Elasticsearch中的时间戳差异

Question

我知道有人问过这个问题，但是ELK的变化似乎非常快，也许在这一点上有可能。 因此，我正在使用Kibana 4，并且试图可视化（或至少计算出）查询中两个文档之间的时间差。 我的文档是批处理过程中具有很多字段的日志，时间戳是其中之一（类型为“ date”）。 是否可以使用脚本字段来计算查询中连续文档之间的时间差？ （返回什么类型并不重要）。

我希望我有道理，我是ELK的新手。 提前致谢。

Dauta

Answer 1

_据我了解，您无法在Kibana中做到这一点，因为脚本化字段会一一应用于文档。 但是，如果对您而言所有重要的事情都得到了计算结果，则可以使用ES查询中的scripted_metric聚合来完成此操作。

我认为它看起来像

{
    "sort" : [
        { "mydatefield" : {"order" : "asc"}}
    ],
    "query" : {
        (something of match, range, match_all...)
    },
    "aggregations": {
        "scripted_metric": {
            "init_script": "(declarations, eg :) _agg['myarray']=[]",
            "map_script": (store relevant timestamps in datastructure, eg :) "_ạgg.myarray.add(doc['mydatefield'])",
            "reduce_script": "(aggregate results, eg :) otherarray = [] ; for (x in ạggs){otherarray.putAll(x.myarray)} ;
            (and sort otherarray) ; result = [] ;
           for (i = 0 ; i < otherarray.length-1 ; i++){result.add(otherarray[i+1]-otherarray[i])} ;
           return result ;"
        }
    }
}