从历史上看，Elasticsearch 依靠 schema on write 的架构来快速搜索数据。现在，我们向 Elasticsearch 添加了 schema on read 架构，以便用户可以灵活地在摄取后更改文档的 schema，还可以生成仅作为搜索查询一部分存在的字段。schema on read 和 schema on write 一起为用户提供了选择，可以根据他们的需求来平衡性能和灵活性。

我们的 schema on read 解决方案是 runtime fields，它们仅在查询时进行评估。它们在索引映射或查询中定义，一旦定义，它们立即可用于搜索请求，聚合，过滤和排序。由于未对 runtime fields 进行索引，因此添加运行时字段不会增加索引的大小。实际上，它们可以降低存储成本并提高摄取速度。

但是，需要权衡取舍。对运行时字段的查询可能会很昂贵，因此你通常搜索或筛选所依据的数据仍应映射到索引字段。即使你的索引大小较小，runtime fields 也会降低搜索速度。我们建议结合使用 runtime fields 和索引字段，以在用例的摄取速度，索引大小，灵活性和搜索性能之间找到合适的平衡。
 
https://elasticstack.blog.csdn ... 13915

运行时字段（runtime fields）是在查询时评估的字段。 运行时字段使你能够：

将字段添加到现有文档中，而无需重新索引数据
在不了解数据结构的情况下开始使用数据
覆盖查询时从索引字段返回的值
为特定用途定义字段，而无需修改基础架构

你可以像其他任何字段一样从搜索 API 访问运行时字段，Elasticsearch 看到的运行时字段没有任何不同。 你可以在 index mapping 或 search request 中定义 runtime fields。 这个完全由你来进行选择，这是运行时字段固有的灵活性的一部分。

当使用日志数据时，运行时字段很有用（请参见示例），尤其是在不确定数据结构时。 你的搜索速度会降低，但是索引的大小要小得多，你可以更快地处理日志而不必对它们进行索引。
详细阅读，请参阅 https://elasticstack.blog.csdn ... 95062