2. PromQL基础回顾

在深入告警表达式复核之前，必须牢固掌握 PromQL 的四种核心数据类型及其查询语法。告警规则的本质是 PromQL 表达式，任何类型误用或语法错误都会导致告警失效或误报。本节将系统梳理数据类型与基础查询结构，为后续的表达式复核打下坚实基础。

2.1 四种数据类型概览

PromQL 严格区分四种数据类型，它们在告警表达式中的角色与使用场景截然不同：

2.2 瞬时向量（Instant Vector）—— 告警表达式的基石

瞬时向量是 PromQL 中最常用的数据类型，也是告警规则 expr 的唯一合法返回类型。它由指标名和标签唯一标识，每个时间序列只保留最新的一个样本值。

基础查询语法：

<metric_name>{<label_selectors>}

• 指标名：如 node_cpu_seconds_total、http_requests_total。
• 标签选择器：用 {} 包裹，支持 =（精确匹配）、!=（不匹配）、=~（正则匹配）、!~（正则不匹配）。

示例：

# 查询所有 node_cpu_seconds_total 序列
node_cpu_seconds_total

# 查询特定实例、特定模式的 CPU 序列
node_cpu_seconds_total{instance="web-01:9100", mode=~"user|system"}

# 排除空闲模式
node_cpu_seconds_total{mode!="idle"}

2.3 区间向量（Range Vector）—— 时间窗口计算的基础

区间向量在瞬时向量的基础上增加了时间维度，通过在指标名后附加 [duration] 来指定回溯窗口。区间向量本身不能直接用于告警条件判断，必须配合 rate()、increase()、avg_over_time() 等聚合函数转换为瞬时向量。

基础查询语法：

<metric_name>{<label_selectors>}[<duration>]

示例：

# 查询过去 5 分钟内所有 HTTP 请求的原始数据点
http_requests_total[5m]

# 查询特定路由过去 1 小时的请求数据
http_requests_total{route="/api/v1/health"}[1h]

2.4 标量（Scalar）与字符串（String）

标量在告警表达式中主要作为阈值常量出现，例如 0.9、1000。标量可以与瞬时向量进行算术运算或比较运算。

字符串在 PromQL 中功能有限，主要用于标签值或注释，不参与数值计算。在告警规则中，字符串通常出现在 labels 和 annotations 字段中，而非 expr 字段。

# 标量示例：比较运算
node_memory_MemAvailable_bytes / node_memory_MemTotal_bytes < 0.1

# 字符串示例（告警注释中）
annotations:
  summary: "Instance {{ $labels.instance }} 内存不足"

2.5 数据类型转换与查询结构总览

下图展示了四种数据类型之间的转换关系以及告警表达式的典型查询流程：

2.6 基础查询语法速查表