ES|QL временные отрезки

Временные отрезки представляют собой интервалы между двумя значениями даты и времени. В настоящее время поддерживаются два типа временных отрезков:

Временной отрезок требует двух элементов: целого значения и временной единицы.

Временные отрезки работают с функциями группировки, такими как BUCKET, скалярными функциями, такими как DATE_TRUNC, и арифметическими операторами, такими как + и -. Преобразование строк во временные отрезки осуществляется с помощью TO_DATEPERIOD, TO_TIMEDURATION или операторов приведения типов ::DATE_PERIOD, ::TIME_DURATION.

С использованием BUCKET:

FROM employees
| WHERE hire_date >= "1985-01-01T00:00:00Z" AND hire_date < "1986-01-01T00:00:00Z"
| STATS hires_per_week = COUNT(*) BY week = BUCKET(hire_date, 1 week)
| SORT week

С использованием DATE_TRUNC:

FROM employees
| KEEP first_name, last_name, hire_date
| EVAL year_hired = DATE_TRUNC(1 year, hire_date)

С использованием + и/или -:

FROM sample_data
| WHERE @timestamp > NOW() - 1 hour

Когда временной отрезок предоставляется в виде именованного параметра в строковом формате, TO_DATEPERIOD, ::DATE_PERIOD, TO_TIMEDURATION или ::TIME_DURATION могут использоваться для преобразования в соответствующее значение временного отрезка для арифметических операций, таких как + и/или -.

POST /_query
{
   "query": """
   FROM employees
   | EVAL x = hire_date + ?timespan::DATE_PERIOD, y = hire_date - TO_DATEPERIOD(?timespan)
   """,
   "params": [{"timespan" : "1 day"}]
}

Когда временной отрезок предоставляется в виде именованного параметра в строковом формате, он может быть автоматически преобразован в соответствующее значение временного отрезка в функциях группировки и скалярных функциях, таких как BUCKET и DATE_TRUNC.

POST /_query
{
   "query": """
   FROM employees
   | WHERE hire_date >= "1985-01-01T00:00:00Z" AND hire_date < "1986-01-01T00:00:00Z"
   | STATS hires_per_week = COUNT(*) BY week = BUCKET(hire_date, ?timespan)
   | SORT week
   """,
   "params": [{"timespan" : "1 week"}]
}

POST /_query
{
   "query": """
   FROM employees
   | KEEP first_name, last_name, hire_date
   | EVAL year_hired = DATE_TRUNC(?timespan, hire_date)
   """,
   "params": [{"timespan" : "1 year"}]
}