_indextime 和 _time 以及_index_earliest 和 earlist

Posted 2022-01-29

1.Splunk中_time是event产生的时间，_indextime是该event被计入到Splunk
的时间。 我们通常用 （_indextime- _time）来计算Splunk的latency time.

2. _index_earliest 和_index_latest 所构成的time range是用来检索_indextime在这个时间范围里的所有event。 而 earlist和latest是用来检索_time在这个时间范围的所有event。