【Splunk】 특정 조건 하의 데이터가 전체 비율의 비율을 표시하는 방법

Splunk에서 특정 조건의 데이터가 전체 비율의 비율을 표시하는 방법.

예를 들면, 어느 마라톤 대회의 선수와 스코어의 데이터가 아래와 같이 있었다고 한다.
※ 이름, 성별, 기록(분 단위)의 데이터가 있고, Splunk에는 "runner"라는 인덱스로 등록했다고 한다

name,gender,finish_time
Bob,male,198
Mike,male,235
Kate,male,317
Jack,male,257
David,male,299
Noah,male,181
James,male,233
Alex,male,271
Alice,female,281
Emma,female,325
Amelia,female,245
Chloe,female,309
Lily,female,356
Amy,female,239

상기 데이터로부터 서브 4(4시간내에서 완주)한 선수의 비율을 낼 때의 검색문은

index="runner" 
| eval class=if(finish_time<240, "sub_4", "other")
| stats count by class

그리고 시각 효과로 원형 차트를 표시하면 이런 느낌이 듭니다.



또한, 서브 4에서 서브 3.5 (3.5 시간에 완주) 한 선수의 비율도 함께 내고 싶을 때는

index="runner" 
| eval class=if(finish_time<210, "sub_3.5", if(finish_time>=210 AND finish_time<240, "sub_4", "other"))
| stats count by class

이런 검색문을 실행하면 아래와 같은 원 그래프를 낼 수 있습니다.



Splunk는 if 문에 else가 없거나 (?)
여러 조건 분기를 할 때는 Matryoshka적으로해야 할지도 모릅니다.

비망까지.