Elasticsearch 查询延迟监控：从“画图”到根因定位的实战跃迁
你有没有遇到过这样的场景？用户反馈“搜索变慢了”，运维同事立刻甩出一张 Kibana 折线图：“看，P99 延迟从 300ms 涨到 1.8s 了！”——但没人能说清：是哪个索引？哪类查询？哪个分片？甚至，到底是协调节点卡住了，还是某台数据节点的 JVM 正在疯狂 GC？
这不是监控失效，而是监控还没真正开始。
Elasticsearch 的查询延迟问题，从来不是单点指标的跳动，而是一条贯穿协调层、数据层、分片层、JVM 层乃至底层磁盘 I/O 的链式故障路径。Kibana 和 OpenSearch Dashboards 在这里扮演的角色，早已超越“可视化面板”的原始定位——它们是你部署在集群边上的可观测性探针阵列，是能把500ms这个数字，精准拆解为“products-index的term query在shard [3]上因fielddata cache miss触发了 47 次 segment merge”的诊断中枢。
下面这三件事，才是真正决定你能否在故障发生前 3 分钟介入、而非在用户投诉后 30 分钟救火的关键。
粒度不是越细越好，而是要“聪明地细”
很多人一上来就想开启全量 slowlog，以为“日志越多，看得越清”。结果呢？磁盘爆满、Filebeat 吃满 CPU、Kibana Discover 卡成 PPT。根本原因在于：没区分请求的“信息价值密度”。
一个GET /my-index/_doc/123的毫秒级查询，和一个嵌套 5 层聚合、扫描千万文档的date_histogram + terms + top_hits，对系统造成的压力差了两个数量级，但默认 slowlog 对它们一视同仁——要么都记，要么都不记。
所以真正的粒度控制，不是调index.search.slowlog.threshold.query.warn到100ms，而是做语义感知采样。
关键动作：用 Ingest Pipeline 实现“按需留痕”
你不需要改任何业务代码，也不需要重启集群。只需在日志写入 ES 前，加一道轻量级过滤：
PUT _ingest/pipeline/slowlog_sampler { "description": "保留高价值慢查询：aggs 类采样率 10%，query 类仅 1%", "processors": [ { "set": { "field": "sam
