如何在Kibana中查询持续满足条件达指定时长的记录？

Kibana的常规DSL查询确实只能筛选单条符合条件的记录，没法直接判断连续满足条件的时长。不过通过Elasticsearch的配套功能，在Kibana里完全可以实现你要的需求，下面是几种可行的方案：

1. 用EQL（事件查询语言）直接查询 #

EQL是Elasticsearch专门针对时间序列事件设计的查询语言，支持匹配连续事件的时长。你可以在Kibana的Discover里切换查询类型为EQL，或者在Dev Tools里执行以下类似语句：

# 筛选连续满足条件且持续至少20秒的事件序列
sequence
  [ where Clock > 50 and Vents == "off" ]
  | until not (Clock > 50 and Vents == "off")
  | where duration >= 20s

如果你的数据是按固定频率采集（比如每秒一条），也可以用统计窗口的方式计算连续时长：

filter
  where Clock > 50 and Vents == "off"
| sort @timestamp asc
# 按设备ID分组（如果有多台设备的话）
| partition by device_id
# 计算相邻事件的时间间隔，判断是否连续
| window start=0 end=1
| where @timestamp - prev(@timestamp) <= 1s
# 统计连续事件的起止时间
| stats min(@timestamp) as start_time, max(@timestamp) as end_time by device_id
# 筛选持续时长≥20秒的时间段
| where end_time - start_time >= 20s

2. 用Transform预处理数据 #

如果需要频繁查询这类场景，建议用Kibana的Transform功能预计算结果：

• 创建一个新的Transform，选择你的原始索引作为源
• 按device_id（或其他分组字段）和时间窗口做聚合，统计每个窗口内满足Clock >50 and Vents="off"的记录数
• 设置判断条件：当连续窗口的满足条件记录数累计≥20（对应20秒，假设每秒一条数据）时，标记该时间段为有效
• 将预处理结果保存到新的索引中，之后直接在Kibana里查询这个衍生索引即可，效率更高

3. 自定义脚本+滚动搜索（适合复杂场景） #

如果以上两种方法不够灵活，可以在Dev Tools里用滚动搜索结合Painless脚本，遍历时间序列数据，跟踪满足条件的连续时长，标记出符合要求的记录。不过这种方法需要一定的脚本编写能力，适合个性化需求较强的场景。

总结：Kibana本身没有直接的“持续时长”查询按钮，但借助EQL、Transform或者Elasticsearch的脚本能力，完全可以实现你要的“筛选满足条件且持续至少指定时长”的需求。

内容的提问来源于stack exchange，提问作者simone colombo