Elasticsearch求和聚合查询问题：现金状态违规金额统计异常

我来帮你搞定这个聚合查询的问题！你遇到的情况是因为嵌套数组的扁平化处理导致的——Elasticsearch默认会把数组字段里的元素扁平化成多值字段，这就使得你按违规名称聚合时，每个分组都会把文档里所有违规的金额加起来，最终都得到了4300（100+4000+1200）。

下面是具体的解决步骤：

1. 确认并修正索引映射 #

首先，你的challan_offences字段是嵌套数组，必须把它设置为nested类型，这样Elasticsearch才会把数组里的每个违规项当作独立的子文档处理，而不是扁平化。如果当前映射不是nested，执行以下命令更新：

{
  "properties": {
    "challan_offences": {
      "type": "nested"
    },
    "challan_status": {
      "type": "nested" // 可选，但如果这个字段也是数组，设置为nested能更精准过滤
    }
  }
}

2. 编写正确的聚合查询 #

接下来，我们需要结合嵌套过滤（筛选challan_status为Cash的文档）和嵌套聚合（按违规名称分组计算金额）：

{
  "size": 0, // 不需要返回原始文档，只看聚合结果
  "query": {
    // 过滤出challan_status包含"Cash"的文档
    "nested": {
      "path": "challan_status",
      "query": {
        "match": {
          "challan_status.challan_status": "Cash"
        }
      }
    }
  },
  "aggs": {
    // 进入challan_offences的嵌套上下文
    "filtered_offences": {
      "nested": {
        "path": "challan_offences"
      },
      "aggs": {
        // 按违规名称分组
        "by_offence_name": {
          "terms": {
            "field": "challan_offences.offence_name.keyword" // 注意用keyword字段做精确分组
          },
          "aggs": {
            // 计算每个违规名称对应的金额总和
            "total_amount": {
              "sum": {
                "field": "challan_offences.amount"
              }
            }
          }
        }
      }
    }
  }
}

为什么这个查询能解决问题？ #

• 嵌套过滤：通过nested查询精准匹配包含"Cash"状态的文档，确保只处理符合条件的数据。
• 嵌套聚合：进入challan_offences的嵌套上下文后，Elasticsearch会把每个违规项当作独立的子文档，这样按offence_name分组时，每个分组只会统计对应违规项的金额，不会把所有金额混在一起。

执行这个查询后，你应该会得到每个违规名称对应的正确金额：

• "Valid Insurance" → 100
• "Fail to produce certificate of Fitness" → 4000
• "Fail to produce Driving Licence (No DL) " → 1200

内容的提问来源于stack exchange，提问作者VinayPanwar