elasticsearch - 发现Elasticsearch中的历史趋势(非视觉)

Question

我在使用Elastic作为日志存储方面有一些经验，但是在一段时间内，我仍然坚持基本的趋势识别(我需要在其中相互比较找到的文档)。

简单的查询将回答以下问题:

查找所有出现的文档行(行由增长/连续@timestamp值指定)，其中特定字段(例如threads_count)对于固定数量的文档或时间段正在增长。

因此，如果我有某个应用程序的thread_count，则记录包括时间戳在内的一天中的每一分钟。我指定要在10分钟内增长的趋势-结果应返回thread_count在至少10个文档之前的文档分钟数中大于thread_count的文档或文档集。

这是非常相似的任务，可查看折线图并通过肉眼识别生长中的部分。

也许我只是想念搜索的正确函数名称。我对可视化不感兴趣，我想在API上搜索类似情况并采取必要的措施。

欢迎引用任何文档或简单示例!

Answer 1

Well脚本不能在文档之间使用。因此，您将不得不使用有效负载。

在查询中按日期对结果进行排序。

https://www.elastic.co/guide/en/elastic-stack-overview/6.3/how-watcher-works.html

有效负载中的脚本可以告诉您某个字段是否正在增加(类似的事情，现在无法访问es索引)

"transform": {
    "script": {
        "source": "ctx.payload.transform = []; def current_score = -1;
def current = []; for (int j=0;j<ctx.payload.hits.hits;j++){
//check in the loop if current_score increasing using ctx.payload.hits.hits[j]._source.message], if not return "FALSE"

 } ; return "TRUE",
    "lang": "painless"
    }
}

如果您使用logstash为文档建立索引，那么请看一下过去，这可能也很好: https://www.elastic.co/guide/en/logstash/current/plugins-filters-elapsed.html