Как объединить два документа ElasticSearch для Kibana

Question

У меня есть следующая таблица «заданий» в ElasticSearch с тремя столбцами: TIME, JOB_NAME и JOB_STATUS (START или END). Каждый раз, когда задание начинается или заканчивается, оно отправляется в ElasticSearch в виде отдельного документа (через Logsta sh)

Я бы хотел найти в Кибане все задания, которые начались и еще не закончились.

Как мне сгруппировать по JOB_NAME и показывать только те, у которых есть "плохие" показатели? (Например, ДВЕ НАЧИНАЕТСЯ И ОДИН КОНЕЦ) или, в идеале, покажите все задания, в которых количество ЗАПУСКОВ больше, чем КОНЕЦ

Answer 1

Так как вы уже используете Logsta sh, я бы использовал поиск по обогащению и обновил бы события начала до конца. Это значительно облегчит вашу визуализацию позже - просто получите все события без конца.

В противном случае вы можете сделать это во время запроса с помощью агрегации селектора сегментов для несбалансированного ведра, но я не уверен, что это будет полезно с визуализациями Kibana.