分位数）和perc（但这非常接近结果）。

base | stats exactperc99(latency) as "99th Percentile", p99.9(latency) as "99.9th Percentile"

谢谢，詹姆斯

Answer 1

从Splunk 文档：

有三种不同的百分位函数：

perc<X>(Y)（或缩写 p<X>(Y)） upperperc<X>(Y) exactperc<X>(Y) 返回数字字段 Y 的第 X 个百分位值。X 的有效值是从 1 到 99 的浮点数，例如 99.95。

使用 perc<X>(Y) 函数计算近似阈值，使得 Y 字段中的值中，X 百分比低于阈值。

perc 和 upperperc 函数给出所请求的整数百分位数的近似值。所使用的近似算法基于基数树的动态压缩，为任何百分位数提供了实际值的严格界限。perc 函数返回一个表示该范围下限的数字。upperperc 函数给出了近似的上界。exactperc 函数提供精确值，但对于高基数字段来说会非常昂贵。exactperc 函数可能会在搜索头中消耗大量内存。

将字段值作为字符串处理。

例子：

 p99.999(response_ms)
 p99(bytes_received)
 p50(salary) # median