考虑文档范围内日期的ElasticSearch日期直方图聚合

Question

我正在使用代表警报的Elasticsearch文档。这些警报被激活一段时间，然后被停用。它们与此模式相似。

{
     "id": 189393,
     "sensorId": "1111111",
     "activationTime": 1462569310000,
     "deactivationTime": 1462785524876,
}

我想知道每天活动警报的数量。为了实现这一点，我想执行一个日期直方图聚合，返回激活和停用之间的天数以及每天活动警报的数量。

到目前为止，我所尝试的是这个查询。

{
   "query" : {
      ...
   },
   "aggs": {
    "active_alerts": {
      "date_histogram": {
        "field": "timestamp",
        "interval": "day"
      }
    }
  }
}

但是，它只返回激活的日期。

"aggregations": {
    "active_alerts": {
        "buckets": [
            {
                "key_as_string": "2016-05-06T00:00:00.000Z",
                "key": 1462492800000,
                "doc_count": 1
            }
        ]
    }
}

我想返回的是激活和停用时间之间的天数以及每天的活动警报数量，如下所示。

"aggregations": {
    "active_alerts": {
        "buckets": [
            {
                "key_as_string": "2016-05-06T00:00:00.000Z",
                "key": 1462492800000,
                "doc_count": 1
            },
            {
                "key_as_string": "2016-05-07T00:00:00.000Z",
                "key": 1462579200000,
                "doc_count": 1
            },
            {
                "key_as_string": "2016-05-08T00:00:00.000Z",
                "key": 1462665600000,
                "doc_count": 1
            }
        ]
    }
}

谢谢。

Answer 1

最后，我通过脚本找到了一个解决方案，创建一个从激活日期到停用日期发出日期数组的脚本。

"aggs": { 
    "active_alerts": {
      "date_histogram": {
        "interval": "day",
        "script":  "Date d1 = new Date(doc['activationTime'].value); Date d2 = new Date(doc['deactivationTime'].value); List<Date> dates = new ArrayList<Date>(); (d1..d2).each { date-> dates.add(date.toTimestamp().getTime())}; return dates;"
      }
    }
  }

谢谢。

Answer 2

我认为你只能用脚本化的dateHistogram来做，在那里你可以从间隔中添加"缺失"的天数，你有编程:

  "aggs": {
    "active_alerts": {
      "date_histogram": {
        "interval": "day",
        "script": "counter=0;combinedDates=[];currentDate=doc.activationTime.date;while(currentDate.isBefore(doc.deactivationTime.date.getMillis())){combinedDates[counter++]=currentDate.getMillis();currentDate.addDays(1)};combinedDates[counter]=doc.deactivationTime.date.getMillis();return combinedDates"
      }
    }
  }