搜索时间范围：earliest、latest、时间修饰符、相对时间
Splunk 默认只搜最近 24 小时的数据。如果你不指定时间范围，很可能什么都查不到。我见过太多新手在这栽跟头——明明数据在，就是搜不出来，一看时间范围，默认的。
时间范围的控制，说白了就是告诉 Splunk：从哪一刻开始看，看到哪一刻为止。核心参数就两个：earliest 和 latest。配合时间修饰符和相对时间写法，你能精确描述任何时间窗口。
earliest 与 latest 基本用法
这两个参数可以用在搜索开头，也可以嵌在子搜索里。格式支持时间、相对时间和纪元时间戳。
index=web earliest="2025-01-01T00:00:00" latest="2025-01-02T00:00:00"
时间用 ISO 8601 或 Splunk 默认格式（比如 1/1/2025:0:0:0）。我个人习惯用 ISO 8601，清晰且无歧义。
相对时间就灵活多了：
index=web earliest=-7d latest=now
now 表示当前时间。 -7d 表示往前推 7 天。你想想看，如果想看过去一小时内的事，写 -1h 就行了。
earliest 和 latest 的默认值分别是 0（1970-01-01）和 now。但搜索栏没指定时，Splunk UI 会主动加上 -24h@h 到 now。
时间修饰符——精确对齐时间边界
只用 -7d 不够精细。比如“从 7 天前的凌晨开始到现在的整点”，就需要对齐边界。Splunk 的 @ 修饰符就是干这个的。
@d– 对齐到当天 00:00:00@w– 对齐到当周的周日 00:00:00（Splunk 默认周日为一周开始）@m– 对齐到当月 1 号 00:00:00@y– 对齐到当年 1 月 1 日 00:00:00@h– 对齐到当前小时的 00 分 00 秒
写法是在相对时间后面加 @修饰符。比如：
earliest=-7d@d // 7天前的凌晨
latest=@d // 今天的凌晨（不含今天的数据）
这个例子很实用——对比昨天和前 7 天的数据，用 @d 就能精确切分。
| 表达式 | 含义 | 示例（假设当前 2025-04-07 14:30） |
|---|---|---|
-1h@h | 上一个整点开始，到当前整点 | 13:00:00 – 14:00:00 |
-7d@d | 7天前的凌晨，到当前凌晨 | 2025-03-31 00:00 – 2025-04-07 00:00 |
@w | 本周周日凌晨，到当前 | 2025-04-06 00:00 – 2025-04-07 14:30 |
-1mon@mon | 上个月1号凌晨，到这个月1号凌晨 | 2025-03-01 00:00 – 2025-04-01 00:00 |
-1y@y | 去年1月1日，到今年1月1日 | 2024-01-01 00:00 – 2025-01-01 00:00 |
为什么需要对齐？ 比如做日报，你要昨天一整天的数据。写 earliest=-1d@d latest=@d，不管什么时候跑，都能拿到昨天 00:00–24:00 的结果。我曾经因为这个写法帮业务部门省了每天手动改时间的工作量。
相对时间表达式的进阶组合
除了简单的 -Xd，你还可以叠加偏移量和修饰符。格式是：
+/- 数字 单位 @修饰符 + 数字 单位
看几个例子：
earliest=-2d@d+8h // 昨天上午8点
latest=-1d@d+18h // 昨天下午6点
这样你就自由拼出任意时间窗口了。单位支持 s（秒）、m（分钟）、h（小时）、d（天）、mon（月）、y（年）。 now 本身也可以带偏移： now-2h。
now 会等于调度时间而非真实当前时间。测试时留意这个差异。
常见避坑指南
我经历过的几个坑，分享给你：
- 时区问题：Splunk 默认用服务器的时区。如果你在美国西海岸，查北京时间的数据要小心。我建议在
props.conf或搜索中用| convert timeformat="%Y-%m-%dT%H:%M:%S%z" ctime(_time)确认实际时区。 - 子搜索中的 earliest/latest：子搜索的时间范围默认与主搜索独立。如果你不单独设置，子搜索会用
-24h@h。我曾经调试一个嵌套报表，结果子搜索只扫了最近1天，主搜索却要查30天，数据对不上。解决方案：在子搜索里明确指定earliest=-30d@d。 - 时间格式错误：时间写成
2025-01-01不带时间时，Splunk 会解析为00:00:00。如果写成1/1/2025但月份在前（美式），可能被理解成 1 月 1 日。统一用 ISO 8601 最稳妥。 - @w 的起始日：Splunk 默认周日是每周第一天。如果你需要周一，可以在
props.conf或搜索中加| eval week_start=relative_time(_time, "-1w@w+1d")自行计算。
earliest 和 latest 内嵌在搜索字符串里时，不要加多余空格。比如 earliest=-7d@d latest=@d 正确，但 earliest = -7d@d 可能会解析失败。
时间范围选择知识脉络
下面这张图梳理了从用户输入到 Splunk 实际检索的时间计算流程：
这张图帮你理清了整个链路。输入后先拆解，再计算，最后去索引里捞数据。每一步都可能出错，所以调试时建议先用 | makeresults 配合 | eval now=now(), earliest=relative_time(now(), "-7d@d") 验证表达式。我调试子搜索时就这么干。
实用技巧总结
- 日常巡检：写
index=* earliest=-10m快速看最近10分钟的日志，不指定 latest 默认到 now。 - 周报：
index=app earliest=-7d@w latest=@w—— 查上周完整周数据。注意 @w 从周日开始，如果你的周报从周一开始，手动偏移：earliest=-7d@w-1d latest=@w-1d。 - 历史对比：同时跑两个时间范围的子搜索，比如用
appendcols对比昨天和上周同一天。
| eval e=relative_time(now(), "-30d@d"), l=relative_time(now(), "@d")，后面需要时直接引用。这样后期维护改一个地方就行。
掌握了 earliest、latest、修饰符和相对时间，你就能精准控制 Splunk 的时间窗口。别怕组合表达式，多试几次，结合 | makeresults 验证，很快就能熟练。