3. PromQL 聚合操作符：sum、avg、min、max、count、stddev、stdvar、topk、bottomk、quantile

聚合操作符是 PromQL 中将一组时间序列合并为单一输出序列的核心工具。在告警复核场景中，聚合操作符用于从大量原始指标中提取有意义的聚合值，从而判断整体系统状态，而非关注单一实例的波动。

3.1 聚合操作符分类与功能对比

PromQL 提供了 10 个标准聚合操作符，按功能可分为四类：

3.2 聚合操作符语法与 without / by 子句

所有聚合操作符都支持 without 和 by 子句来控制聚合维度：

<aggr-op>([parameter,] <vector expression>) [without|by (<label list>)]

• by：保留指定的标签维度进行分组聚合，其余标签被丢弃。
• without：移除指定的标签维度，保留其余标签进行分组聚合。

3.3 聚合操作符在告警复核中的典型用法

3.3.1 sum：总量监控

用于统计集群级别的总请求量、总错误数、总流量等。在告警复核中，sum 常用于判断整体业务量是否异常。

# 集群总错误率超过 5%
sum by (service) (rate(http_requests_total{status=~"5.."}[5m]))
  / sum by (service) (rate(http_requests_total[5m])) > 0.05

3.3.2 avg：平均负载

计算一组实例的平均指标值，适合 CPU 使用率、内存使用率等资源类告警。

# 所有数据库实例的平均 CPU 使用率超过 80%
avg by (cluster) (cpu_usage_percent{role="db"}) > 80

3.3.3 min / max：极端值检测

用于发现集群中的"短板"或"热点"实例。

# 任意实例的磁盘剩余空间低于 10%（min 保留最差情况）
min by (instance) (disk_free_percent) < 10

# 任意实例的内存使用率超过 95%（max 保留最差情况）
max by (instance) (memory_usage_percent) > 95

3.3.4 count：实例数量监控

用于检测实例数量变化，常用于服务发现异常或大规模宕机场景。

# 健康实例数低于预期（预期 3 个）
count by (service) (up{job="api-server"} == 1) < 3

3.3.5 stddev / stdvar：波动检测

标准差和方差用于量化指标波动程度。在告警复核中，stddev 比 avg 更能反映负载不均衡问题。

# 各实例 CPU 使用率的标准差超过 20%，表示负载严重不均衡
stddev by (cluster) (cpu_usage_percent) > 20

3.3.6 topk / bottomk：排序筛选

返回前 K 个或后 K 个极端值序列，常用于定位问题实例。

# 查看错误率最高的 5 个实例（topk 返回多条时间序列）
topk(5, rate(http_requests_total{status=~"5.."}[5m]) / rate(http_requests_total[5m]))

3.3.7 quantile：分位数分析

分位数是延迟类告警的黄金标准。φ 取值 0.5 表示中位数，0.99 表示 P99 延迟。

# P99 延迟超过 500ms
quantile by (service) (0.99, rate(http_request_duration_seconds_bucket[5m])) > 0.5

3.4 聚合操作符选择决策流程

3.5 聚合操作符在告警表达式中的常见陷阱

3.6 聚合操作符组合使用示例

在实际告警复核中，多个聚合操作符经常组合使用以提升告警准确性：

# 组合示例：检测服务延迟异常且负载不均衡
# 条件1：P99 延迟超过 500ms
# 条件2：各实例延迟标准差超过 100ms（表示不均衡）
(
  quantile by (service) (0.99, rate(http_request_duration_seconds_bucket[5m])) > 0.5
)
and
(
  stddev by (service) (rate(http_request_duration_seconds_sum[5m]) / rate(http_request_duration_seconds_count[5m])) > 0.1
)

3.7 聚合操作符与 rate / increase 的配合

在告警表达式中，聚合操作符通常与 rate 或 increase 配合使用，用于计算每秒速率或增量：

# 正确：先 rate 再聚合
sum by (service) (rate(http_requests_total[5m]))

# 错误：先聚合再 rate（语义错误）
rate(sum by (service) (http_requests_total)[5m])

3.8 聚合操作符性能考量