我知道有人问过这个问题,但是ELK的变化似乎非常快,也许在这一点上有可能发生。
因此,我正在使用Kibana 4,并且试图可视化(或至少计算出)查询中两个文档之间的时间差。
我的文档是批处理过程中具有很多字段的日志,时间戳是其中之一(类型为“date”)。
是否可以使用脚本字段计算查询中连续文档之间的时间差? (返回什么类型并不重要)。
我希望我有道理,我是ELK的新手。
提前致谢。
道塔
最佳答案
_据我了解,您无法在Kibana中做到这一点,因为脚本化字段一对一地应用于文档。但是,如果对您而言所有重要的事情都得到了计算结果,则可以使用ES查询中的scripted_metric聚合来实现。
我认为它看起来像
{
"sort" : [
{ "mydatefield" : {"order" : "asc"}}
],
"query" : {
(something of match, range, match_all...)
},
"aggregations": {
"scripted_metric": {
"init_script": "(declarations, eg :) _agg['myarray']=[]",
"map_script": (store relevant timestamps in datastructure, eg :) "_ạgg.myarray.add(doc['mydatefield'])",
"reduce_script": "(aggregate results, eg :) otherarray = [] ; for (x in ạggs){otherarray.putAll(x.myarray)} ;
(and sort otherarray) ; result = [] ;
for (i = 0 ; i < otherarray.length-1 ; i++){result.add(otherarray[i+1]-otherarray[i])} ;
return result ;"
}
}
}