elasticsearch - 计算Elasticsearch中滑动时间窗口的变化百分比

Question

Elasticsearch新手在这里。我有一系列这样的日志消息

{
  "@timestamp": "whatever",
  "type": "toBeMonitored",
  "success": true
}

与昨天的相同间隔相比，我受命对成功消息总量的-30％的变化使用react。因此，如果我今天上午8点进行检查，则应该将今天从午夜到上午8点的总计数与昨天的相同间隔进行比较。
我尝试创建日期直方图聚合，但我希望将差异百分比作为查询结果，而不在开发方面进行数学运算。

{
  "size": 0, 
  "query": {
    "bool": {
      "filter": [
        {
          "term": {
            "type": "toBeMonitored"
          }
        },
        {
          "term": {
            "status": true
          }
        },
        {
          "range": {
            "@timestamp": {
              "gte": "now-1d/d",
              "lte": "now/h"
            }
          }
        }
      ]
    }
  },
  "aggs": {
    "histo": {
       "date_histogram": {
        "field": "@timestamp",
        "fixed_interval": "1h"
      }
    }
  }
}

关于如何实现这一目标的任何想法？

Answer 1

您可以利用 derivative pipeline aggregation实现您所期望的:

POST /sales/_search
{
  "size": 0, 
  "query": {
    "bool": {
      "filter": [
        {
          "term": {
            "type": "toBeMonitored"
          }
        },
        {
          "term": {
            "status": true
          }
        },
        {
          "range": {
            "@timestamp": {
              "gte": "now-1d/d",
              "lte": "now/h"
            }
          }
        }
      ]
    }
  },
  "aggs": {
    "histo": {
       "date_histogram": {
        "field": "@timestamp",
        "fixed_interval": "1h"
      },
      "aggs": {
        "successDiff": {
          "derivative": {
            "buckets_path": "_count"
          }
        }
      }
    }
  }
}

在每个存储桶中，您将获得前一个存储桶与当前存储桶中的文档计数之间的差额。