ElasticSearch学习 - （十）Elasticsearch按时间聚合 -- date_histogram

梦里梦外; 2022-05-17 11:22 256阅读 0赞

**interval(时间间隔)的可用表达式：**

*  year（1y）年
 *  quarter（1q）季度
 *  month（1M）月份
 *  week（1w）星期
 *  day（1d）天
 *  hour（1h）小时
 *  minute（1m）分钟
 *  second（1s）秒

// 查询
            "query": {
                "bool": {
                    "must": [{
                        "range": {
                            "@timestamp": {
                                "gte": 1533556800000,
                                "lte": 1533806520000
                            }
                        }
                    }]
                }
            },
            // 不显示具体的内容
            "size": 0,
            // 聚合
            "aggs": {
                // 自己取的聚合名字
                "group_by_grabTime": {
                    // es提供的时间处理函数
                    "date_histogram": {
                        // 需要聚合分组的字段名称, 类型需要为date, 格式没有要求
                        "field": "@timestamp",
                        // 按什么时间段聚合, 这里是5分钟, 可用的interval在上面给出
                        "interval": "5m",
                        // 设置时区, 这样就相当于东八区的时间
                        "time_zone":"+08:00",
                        // 返回值格式化，HH大写，不然不能区分上午、下午
                        "format": "yyyy-MM-dd HH",   
                        // 为空的话则填充0
                        "min_doc_count": 0,
                        // 需要填充0的范围
                        "extended_bounds": {
                            "min": 1533556800000,
                            "max": 1533806520000
                        }
                    },
                    // 聚合
                    "aggs": {
                        // 自己取的名称
                        "group_by_status": {
                            // es提供
                            "terms": {
                                // 聚合字段名
                                "field": "LowStatusOfPrice"
                            }
                        }
                    }
                }
            }

**返回结果**

{
        "took": 960,
        "timed_out": false,
        "_shards": { "total": 5, "successful": 5, "skipped": 0, "failed": 0 },
        "_clusters": { "total": 3, "successful": 3, "skipped": 0 },
        "hits": { "total": 13494821, "max_score": 0, "hits": [] },
        "aggregations": { "group_by_grabTime": { "buckets": [ { "key_as_string": "2018-08-06 12", "key": 1533556800000, "doc_count": 25851, "group_by_status": { "doc_count_error_upper_bound": 0, "sum_other_doc_count": 0, "buckets": [ { "key": "2", "doc_count": 10804 }, { "key": "1", "doc_count": 7240 }, { "key": "4", "doc_count": 6716 }, { "key": "3", "doc_count": 1091 } ] } }, { "key_as_string": "2018-08-06 13", "key": 1533562200000, "doc_count": 25282, "group_by_status": { "doc_count_error_upper_bound": 0, "sum_other_doc_count": 0, "buckets": [ { "key": "2", "doc_count": 10457 }, { "key": "1", "doc_count": 7185 }, { "key": "4", "doc_count": 6696 }, { "key": "3", "doc_count": 944 } ] } }, .....

## 特别说明 ##

"buckets": [
                    {
                        "key_as_string": "2018-08-06 12",
                        "key": 1533556800000,

1.关于统计的时间段  
**2018-08-06 12 统计的是12~13点之间的数据**   
以此类推  
**2018-08-06 00 统计的是00~01之间的数据**  
**2018-08-06 23 统计的是23~次日00之间的数据**

2.关于key 和 key\_as\_string  
**key\_as\_string 不一定完全可信, 即key按照用户当前时间格式化之后不一定等于key\_as\_string**  
**这是由建立es索引时采用的时区决定的, 用之前最好验证一下, 比如说博主现在正在做的一个项目中, 由于es采用的是ISO8859-1的时间格式, 导致所有时区提前了8个小时, 所以在查询和统计时, 一定要记得补偿这8个小时的数据**  
**可以通过设置时区来解决这个问题**