对子聚合结果进行统计

看起来你目前的设置是没有错误的kibana 的 split row 部分，第一列设置为根据 header.Via_branch.branch.keyword 聚合，
第二列设置为根据 header.User-Agent.keyword 聚合
 
你可以参考我的测试案例：
第一列设置为根据 cache_flag 聚合，第二列根据 project_id 聚合

我明白你的意思 但是这样的话嵌套聚合的顺序就不对了， 得到的结果就不对了。因为我的日志是一个报文的格式，像这样子的

2018-10-16T00:53:37.825+0000 [NOTC]  log_receive_msg(): recv 948 bytes from tls/[127.0.0.1]:0000 at 00:53:37.825470:

   ------------------------------------------------------------------------

   REGISTER sip: xxx ;transport=TLS SIP/2.0

   Call-ID: 1_65671665@10.22.51.51

   branch：z9hG4bK2177905531

   CSeq: 3 REGISTER

   User-Agent:  VC Mobile 1.26.0.1

   ------------------------------------------------------------------------



2018-10-16T00:53:37.833+0000 [NOTC]  log_send_msg(): send 808 bytes to tls/[127.0.0.0]:0000 at 00:53:37.833505:

   ------------------------------------------------------------------------

   SIP/2.0 200 OK

   Call-ID: 1_65671665@10.22.51.51

   branch：z9hG4bK2177905531

   CSeq: 3 REGISTER

   ------------------------------------------------------------------------

是需要统计 REGISTER 回复200 ok时  REGISTER 的User-Agent ，但是200 ok 的日志里面是不带User-Agent的。 所以我需要先对branch聚合，然后再嵌套User-Agent 
 

处理下，再新搞个索引吧。这玩意支持不是很好。或者在写入的时候就对数据做fork 产生新的字段。