elasticsearch查询慢怎么排查

Elasticsearch 查询慢的排查通常可以从 慢查询日志、集群状态、索引设计、查询语句、硬件与配置 几个层面系统分析。下面给你一套可落地的排查思路。

一、先确认“慢”的范围

1. 是所有查询都慢，还是某类查询慢？
   • 全部慢 → 集群/硬件/网络问题
   • 某类慢 → 查询或索引问题
2. 是偶尔慢还是持续慢？
   • 偶尔 → GC、merge、热点
   • 持续 → 设计或资源不足

二、开启并查看慢查询日志（第一步）

1. 开启慢查询日志

PUT /my_index/_settings
{
  "index.search.slowlog.threshold.query.warn": "1s",
  "index.search.slowlog.threshold.query.info": "500ms",
  "index.search.slowlog.threshold.fetch.warn": "1s"
}

2. 查看日志

• elasticsearch.log 中 slowlog
• 区分：
  • query 阶段慢（打分、过滤）
  • fetch 阶段慢（取 _source）

三、检查集群与节点状态

1. 集群健康

GET /_cluster/health

• status != green
• unassigned_shards > 0

2. 节点负载

GET /_nodes/stats

重点关注：

• CPU 高
• 堆内存高 / GC 频繁
• 磁盘 IO 高
• load average 高

3. 热点问题

• 某个节点 CPU/IO 明显高于其他
• 分片分布不均

四、分析具体查询（重点）

1. 用 profile 分析

GET /index/_search
{
  "profile": true,
  "query": { ... }
}

看：

• 哪个 query 最耗时
• 是否 rewrite 次数多
• 是否遍历大量文档

2. 常见慢查询原因

✅ 通配符 / regex / prefix 查询
✅ wildcard 在 keyword 上
✅ 深度分页（from + size 很大）
✅ script 查询
✅ sort 字段未索引
✅ aggs 数据量过大
✅ _source 太大（fetch 慢）

五、索引与映射优化

1. 映射设计

• 不需要搜索的字段："enabled": false
• 大文本："index": false
• 不需要聚合：doc_values: false

2. 分片策略

• 单分片 20–50GB
• 分片过多 → 查询扇出大
• 分片过少 → 无法并行

3. 冷热架构

• 热数据：SSD + 高配
• 冷数据：HDD

六、缓存与使用方式

1. 缓存命中

• filter 上下文可缓存
• 避免每次不同参数导致缓存失效

2. 避免深度分页

• 用 search_after
• 或用 scroll（离线）

3. 减少返回字段

"_source": ["id", "name"]

七、系统层排查

• JVM Heap < 50%
• 避免 SWAP
• 磁盘 IO 瓶颈（iostat）
• 网络延迟（跨 AZ）

八、快速自查清单 ✅

• [ ] 是否走了慢查询日志
• [ ] 是否 profile 分析
• [ ] 是否深分页
• [ ] 是否 wildcard / script
• [ ] 是否 _source 过大
• [ ] 是否分片不合理
• [ ] 是否节点负载不均

如果你愿意，可以把：

• 查询 DSL
• 索引 mapping
• 数据量 / 分片数
• 慢日志片段

发出来，我可以直接帮你定位具体原因并给优化方案。