Question

我在弹性搜索中有一个存储系统警报的索引。该索引具有警报的startTime和endTime之类的值。我需要获取日期直方图，该数据指定了在指定时间间隔内每分钟/每小时发生一次的警报。要获取，我使用了以下查询：

GET ocm_alert/_search
{
  "size": 0,
  "query": {
    "bool": {
      "filter": [

        {
          "range": {
            "endTime": {
              "from": 1561393800000,
              "to": null,
              "include_lower": true,
              "include_upper": true,
              "boost": 1
            }
          }
        },
        {
          "range": {
            "startTime": {
              "from": null,
              "to": 1562828606000,
              "include_lower": true,
              "include_upper": false,
              "boost": 1
            }
          }
        }
      ],
      "adjust_pure_negative": true,
      "boost": 1
    }
  },
  "aggregations": {
    "aggs_by_time": {
      "date_histogram": {
        "script": {
          "source": "long startTime = doc['startTime'].value.toInstant().toEpochMilli(); long endTime = doc['endTime'].value.toInstant().toEpochMilli(); List dates = new ArrayList();  long rangeFrom = startTime < 1561116600000l ? 1561116600000l : startTime; long rangeTo = endTime > 1562828606000l ? 1562828606000l : endTime; for(long date = rangeFrom; date < rangeTo ; date+=3600000){dates.add(date)} dates.add(rangeTo);return dates;",
          "lang": "painless"
        },
        "interval": "1h",
        "offset": 0,
        "order": {
          "_key": "asc"
        },
        "keyed": false,
        "min_doc_count": 1
      },
      "aggregations": {
        "aggs_by_severity": {
          "min": {
            "field": "severity"
          }
        }
      }
    }
  }
}

结果很好，但是结果的键是使用脚本中计算的日期字段i计算的。例如，如果警报开始时间为12:15:00，则密钥计算为11:30:00，第二密钥为12:30:00。但是我需要根据查询中指定的startTime来启动键值，例如12:00:00。这样聚合密钥为12:00:00，13:00:00。

Answer 1

我猜有点hack，或者这就是应该怎么做。我根据查询子句中指定的startTime计算了偏移量值，并将偏移量与时区一起添加到了日期直方图聚合中。

指定存储桶键以从弹性搜索（6.7）日期直方图中的指定值开始

1 个答案: