我正在尝试使用Kibana计算两个日志事件之间的持续时间。我遇到的问题是日志没有唯一标识符。我将不得不根据某些列将它们分组。在发现选项卡中，我将其设置如下。我搜索“通讯”和“鼓sw”，然后按时间对结果进行排序。
1: September 10th 2015, 03:04:41.000 Communication Failure drum sw 939
2: September 10th 2015, 03:04:46.000 Communication Normal drum sw 939
3: September 10th 2015, 03:28:07.000 Communication Failure drum sw 2305
4: September 10th 2015, 03:28:13.000 Communication Normal drum sw 2305
有没有一种方法可以按其区域(sw)和设备类型(SW)对这些日志进行分组？除此之外，如何创建一个计算字段来确定事件之间的持续时间？
因此，对于前两个，它们之间的持续时间为5秒:例如:(当前时间)-(结束时间)= 5秒。这是我会在脚本化字段中执行的操作吗？
我正在使用ELK配置的最新版本。 Kibana 4.2 flex 搜索和logstash 2.0.0。
谢谢!
最佳答案
使用elapsed {}过滤器，您可以指定一个复杂的模式作为您的唯一键(如组合两个字段)。
关于logging - Kibana:日志和计算字段之间的持续时间，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/33488736/