第2章 定时任务的核心概念与组件
你在运维 Splunk 环境时，有没有遇到过这种情况：每天准时收到一份报表，某天突然没收到，排查发现定时任务根本没跑。其实，大多数定时翻车都源于对核心组件理解不透。这一章，我们把定时任务的骨架拆开看看。
2.1 定时任务的三大要素
说白了，一个定时任务就三样东西：保存搜索、调度计划、执行器。你把搜索写好，告诉 Splunk 什么时候跑，然后调度器按时执行。就这么简单。
不过，我在项目中见过不少同学只关心搜索语法，对调度细节随便一点——结果一到高并发时刻就崩。我们先把这几个组件理清楚。
核心组件
- Saved Search：你要执行的查询语句，可以包含报表、告警或仪表板元素。
- Schedule：定义执行时间，支持 cron 表达式或简单轮询。
- Scheduler：Splunk 内部负责调度、排队、分发任务的守护进程。
你想想看，这三个组件里最容易踩坑的是哪个？我个人的经验，80% 的问题是出在 Schedule 上——时区、频率、并发没搞对。
2.2 调度方式：Cron 与简单调度
Splunk 提供了两种调度方式，你可以在新建保存搜索时设置。我一般能用 cron 就用 cron，因为它精细到分钟甚至秒级。但很多人觉得 cron 表达式难记——其实记住 分 时 日 月 周 这五个字段就够了。
| 调度方式 | 示例 | 灵活性 | 适用场景 |
|---|---|---|---|
| Cron 表达式 | 0 8 * * 1-5 | 高（精确到分） | 固定时间报表、工作日调度 |
| 简单调度（每 N 分钟/小时） | 每 30 分钟 | 低（固定间隔） | 实时监控、日志轮询 |
| 简单调度（每天/每周） | 每天 09:00 | 中（只能选小时/分钟） | 每日汇总 |
我的建议：如果用简单调度“每天”，注意时区！Splunk 默认使用服务器本地时区。我曾经因为服务器时区设置不对，导致凌晨 2 点的报表跑在了 UTC 时间的 2 点，实际我的浏览器显示是上午 10 点。后来我统一在搜索里手动加 | where _time >= relative_time(now(), "-1d@d") 规避时区间隙。
2.3 并发控制与优先级
这是最容易被人忽略的点。Splunk 默认允许一个保存搜索同时跑多个实例，如果上一个没跑完下一个又启动了，查询会堆叠起来。索引器扛不住怎么办？我有一次线上环境就是这么崩的——一个 10 分钟一次的搜索，每次跑 8 分钟，连续几次之后资源打满，搜出结果全乱了。
避坑指南：我曾经没在意并发限制，结果生产环境索引器 CPU 飙升到 95%。现在每建一个定时搜索，我必做两件事：
- 在保存搜索的高级选项中设置 Schedule Priority（默认 5，数字越小优先级越高）。
- 勾选 Schedule window，让调度器错峰执行。
你可以在 savedsearches.conf 或 UI 里这样配置：
[my_summary_report]
search = index=main | stats count by host
cron_schedule = */5 * * * *
dispatch.earliest_time = -10m@m
dispatch.latest_time = now
action.email.to = admin@example.com
action.email.useNSSubject = false
action.email.subject = My Summary
enableSched = 1
allow_skew = 0
schedule_priority = 3
schedule_window = 10注意 schedule_window 的值是分钟数，表示允许调度在这个窗口内随机偏移时间点执行，避免多个任务同时砸向索引器。嗯，这个参数我在实际运维中觉得非常实用。
2.4 时区与时间范围
还有一个坑大家经常遇到：定时任务跑出来的数据和手动查的不一样。原因往往是 dispatch.earliest_time 和 latest_time 的设置问题。
我建议你用 relative_time() 或 now 来定义范围，而非固定时间点。比如：
dispatch.earliest_time = -15m@m
dispatch.latest_time = now这表示每次执行时取当前时间往前推 15 分钟，精确到分钟开始。如果你写 -1d@d，则会取昨日全天——这取决于调度触发时刻，如果调度在凌晨 00:01 触发，前一天的 24 小时数据可能还没完全索引完，就会漏数据。
总结一下关键组件清单：
- Saved Search → 查询内容与元数据
- Schedule → 触发时间（cron 或简单）
- Scheduler → 调度器（并发、优先级、时区）
- Execution → 实际搜索运行（时间范围、资源消耗）
- Output → 结果存储、告警、报表分发