1: 背景：

有些数据的输出结果需要很长时间，原因是查询的数据量很大，还有就是搜索的时间范围很大：一年，或者要统计过去几个月的count / 或者是比例等。

那么在这种背景下，就需要转移查询的数据结构，进行转移到另外一个index, 用另外一个新的index 进行实时展示。

下面Splunk 的一个命令： collect 就可以发威啦：

2: 先说一下，查找Splunk SPL 的一下search command 的doc :

Splunk Enterprise -> search and report -> search reference: --> search command:

 collect - Splunk Documentation

2: 下面看一些例子：

Examples

1. Put "download" events into an index named "download count"

eventtypetag="download" | collect index=d