Перейти к основному содержимому
Версия: 4.1

timeaggs

Описание

Выполняет поиск и генерацию массива данных, распределенных по временной шкале с помощью внутренних механизмов хранилища.

осторожно

Использование timeaggs в запросе допустимо в случае, если перед ней находятся только команды, также работающие с внутренними механизмами хранилища. К ним относятся source, search и peval. Это условие должно выполняться и для всех подзапросов в запросе.

Синтаксис

timeaggs [<composite>] [<span>] [<timefield>] [<limit>] [<useother>]  <functions-expression> ["," <functions-expression>] [<by_expression>]

Обязательные аргументы

functions-expression Обязательно использование хотя бы одной из функций:

ПараметрСинтаксисОписание
countcount | count(<field>)Вычисляет количество событий, содержащих поле. Если поле не указано, рассчитывает общее количество событий.
avgavg(<field>)Вычисляет среднее значение по заданному полю.
dcdc(<field>)Вычисляет количество уникальных значений в заданном поле.
maxmax(<field>)Вычисляет максимальное значение по заданному полю.
minmin(<field>)Вычисляет минимальное значение по заданному полю.
sumsum(<field>)Вычисляет сумму значений по заданному полю.
percperc(<field>, <percent>)Вычисляет персентиль по заданному полю и проценту

Опциональные аргументы

ПараметрСинтаксисПо умолчаниюОписание
spanspan=<span>см. Предопределенные значения spanОпределяет интервал для распределения отрезков.
timefieldtimefield=<field>@timestampИмя поля в котором хранится временная метка.
compositecomposite=<boolean>falseДает возможность использования скроллинга в агрегациях и получить все возможные сегменты (buckets) с помощью нескольких запросов (аналогично scroll в stats). Может быть применен только при наличии группировки (by полей). Количеством сегментов (buckets), которые будут возвращены в ответе имеет фиксированное значение — 1000.
limitlimit=<int>10Максимальное количество уникальных значений by_field, которые будут использоваться в названии столбцов результата. Остальные значения объединятся в поле OTHER.
useotheruseother=<boolean>trueПри значении false параметр limit не учитывается.
by_expressionby <field>Имя поля для группировки значений.

Допустим следующий формат временных параметров: (+|-)<int>(s|m|h|d|w|month):

  • s/sec/secs/second/seconds - секунды
  • m/min/mins/minute/minutes - минуты
  • h/hr/hrs/hour/hours - часы
  • d/day/days - дни
  • w/week/weeks - недели
  • mon/month/months - месяцы
Предопределенные значения span

Если не указан параметр span для временного поля, будут действовать предопределенные параметры.

Перечень предопределенных параметров:

Временной интервалspan
последние 15 минут10 секунд
последние 60 минут1 минута
последние 4 часа5 минут
последние 24 часа30 минут
последние 7 дней1 день
последние 30 дней1 день
последний год1 месяц
Использование composite

Аргумент composite доступен при запросе к OpenSearch.

Использование keyword в OpenSearch

Aggregations в OpenSearch выполняют статистическую обработку по числовым типам полей или же keyword, если поле текстовое. В соответствии с этим для текстовых полей нужно дописывать <название поля>.keyword, это необходимо делать как в заданных, так и в by полях. Пример:

... | timeaggs avg(user.keyword), earliest(country.keyword) by event.keyword, user_count

Примеры запросов

Пример 1:

Пример №1
... | timeaggs span=1h avg(msgNums) by user.keyword

Пример 2:

Пример №2
... | timeaggs span=15m avg(log.offset) by source.keyword

Пример 3:

Пример №3
... | timeaggs composite=true span=3h count, max(log.offset)

Пример 4:

Пример №4
... | timeaggs span=5d perc(log.offset, 5)