如何在Elastic中统计指定时段内各条目的值变更次数？

当然可以搞定这个需求！要统计指定时间段内每个Name对应的Result字段变更次数，我们可以借助Elasticsearch的**脚本化指标聚合（Scripted Metric Aggregation）**来实现——这个场景需要追踪每个分组内文档的上一个Result值，并和当前值对比统计变化次数，脚本聚合刚好能满足这种自定义的状态追踪需求。

先明确你的数据结构 #

先把你提供的示例数据标准化为Elasticsearch文档结构（方便后续理解查询逻辑）：

// 单条示例文档
{
  "Index": "idx16",
  "Name": "A",
  "Result": 7,
  "TimeStamp": "2018-03-07T16:17:35.000Z"
}

实现需求的完整DSL查询 #

下面是针对你的需求编写的Elasticsearch查询语句，包含时间段过滤、按Name分组、以及变更次数统计的核心逻辑：

GET idx16/_search
{
  "size": 0, // 不需要返回原始文档，只关注聚合结果
  "query": {
    "range": {
      "TimeStamp": {
        "gte": "2018-03-07T16:17:35.000Z",
        "lte": "2018-03-07T16:17:38.000Z"
      }
    }
  },
  "aggs": {
    "group_by_name": {
      "terms": {
        "field": "Name.keyword", // 用keyword字段避免分词导致分组错误
        "size": 10
      },
      "aggs": {
        "result_change_count": {
          "scripted_metric": {
            // 初始化状态：保存上一个Result值和变更计数
            "init_script": "state.last_result = null; state.change_count = 0;",
            // 映射阶段：对比当前文档和上一个Result，不同则计数+1
            "map_script": """
              def current_result = doc['Result'].value;
              if (state.last_result != null && current_result != state.last_result) {
                state.change_count += 1;
              }
              state.last_result = current_result;
            """,
            // 合并当前分片内的计数
            "combine_script": "return state.change_count;",
            // 汇总所有分片的计数得到最终结果
            "reduce_script": """
              int total = 0;
              for (def count in states) {
                total += count;
              }
              return total;
            """
          }
        }
      }
    }
  }
}

查询结果匹配说明 #

执行这个查询后，会完全符合你的预期结果：

• Name: A：Result序列是7→7→8→7，发生2次变更（7→8、8→7），返回change_count: 2
• Name: B：Result序列是1→2→3→7，发生3次变更，返回change_count: 3
• Name: C：Result全为1，无变更，返回change_count: 0

关键注意事项 #

1. 确保TimeStamp字段是日期类型，否则range查询无法正常过滤时间段；
2. 如果Name字段是text类型，必须使用Name.keyword进行分组（避免分词导致同一个Name被拆分成多个分组）；
3. 脚本逻辑默认第一个文档的Result不计数变更（因为没有上一个值可对比），完全匹配你的需求场景。

内容的提问来源于stack exchange，提问作者NoName2