将多个搜索组合成单值可视化的网格布局

Question

我有许多联网设备，我正在从Splunk中提取温度和湿度数据，并将其摄取到Splunk中。每个设备都位于一个物理位置，大多数(但不是全部)都有两个传感器。

最适合我需要的面板是使用单值可视化来显示来自所有位置的所有传感器的当前温度。我可以使用以下查询创建两个不同的面板，但我正在尝试确定是否可以将它们组合在一起来创建单个仪表板面板。

index="climate" | timechart latest(s1_temp) as "S1_Temp" by location

和

index="climate" | timechart latest(s2_temp) as "S2_Temp" by location

<panel>
      <single>
        <search>
          <query>index="climate" | timechart latest(s1_temp) as "S1_Temp" by location</query>
          <earliest>-24h@h</earliest>
          <latest>now</latest>
          <sampleRatio>1</sampleRatio>
        </search>
        <option name="colorBy">value</option>
        <option name="colorMode">none</option>
        <option name="drilldown">none</option>
        <option name="numberPrecision">0.00</option>
        <option name="rangeColors">["0xdc4e41","0xf8be34","0x53a051","0xf8be34","0xdc4e41"]</option>
        <option name="rangeValues">[67,69,85,87]</option>
        <option name="showSparkline">1</option>
        <option name="showTrendIndicator">1</option>
        <option name="trellis.enabled">1</option>
        <option name="trellis.scales.shared">1</option>
        <option name="trellis.size">medium</option>
        <option name="trendColorInterpretation">standard</option>
        <option name="trendDisplayMode">absolute</option>
        <option name="trendInterval">-24h</option>
        <option name="unit">°</option>
        <option name="unitPosition">after</option>
        <option name="useColors">1</option>
        <option name="useThousandSeparators">1</option>
      </single>
    </panel>

虽然我可以使用柱状图轻松地显示数据，但带有颜色和迷你图的单值非常适合我的用例。我试过很多方法，但还没弄明白。我认为，在这一点上，答案要么简单得令人尴尬，要么不可能。

Answer 1

虽然我还在尝试弄清楚一些次要的细节，但我最终还是找到了一些文档，它们帮助我获得了我想要的输出。下面的查询实际上组合了两个数据系列，并允许我通过创建一个新字段来创建网格面板，以创建位置和传感器的新的、唯一的混搭。

index="climate" 
  | bin _time span=5m 
  | stats latest(s1_temp) as "S1", latest(s2_temp) as "S2" by _time,location 
  | eval reading="S1 S2" 
  | makemv reading 
  | mvexpand reading 
  | eval Temp=case(reading=="S1",S1,reading=="S2",S2) 
  | eval Series=location+"-"+reading 
  | timechart latest(Temp) by Series

我的问题的答案实际上在Chart Multiple Data Series下的官方文档中。我只是在搜索文档时没有问到正确的问题。希望有人会发现这一点很有用。

如果有更有效的方法做这件事，我还没有找到。