elastalert 的 num_hits 应该怎么理解？

Question

elasticsearch:7.5.1
kibana:7.5.1
filebeat:7.5.1
elastalert:3.0.0-beta.1
安装完毕后触发规则进行测试
/bin/echo "error testerror4" >>/opt/nginx/logs/access.log
/bin/echo "error testerror4" >>/opt/nginx/logs/access.log
/bin/echo "error testerror4" >>/opt/nginx/logs/access.log
/bin/echo "error testerror4" >>/opt/nginx/logs/access.log
/bin/echo "error testerror4" >>/opt/nginx/logs/access.log

elastalert 的 num_hits 是怎么理解的，网上查到的解释是 num_hits是我们指定的index 过去一分钟中有多少条日志产生，num_matches 是指有多少条符合了我们的过滤规则
实测,只有1条规则的情况下
触发告警条数是6，那么num_matches=6 ，num_hits=12
触发告警条数是3，那么num_matches=3 ，num_hits=6
触发告警条数是5，那么num_matches=5 ，num_hits=10
也就是说 num_hits=num_matches*2，无论这么测试都是这个比例，不会这么巧吧？
这个 num_hits 是怎么理解的？

Answer 1

elastalert索引中，hits表示规则命中条数；matches表示规则命中条数，并且匹配规则触发告警数量。
num_hits表示的是根据filter条件及查询时间段从es返回的记录,而num_matches表示的是预计会产生多少条报警
因此 num_matches = num_hits / num_events, 会四舍五入,所以在告警内容中会发现两者都是这样的关系，参考博客https://izsk.me/2020/05/29/EFLK-elastalert-rules/