logging - Kibana:日志和计算字段之间的持续时间

Question

我正在尝试使用Kibana计算两个日志事件之间的持续时间。我遇到的问题是日志没有唯一标识符。我将不得不根据某些列将它们分组。在发现选项卡中，我将其设置如下。我搜索“通讯”和“鼓sw”，然后按时间对结果进行排序。

1:  September 10th 2015, 03:04:41.000   Communication   Failure drum    sw  939
2:  September 10th 2015, 03:04:46.000   Communication   Normal  drum    sw  939
3:  September 10th 2015, 03:28:07.000   Communication   Failure drum    sw  2305
4:  September 10th 2015, 03:28:13.000   Communication   Normal  drum    sw  2305

有没有一种方法可以按其区域(sw)和设备类型(SW)对这些日志进行分组？除此之外，如何创建一个计算字段来确定事件之间的持续时间？

因此，对于前两个，它们之间的持续时间为5秒:例如:(当前时间)-(结束时间)= 5秒。这是我会在脚本化字段中执行的操作吗？

我正在使用ELK配置的最新版本。 Kibana 4.2 flex 搜索和logstash 2.0.0。

谢谢!

Answer 1

使用elapsed {}过滤器，您可以指定一个复杂的模式作为您的唯一键(如组合两个字段)。