Wie kumulative_sum mit einer vorherigen Aggregation verwenden?

Question

Ich möchte eine kumulative Summe einiger Ereignisse pro Tag grafisch darstellen. Die cumulative sum aggregation scheint der Weg zu sein, also habe ich versucht, das Beispiel in den Dokumenten zu verwenden.

Die erste Aggregation funktioniert gut, die folgende Abfrage

{ 
    "aggs": { 
     "vulns_day" : { 
      "date_histogram" :{ 
       "field": "HOST_START_iso", 
       "interval": "day" 
      } 
     } 
    } 
} 

gibt Antworten wie

 (...) 
     { 
      "key_as_string": "2016-09-08T00:00:00.000Z", 
      "key": 1473292800000, 
      "doc_count": 76330 
     }, 
     { 
      "key_as_string": "2016-09-09T00:00:00.000Z", 
      "key": 1473379200000, 
      "doc_count": 37712 
     }, 
     (...) 

ich dann die kumulative Summe von doc_count oben über

{ 
    "aggs": { 
     "vulns_day" : { 
      "date_histogram" :{ 
       "field": "HOST_START_iso", 
       "interval": "day" 
      } 
     }, 
     "aggs": { 
      "vulns_cumulated": { 
       "cumulative_sum": { 
        "buckets_path": "doc_count" 
       } 
      } 
     } 
    } 
} 

abfragen wollte aber es gibt einen Fehler:

"reason": { 
       "type": "search_parse_exception", 
       "reason": "Could not find aggregator type [vulns_cumulated] in [aggs]", 

Ich sehe, dass bucket_path auf die Elemente zeigen sollte eine spezifische Zwischensumme summiert und das Beispiel für kumulative Aggregationen erstellt werden, aber ich habe nichts zu summieren (neben doc_count).

Answer 1

ich die Lösung gefunden. Da doc_count nicht verfügbar zu sein scheint, habe ich versucht, stats für den Zeitparameter abzurufen, und seinen Wert count verwenden. Es hat funktioniert:

{ 
    "size": 0, 
    "aggs": { 
     "vulns_day": { 
     "date_histogram": { 
      "field": "HOST_START_iso", 
      "interval": "day" 
     }, 
     "aggs": { 
      "dates_stats": { 
       "stats": { 
        "field": "HOST_START_iso" 
       } 
      }, 
     "vulns_cumulated": { 
      "cumulative_sum": { 
       "buckets_path": "dates_stats.count" 
      } 
     } 
     } 
    } 
    } 
} 

Answer 2

ich denke, sollten Sie Ihre Abfrage wie folgt ändern:

{ 
    "aggs": { 
    "vulns_day": { 
     "date_histogram": { 
     "field": "HOST_START_iso", 
     "interval": "day" 
     }, 
     "aggs": { 
     "document_count": { 
      "value_count": { 
      "field": "HOST_START_iso" 
      } 
     }, 
     "vulns_cumulated": { 
      "cumulative_sum": { 
      "buckets_path": "document_count" 
      } 
     } 
     } 
    } 
    } 
}