Elasticsearch · Elasticsearch 8.19.12
В Т‑Банке сервисом логов на Elasticsearch пользуются около 200 команд (так говорили на митапе 2021 года). 14 марта 2026 с 10:00 до 11:00 по Москве платежи отвечали с задержкой, дежурный хочет понять, какой сервис сыпал ошибками.
Индекс logs: @timestamp (date, хранится в UTC), service (keyword), level (keyword: ERROR, WARN, INFO), message (text).
Верните агрегацию by_service: три сервиса с наибольшим числом записей ERROR в окне [10:00; 11:00) по Москве (UTC+3). При равенстве — по имени сервиса. Документы в выдаче не нужны.
В работе: Разбор инцидента дежурным SRE: Kibana Discover или запрос из скрипта постмортема.
Источник: доклад Тинькофф «Построение сервиса логов на Elasticsearch для 200 команд», Elasticsearch Community Meetup, 2021. Условие пересказано своими словами.
Какой запрос вернёт три самых шумных сервиса за окно инцидента?
- окно 10:00–11:00 без часового пояса
- окно с +03:00, level ERROR, lt 11:00
- окно с +03:00 без фильтра level
- окно с +03:00, lte 11:00