[备忘]es查询之分桶再聚合

查询逻辑：

先按条件筛选一天之内的原始数据,在原始数据上进行分桶，先按15秒分桶，求和桶内num值。

{
    "query": {
        "bool": {
            "must": [{
                    "match": {
                        "statFunc": "onlinecount"
                    }
                },
                {
                    "range": {
                        "unixtime": {
                          "gt": $start_time,//时间变量
                          "lt": $end_time
                        }
                    }
                },
                {
                    "range": {
                        "num": {
                            "gt": 0
                        }
                    }
                }
            ]
        }
    },
    "from": 0,
    "size": 0,
    "sort": [],
    "aggs": {
        "time_group": {
            //histogram表示分组，分组字段为unixtime，间隔为interval=15000（15秒）
            "histogram": {
                "field": "unixtime",
                "interval": 15000
            },
            //再按字段field=num聚合
            "aggs": {
                "num_sum": {
                    "sum": {
                        "field": "num"
                    }
                }
            }
        },
        "max_num_sum": {
            //max_bucket表示取桶内字段最大值(基于上面第2个aggs的聚合)
            "max_bucket": {
                //buckets_path=time_group>num_sum表示取time_group桶内num_sum字段最大值
                "buckets_path": "time_group>num_sum"//类似于指示聚合的路径
            }
        }
    }
}

//注：这里按是15秒分桶，是因为每15秒记录的数据可能有多条，因为可能存在多个大厅（每个大厅每15秒都会记录一次）

END