Elastic：如何根据下面讨论的问题可视化数据？

Question

我使用的系统为每个设备生成日志，每个设备都有一个唯一的序列号（日志中的serial_number）。由于设备处于活动状态，我们每分钟都会收到日志，因此如果某个设备关闭，那么我们从下一分钟到它再次打开之前都不会收到其日志。
我想做的是找到不活动的设备。非活动设备被视为一小时前存在于日志中但现在不存在的设备。所以基本上我必须过滤上一分钟没有记录但一小时前记录的设备的序列号。

起初，我尝试使用弹性搜索 DSL 查询创建可视化，但即使使用聚合管道也无法编写查询，因此我继续研究是否可以将 AWS lamda 与可视化集成，这样我就可以处理来自日志的数据lambda 并将其传递给可视化来显示，但我也无法通过这种方式找到任何解决方案，然后我探索了 Heart Beat、Logstash 等，但仍然找不到任何解决方案。
请注释掉任何可能的方式来可视化非活动设备的计数/列表。

Answer 1

如果您仍然收到日志但缺少 id 字段：

您需要过滤掉不存在的日志。 您只需单击 Kibana 的“发现”部分上的 + 符号即可。 然后选择ID并选择“不存在”（或者不是= yourValue） 它显示了确切 Id 不存在的日志。

与发现部分类似，您可以将鼠标悬停在左侧窗格中的 ID 部分上，然后单击 ID。它将显示最高的 X 值。 然后，您可以在 Stack Management -> Kibana -> Advanced settings 下设置顶部值。

如果您没有从丢失的日志中获得任何日志，我建议：

只需创建一个聚合饼图并累积所有日志计数。然后你就可以看到丢失的了。