Création watche calcule ratio de deux metric

[Youssef_OPS (Youssef)]

Bonjour à tous,

Je suis entrain de crée une alerte ratio qui permets de calculer la ratio de deux métriques
en effet il permet de chercher les deux phrase dans un délais de 1h

Voici le code mais ca fonctionne pas : il ne prend en compte un délais de 1h

calcule : NBr EER/nb warring ne depasse pas 0,5%

Merci pour votre aide

"query": {
"bool": {
"should": [
{ "match_phrase": { "message": "Error " }},
{ "match_phrase": { "message": "Warning " }}
],
"must": [
{
"range": {
"@timestamp": {
"gte": "now-1h"
}
}
}
]
}
},
"aggs" : {
"messages" : {
"filters" : {
"filters" : {
"error" : { "match_phrase" : { "message": "ERR" }},
"WN" : { "match_phrase" : { "message": "Warnning " }}
}
}
}
}
}

[dadoonet (David Pilato)]

Peux-tu formatter ton code en utilisant l'icône </> ou (```) et vérifier dans la vue "preview" que c'est correct ? Aussi mettre une indentation pour que le code soit plus facilement lisible.

Pour répondre exactement à ta question, peux-tu fournir un script qui permet de reproduire ton cas ? Comme expliqué ici : About the Elasticsearch category. Essaye de faire un exemple le plus simple possible (pas besoin de tous les champs).

Un tel script est quelque chose qu'on peut coller dans la Dev Console de Kibana et cliquer sur le bouton "RUN" pour reproduire ton cas. Un tel script permet de mieux comprendre ce que tu fais et d'obtenir une résolution plus rapide de ta question.

[Youssef_OPS (Youssef)]

Bonjour ,

Le script a été testé dans DEV Tools , il me revois toujours le même count 10000c'est comme il prends pas en compte la plage de recherche 1h

"must": [
{
"range": {
"@timestamp": {
"gte": "now-1h"
}

Merci de me dire si j'ai un probléme au niveau de script

[dadoonet (David Pilato)]

@Youssef_OPS

Merci de me dire si j'ai un probléme au niveau de script

Ca serait plus simple si tu répondais aux questions que j'ai posée mais bon, je vais "deviner" quel est "ton problème".
Je "suppose" que la valeur 10000 que tu vois est dans la partie:

  "hits": {
    "total": {
      "value": 10000,
      "relation": "..."
    },

N'est-ce pas ?
Si tu veux avoir le nombre exact de hits au delà de 10000, tu peux activer l'option track_total_hits. Regarde la doc sur cette page.

Si ça ne répond pas à ta question, merci de préciser ta question en fournissant un script complet comme je l'ai demandé.