結合元と結合先のtimeフィールドの型が異なっている（整数、小数）とjoinできない模様。 round関数で型を揃えると良い。 環境 Splunk 8.0.6 例 index="sample" | eval time = round(_time, 0) | join type=inner time [ | tstats max(_time) as latest where…