4. 聚合操作符实战：sum、avg、min、max、count、stddev、topk、quantile_over_time

聚合操作符是 PromQL 从原始时间序列数据中提取业务语义的核心工具。在告警规则编写中，聚合操作符决定了“谁触发告警”以及“告警的严重程度如何计算”。本章将逐一拆解 8 个最常用的聚合操作符，并结合收敛场景给出工程化建议。

4.1 聚合操作符分类与适用场景

聚合操作符按计算维度可分为三类：集合型（sum、count）、统计型（avg、min、max、stddev）、排序型（topk、quantile_over_time）。下表列出了各操作符的核心用途与典型告警场景：

4.2 集合型操作符：sum、count

sum 是最常用的聚合操作符，用于将多个时间序列的值相加。在告警中，sum 通常配合 by 子句保留关键维度，避免过度聚合丢失上下文。

# 按 service 维度聚合总请求量
sum by (service) (rate(http_requests_total[5m]))

# 按 region 维度聚合总错误数
sum by (region) (rate(http_errors_total[5m]))

count 用于统计满足条件的序列数量，常用于检测实例数是否低于预期：

# 统计当前存活的实例数
count by (service) (up == 1)

# 统计延迟超过 500ms 的实例数
count by (service) (http_request_duration_seconds > 0.5)

4.3 统计型操作符：avg、min、max、stddev

统计型操作符用于描述数据分布的中心趋势和离散程度。在告警收敛中，avg 和 max 的组合使用最为常见：

# 平均 CPU 使用率超过 80% 告警
avg by (host) (rate(cpu_usage_percent[5m])) > 80

# 任意实例 CPU 使用率超过 95% 告警（关注峰值）
max by (host) (rate(cpu_usage_percent[5m])) > 95

stddev 用于检测负载不均衡或异常波动：

# 各实例延迟标准差超过 200ms 时告警
stddev by (service) (http_request_duration_seconds) > 0.2

4.4 排序型操作符：topk、quantile_over_time

topk 用于返回数值最大的 K 个序列，适合在告警中定位“最差”的实例：

# 返回延迟最高的 5 个实例
topk(5, http_request_duration_seconds)

# 在告警规则中，topk 通常配合其他操作符使用
# 例如：对 topk 的实例单独告警
topk(3, max by (instance) (rate(http_errors_total[5m]))) > 10

quantile_over_time 是 聚合函数（非操作符），用于在时间窗口内计算分位数。它是构建 P99/P95 告警的核心工具：

# 计算过去 5 分钟的 P99 延迟
quantile_over_time(0.99, http_request_duration_seconds[5m])

# 在告警规则中使用
quantile_over_time(0.99, http_request_duration_seconds[5m]) > 1.0

4.5 聚合操作符与收敛规则组合

在告警收敛中，聚合操作符的嵌套使用可以显著减少告警风暴。下图展示了从原始指标到收敛告警的典型流程：

4.6 聚合操作符选择矩阵

在实际告警规则编写中，选择合适的聚合操作符需要综合考虑指标类型、告警目标和收敛效果。下表给出了不同场景下的推荐选择：

4.7 实战：编写一个多维度聚合告警规则

以下是一个完整的告警规则示例，综合使用了 sum、avg、quantile_over_time 和收敛参数：

groups:
  - name: api_latency_alerts
    rules:
      # 规则1：P99 延迟超过 2s 告警（预计算）
      - record: job:api:p99_latency:5m
        expr: quantile_over_time(0.99, api_request_duration_seconds[5m])
      - alert: HighP99Latency
        expr: job:api:p99_latency:5m > 2.0
        for: 2m
        labels:
          severity: critical
        annotations:
          summary: "API P99 latency high ({{ $value }}s)"

      # 规则2：平均延迟超过 1s 告警（聚合收敛）
      - alert: HighAvgLatency
        expr: avg by (service) (rate(api_request_duration_seconds_sum[5m]) / rate(api_request_duration_seconds_count[5m])) > 1.0
        for: 3m
        labels:
          severity: warning
        annotations:
          summary: "Service {{ $labels.service }} avg latency high"

      # 规则3：单实例延迟异常（topk 定位）
      - alert: InstanceLatencySpike
        expr: topk(3, max by (instance) (api_request_duration_seconds)) > 3.0
        for: 1m
        labels:
          severity: warning
        annotations:
          summary: "Instance {{ $labels.instance }} latency spike"

4.8 常见错误与排查方法

聚合操作符使用不当是告警误报和漏报的主要原因。下表列出了 5 个常见错误及对应的排查方法：