ElasticSearch——日志工具

Elasticsearch: 权威指南

官方文档：https://www.elastic.co/guide/en/elasticsearch/reference/current/settings.html

参考文档：https://github.com/13428282016/elasticsearch-CN/wiki/es-setup--elasticsearch

Elasticsearch 检索

Elasticsearch工作原理

Elasticsearch ：是一个 分布式、可扩展、实时 的 搜索与数据分析引擎 。 它能从项目一开始就赋予你的数据以 搜索、分析和探索 的能力，这是通常没有预料到的。 它存在还因为原始数据如果只是躺在磁盘里面根本就毫无用处。

ES：是一个 高扩展的、开源的、全文检索 的 搜索引擎 ，它提供了 近实时的索引、搜索、分析 功能。

应用场景

1 它提供了 强大的搜索功能 ，可以实现类似百度、谷歌等 搜索 。

2 可以 搜索日志或者交易数据 ，用来 分析 商业趋势、搜集日志、分析系统瓶颈或者运行发展等等

3 可以提供 预警功能 （持续的查询分析某个数据，如果超过一定的值，就进行 警告 ）

4 分析 商业信息 ，在百万级的大数据中轻松的 定位关键信息

1 近实时

ES并不是一个标准的数据库，它不像MongoDB，它侧重于对存储的数据进行搜索。因此要注意到它 不是 实时读写 的，这也就意味着，刚刚存储的数据，并不能马上查询到。

当然这里还要区分查询的方式，ES也有数据的查询以及搜索，这里的近实时强调的是搜索....

2 集群

在ES中，对用户来说集群是很透明的。你只需要指定一个 集群的名字 （默认是elasticsearch），启动的时候，凡是集群是这个名字的，都会默认加入到一个集群中。

你不需要做任何操作，选举或者管理都是自动完成的。

对用户来说，仅仅是一个名字而已！

3 节点

跟集群的概念差不多，ES启动时会设置这个 节点的名字 ，一个节点也就是一个ES得服务器。

默认会自动生成一个名字，这个名字在后续的集群管理中还是很有作用的，因此如果想要手动的管理或者查看一些集群的信息，最好是自定义一下节点的名字。

4 索引

索引是一类文档的 集合 ，所有的操作比如索引（索引数据）、搜索、分析都是基于索引完成的。

在一个集群中，可以定义任意数量的索引。

5 类型

类型可以理解成一个索引的 逻辑分区 ，用于标识不同的文档字段信息的集合。但是由于ES还是以索引为粗粒度的单位，因此一个索引下的所有的类型，都存放在一个索引下。这也就导致不同类型相同字段名字的字段会存在类型定义冲突的问题。

在2.0之前的版本，是可以插入但是不能搜索；在2.0之后的版本直接做了插入检查，禁止字段类型冲突。

6 文档

文档是存储数据信息的 基本单元 ，使用json来表示。

7 分片与备份

在ES中，索引会备份成分片，每个分片是独立的lucene索引，可以完成搜索分析存储等工作。

分片的好处：

1 如果一个索引数据量很大，会造成硬件硬盘和搜索速度的瓶颈。如果分成多个分片，分片可以分摊压力。

2 分片允许用户进行水平的扩展和拆分

3 分片允许分布式的操作，可以提高搜索以及其他操作的效率

拷贝一份分片就完成了分片的备份，那么备份有什么好处呢？

1 当一个分片失败或者下线时，备份的分片可以代替工作，提高了高可用性。

2 备份的分片也可以执行搜索操作，分摊了搜索的压力。

ES默认在创建索引时会创建5个分片，这个数量可以修改。

不过需要注意：

1 分片的数量只能在创建索引的时候指定，不能在后期修改

2 备份的数量可以动态的定义

Elasticsearch 脱颖而出的地方：Elasticsearch 鼓励你去探索与利用数据，而不是因为查询数据太困难，就让它们烂在数据仓库里面。

结构化搜索（Structured search） 是指有关探询那些具有 内在结构数据 的过程

比如日期、时间和数字都是结构化的：它们有精确的格式，我们可以对这些格式进行逻辑操作。比较常见的操作包括比较数字或时间的范围，或判定两个值的大小。

文本也可以是结构化的。如彩色笔可以有离散的颜色集合： 红（red） 、 绿（green） 、 蓝（blue） 。一个博客可能被标记了关键词 分布式（distributed） 和 搜索（search） 。电商网站上的商品都有 UPCs（通用产品码 Universal Product Codes）或其他的唯一标识，它们都需要遵从严格规定的、结构化的格式。

结果只能是：存于范围之中，抑或反之。同样，对于结构化文本来说，一个值要么相等，要么不等。没有 更似 这种概念。

精确值查找

当进行精确值查找时， 我们会使用 过滤器（filters） 。过滤器很重要，因为它们执行速度非常快，不会计算相关度（直接跳过了整个评分阶段）而且很容易被缓存