elasticsearch - Kibana/ELK中 "where not exists"类型的过滤怎么办？

Question

我正在使用 ELK 从我的日志文件创建仪表板。我有一个日志文件，其中的条目包含一个 id 值和一个“成功”/“失败”值，显示具有给定 id 的操作是成功还是失败。每个操作/ID 可以无限次失败，最多成功一次。在我的 Kibana 仪表板中，我想显示每个操作 ID 具有“失败”值的日志条目的计数，但我想过滤掉该 ID 存在“成功”日志条目的情况。即我只对从未成功的操作感兴趣。有什么技巧可以实现这一点吗？

Answer 1

这在 Kibana 5 搜索栏中很容易。只需添加一个过滤器

!(_exists_:"your_variable") 

您可以切换过滤器或将反向查询写为

_exists_:"your_variable"

---

在 Kibana 4 和 Kibana 3 中，您可以使用这个现已弃用的查询

_missing_:"your_variable"  

---

注意:在 Elasticsearch 7.x 中，Kibana 现在有一个下拉菜单，可以在搜索栏中选择 KQL 或 Lucene 风格的查询。请注意，_exists_:FIELD 等语法是 Lucene 语法，您需要相应地设置下拉列表。