Kibana 7.17 Lens可视化无法自定义周/月/年时间聚合间隔求助

问题描述 #

我正在使用Kibana 7.17创建Lens可视化，自定义时间戳按多天聚合数据时可轻松操作：

但尝试按多周、多月或多年聚合数据时，设置项呈灰色且自动重置为1，无法实现如按3个月（季度）的聚合，周、年维度也存在相同问题。

解决方案 #

针对Kibana 7.17版本的这个限制，可通过以下方式实现多周期聚合：

1. 自定义脚本字段预计算周期分组 #

• 进入Stack Management > Index Patterns，找到目标索引模式
• 切换到Scripted fields标签，添加新脚本字段：
  • 按季度（3个月）聚合的示例脚本（替换你的时间字段名为实际字段）：

    DateTime dt = doc['你的时间字段名'].value;
    int quarter = (dt.getMonthValue() - 1) / 3 + 1;
    return dt.getYear() + "Q" + quarter;
    

  • 字段类型选择Keyword，保存后回到Lens
  • 在Lens中选择该脚本字段作为分组维度，即可实现季度聚合
  • 多周（如2周）聚合的示例脚本：

    DateTime dt = doc['你的时间字段名'].value;
    int weekNum = dt.getWeekOfWeekyear();
    int twoWeekGroup = (weekNum - 1) / 2 + 1;
    return dt.getYear() + "-W" + twoWeekGroup;
    

2. 用Timelion实现多周期聚合 #

若无需Lens的特定功能，可直接用Timelion：

• 打开Timelion，输入查询（替换索引名和时间字段）：

  .es(index=你的索引名, timefield=你的时间字段, q=*).interval(3M)
  

  其中3M代表3个月，2w代表2周，2y代表2年，可按需调整

额外建议 #

• 脚本字段会增加查询开销，建议在数据导入阶段预计算这类周期字段，提升性能
• Kibana 8.x版本已修复该限制，支持直接在Lens中设置多周/多月/多年聚合，有条件可考虑升级

内容的提问来源于stack exchange，提问作者Pat. ANDRIA