elasticsearch 如何在ElasticSearch中进行嵌套聚合，其中聚合覆盖子聚合的结果

我使用的是ElasticSearch 5.3。如果您能指导我如何在ES或Kibana实现这一点，我将不胜感激。我读过这些文档，尤其是关于范围聚合、嵌套聚合和管道聚合的文档，但根本无法让它们工作或生成im所需的内容

我想将我的问题表述为关系数据库问题，而不是用一般术语描述我想要的：

这是我的桌子：

CREATE TABLE metrics
    (`host` varchar(50), `counter` int, `time` int)
;

INSERT INTO metrics
    (`host`, `counter`, `time`)
VALUES
    ('host1', 3, 1),
    ('host2', 2, 2),
    ('host3', 1, 3)
    ,('host1', 5, 4)
    ,('host2', 2, 5)
    ,('host3', 2, 6)
    ,('host1', 9, 7)
    ,('host2', 3, 8)
    ,('host3', 5, 9)
;

我要获取所有主机的计数器的总值。请注意，每个主机为某些计数器发出一个不断增加的值，因此我不能只为每个记录添加计数器。相反，我需要使用以下SQL：

select sum(max_counter)
from ( select max(counter) as max_counter
    from metrics
    where time > 0 AND time < 10
    group by host) as temptable;

---

这将产生正确的结果：17=9+3+5

您可以通过管道聚合实现它

{
    "size": 0,
    "aggs": {
        "hosts": {
            "terms": {
                "field": "host"
            },
            "aggs": {
                "maxCounter": {
                    "max": {
                        "field": "counter"
                    }
                }
            }
        },
        "sumCounter": {
            "sum_bucket": {
                "buckets_path": "hosts>maxCounter"
            }
        }
    },
    "query": {
        "range": {
            "time": {
                "gt": 0.0,
                "lt": 10.0
            }
        }
    }
}

首先，在主机聚合中按主机字段对条目进行分组。然后在其中应用最大聚合。然后添加sum_bucket aggregation，它接受上一个bucket的结果并返回所需的sum。您还可以使用范围查询筛选条目

这是一个结果

{
    "took": 22,
    "timed_out": false,
    "_shards": {
        "total": 5,
        "successful": 5,
        "failed": 0
    },
    "hits": {
        "total": 9,
        "max_score": 0.0,
        "hits": []
    },
    "aggregations": {
        "hosts": {
            "doc_count_error_upper_bound": 0,
            "sum_other_doc_count": 0,
            "buckets": [
                {
                    "key": "host1",
                    "doc_count": 3,
                    "maxCounter": {
                        "value": 9.0
                    }
                },
                {
                    "key": "host2",
                    "doc_count": 3,
                    "maxCounter": {
                        "value": 3.0
                    }
                },
                {
                    "key": "host3",
                    "doc_count": 3,
                    "maxCounter": {
                        "value": 5.0
                    }
                }
            ]
        },
        "sumCounter": {
            "value": 17.0
        }
    }
}

sumCounter等于17

以防万一，这里是原始映射

{
    "mappings": {
        "metrics": {
            "properties": {
                "host": {
                    "type": "text",
                    "fielddata": true
                },
                "counter": {
                    "type": "integer"
                },
                "time": {
                    "type": "integer"
                }
            }
        }
    }
}