在elasticsearch aggs中，不同的计数大于doc_count

Question

我编写了一些aggs查询来获取总计（sum）和唯一计数。但结果有点混乱。

唯一值大于doc_count。
可能吗？

我知道基数aggs是实验性的，可以得到不同值的近似计数
http://www.elasticsearch.org/guide/en/elasticsearch/reference/current/search-aggregations-metrics-cardinality-aggregation.html

但是结果太糟糕了。正如你所看到的，有许多桶是唯一的大于doc_count。
请求格式有问题吗？或者基数限制？

索引了50万个文档，有15种类型的eventID使用ES 1.4。

要求

{
"size": 0,
"_source": false,
"aggs": {
    "eventIds": {
        "terms": {
            "field": "_EventID_",
            "size": 0
        },
        "aggs": {
            "unique": {
                "cardinality": {
                    "field": "UUID"
                }
            }
        }
    }
}  

响应

{
"took": 383,
"timed_out": false,
"_shards": {
    "total": 5,
    "successful": 5,
    "failed": 0
},
"hits": {
    "total": 550971,
    "max_score": 0,
    "hits": [

    ]
},
"aggregations": {
    "eventIds": {
        "doc_count_error_upper_bound": 0,
        "sum_other_doc_count": 0,
        "buckets": [
            {
                "key": "red",
                "doc_count": 165110,
                "unique": {
                    "value": 27423
                }
            },
            {
                "key": "blue",
                "doc_count": 108376,
                "unique": {
                    "value": 94775
                }
            },
            {
                "key": "yellow",
                "doc_count": 78919,
                "unique": {
                    "value": 70094
                }
            },
            {
                "key": "green",
                "doc_count": 60580,
                "unique": {
                    "value": 78945
                }
            },
            {
                "key": "black",
                "doc_count": 49923,
                "unique": {
                    "value": 56200
                }
            },
            {
                "key": "white",
                "doc_count": 38744,
                "unique": {
                    "value": 45229
                }
            },

我再次尝试了1,000precision_threshold，只过滤了一个eventId
，但结果错误相同。基数预计小于30,000，但超过66,000（这大于总文档大小）

doc_count：65,672（没问题。右）基数：66,037（大于doc_count）实际基数：约23,000（由rdbms脚本计算...）

要求

{
"size": 0,
"_source": false,
"query": {
    "term": {
        "_EventID_": "packdownload"
    }
},
"aggs": {
    "unique": {
        "cardinality": {
            "field": "UUID",
            "precision_threshold": 10000
        }
    }
}

}

响应

{
"took": 28,
"timed_out": false,
"_shards": {
    "total": 5,
    "successful": 5,
    "failed": 0
},
"hits": {
    "total": 65672,
    "max_score": 0,
    "hits": []
},
"aggregations": {
    "unique": {
        "value": 66037
    }
}

}

Answer 1

精度阈值的最高值是40,000。这应该会稍微改善结果，但是对于如此大的不同值计数，可能会有20%的正负误差。即使是较小的值也会发生这种情况。