Splunk の 期間指定（earliest / latest） は、
新人エンジニアが最初につまずくポイントのひとつです。
「全期間」「24時間」「7日」「1時間」「今日だけ」など、
よく使う期間指定を全部まとめて、コピペできるチートシートとして整理します。

SPL 文法の意味と“ふりがな（読み下し）”も付けて、
実務でそのまま使える形にしています。

🧭 基本ルール（最重要）

Splunk の期間指定は earliest（開始） と latest（終了） の 2 つで決まる。

ふりがな：earliest は「いつから」、latest は「いつまで」

📌 よく使う期間指定まとめ（コピペOK）

index=hogehoge earliest=0

ふりがな：ぜんぶの期間を対象にする

index=hogehoge earliest=-24h

ふりがな：24じかんまえから今まで

index=hogehoge earliest=-7d

ふりがな：7にちまえから今まで

index=hogehoge earliest=-30d

ふりがな：30にちまえから今まで

index=hogehoge earliest=@d

ふりがな：今日の0じから今まで

index=hogehoge earliest=@d-1d latest=@d

ふりがな：きのうの0じからきのうの23:59まで

index=hogehoge earliest=@w

ふりがな：今週の月曜日から今まで

index=hogehoge earliest=@mon

ふりがな：今月の1にちから今まで

index=hogehoge earliest="2024-01-01" latest="2024-01-31"

ふりがな：2024ねん1がつ1にちから1がつ31にちまで

index=hogehoge earliest="2024-01-01 10:00:00" latest="2024-01-01 12:00:00"

ふりがな：2024ねん1がつ1にち10じから12じまで

index=hogehoge earliest=-24h | stats count

ふりがな：24じかんぶんのデータの件数を数える

index=hogehoge earliest=@d-1d latest=@d | stats count

ふりがな：きのうのデータの件数を数える

index=hogehoge earliest=@mon | stats count by product

ふりがな：今月の product ごとの件数を数える

index=hogehoge earliest=-7d
| stats count by _time
| where count > 1

ふりがな：7にちぶんの timestamp が重複していないか確認

index=hogehoge earliest=-24h
| stats count by _raw
| where count > 1

ふりがな：24じかんぶんのレコードが重複していないか確認

index=hogehoge earliest=-24h | dedup product

ふりがな：24じかんぶんの product の種類だけ確認

index=hogehoge earliest=-7d | top limit=10 product

ふりがな：7にちぶんの product のトップ10