弹性搜索 - 从多条记录中获取整体状态，然后按状态计数

Question

我正在使用 elasticsearch 来索引我的数据，看起来（有点）像这样：

[
 ...
 {"Name": "john",  "Part": "head",       "broken": true},
 {"Name": "john",  "Part": "shoulders",  "broken": false},
 {"Name": "john",  "Part": "knees",      "broken": false},
 {"Name": "john",  "Part": "toes",       "broken": false},
 {"Name": "steve", "Part": "head",       "broken": false},
 {"Name": "steve", "Part": "shoulders",  "broken": false},
 {"Name": "steve", "Part": "knees",      "broken": false},
 {"Name": "steve", "Part": "toes",       "broken": false}
 ...
]

现在我想以计数器的形式了解我的人的整体状态，显示有多少受伤，有多少没事。这里的名字作为指纹，这个人很好，如果他的任何部分都没有损坏：

People fine: 1
People hurt: 1

我尝试使用我对指标和存储桶聚合的（有限）知识，但无济于事。 现在我想知道：

---

是否甚至可以使用弹性搜索查询来获取此计数器？如果是，我该如何构造这样的查询？

Answer 1

这个可以通过

• scripted_metric aggregation 往往相当慢
• 或通过bucket_selector 和bucket_script 聚合的相对复杂组合。

让我们选择后者。假设您在 Name 字段上有一个 .keyword 映射，您可以这样做：

POST index_name/_search
{
  "size": 0,
  "aggs": {
    "multibucket": {
      "filters": {
        "filters": {
          "placeholder": {
            "match_all": {}
          }
        }
      },
      "aggs": {
        "all_ppl_count": {
          "cardinality": {
            "field": "Name.keyword"
          }
        },
        "by_name": {
          "terms": {
            "field": "Name.keyword",
            "size": 100
          },
          "aggs": {
            "is_broken": {
              "terms": {
                "field": "broken",
                "size": 2
              }
            },
            "filter_fine_ppl": {
              "bucket_selector": {
                "buckets_path": {
                  "has_broken_something": "is_broken._bucket_count"
                },
                "script": "params.has_broken_something > 1"
              }
            }
          }
        },
        "healthy_ppl_count": {
          "bucket_script": {
            "buckets_path": {
              "all_ppl": "all_ppl_count",
              "hurt_ppl": "by_name._bucket_count"
            },
            "script": "params.all_ppl - params.hurt_ppl"
          }
        }
      }
    }
  }
}

我们仅将 filters 聚合用作多桶占位符，使我们能够使用 bucket_* 管道聚合。之后就是：

• 统计所有独特的人，
• 根据姓名对人员进行分组，
• 在is_broken 内部检查它们是否有任何损坏，如果有，则仅在by_name 聚合中保留其存储桶，以便以后可以使用总计数，
• 从by_name 聚合的总体大小中减去破碎的人数，从而得到结果。

然后响应将类似于以下内容：

"aggregations" : {
  "multibucket" : {
    "buckets" : {
      "placeholder" : {
        "doc_count" : 8,
        "all_ppl_count" : {         <--
          "value" : 1
        },
        "by_name" : {
          "buckets" : [
            { ... }
          ]
        },
        "healthly_ppl_count" : {    <--
          "value" : 1.0
        }
      }
    }
  }
}

我们可以通过从all_ppl_count 中减去healthly_ppl_count 轻松获得“破碎人数”。