OpenSearch Anomaly Detector自定义表达式编写错误求助

错误原因 #

你出错的核心问题是：value_count聚合本身不支持filter参数，你错误地将过滤条件直接嵌套在了value_count内部，导致OpenSearch无法识别该字段。

正确的表达式写法 #

有两种可行的方式实现你的需求：

方式1：用filter聚合包裹value_count #

通过外层的filter聚合先筛选出响应码400-499的文档，再对这些文档执行value_count统计：

{
  "http-4xx-response-count": {
    "filter": {
      "range": {
        "response": {
          "gte": 400,
          "lte": 499
        }
      }
    },
    "aggs": {
      "count": {
        "value_count": {
          "field": "response"
        }
      }
    }
  }
}

方式2：在查询层面添加过滤条件 #

如果是在Anomaly Detection的检测配置中，也可以直接在query部分添加全局过滤，再保留原有的value_count统计：

{
  "query": {
    "range": {
      "response": {
        "gte": 400,
        "lte": 499
      }
    }
  },
  "metrics": [
    {
      "http-4xx-response-code": {
        "value_count": {
          "field": "response"
        }
      }
    }
  ]
}

关于Anomaly Detection表达式文档 #

OpenSearch官方文档中包含Anomaly Detection支持的所有聚合类型和语法说明，你可以重点查看：

• 支持的聚合指标类型（如value_count、avg、sum等）
• 如何结合过滤、范围查询等条件构建自定义表达式
• 完整的AD配置结构示例

内容的提问来源于stack exchange，提问作者automator