Question

我有两个字段作为保存在ELK群集中的日志消息的一部分：

"EventTime": "2015-07-28 17:03:20",
"EventReceivedTime": "2015-07-28 17:03:22"

有没有办法在每条日志消息中获取这些字段之间的时差（在本例中为2秒），并通过Kibana3显示它？

如果不可能，直接弹性搜索查询也可以。

提前致谢！

Answer 1

是的，我刚刚使用脚本字段在Kibana中使用了一些测试数据。在Kibana中，转到“设置”，单击左上角的索引模式。

你应该看到2个标签＆＃34; Fields＆＃34;和＆＃34;脚本字段＆＃34;。

点击＆＃34; Scripted fields＆＃34;标签。然后＆＃34;添加脚本字段＆＃34;。

输入＆＃34;名称＆＃34;并在脚本字段中输入类似

的内容

doc [＆＃39; EventReceivedTime＆＃39;]。value - doc [＆＃39; EventTime＆＃39;]。value

点击＆＃34;创建字段＆＃34;在底部。现在，您应该在Discover中看到新的脚本字段，并且可以在可视化中使用它。我的时间戳以毫秒为单位，我的delta_time以毫秒为单位。

Answer 2

如果值是数字，则您应该能够在kibana中创建脚本字段（使用已启用的＆＃34; elasticsearch scripting＆＃34;功能）。在显示每个事件时，必须计算它。

我建议在事件发生时在logstash中执行此操作。您可以在写入elasticsearch之前删除使用ruby {}过滤器来计算差异，这样它在查询和显示时都可用，而且当时没有其他处理。

Answer 3

如果两个字段都是日期字段，则可以先将它们转换为毫秒，然后再减去。例如

doc['@timestamp'].value.getMillis() - doc['lastUpdatedDate'].value.getMillis()

这适用于弹性6.2.2

Answer 4

查看文档：{{3}}

我认为日期扣除将起作用，因为“日期字段被视为自1970年1月1日以来的毫秒数”：

doc['@timestamp'] - doc['lastUpdatedDate']

没有。至少不是弹性/ kibana 6.0.0。我确实得到了这个非常丑陋的黑客：

((doc['@timestamp'].date.year - 2017) * 31536000 + doc['@timestamp'].date.monthOfYear * 86400 + doc['@timestamp'].date.dayOfMonth * 3600 + doc['@timestamp'].date.secondOfDay) - ((doc['lastUpdatedDate'].date.year - 2017) * 31536000 + doc['lastUpdatedDate'].date.monthOfYear * 86400 + doc['lastUpdatedDate'].date.dayOfMonth * 3600 + doc['lastUpdatedDate'].date.secondOfDay)

我不得不从今年开始推断，因为这个数字会溢出......

两个领域之间的Kibana时间差

4 个答案: