2. Loki基础回顾：LogQL核心语法、标签匹配、时间范围与聚合操作

LogQL 是 Loki 的查询语言，本质上是将 PromQL 的标签选择与日志行过滤、解析、聚合能力相结合。在变更窗口场景中，LogQL 用于从海量日志中快速定位特定变更事件、统计错误率、计算持续时间。本节从核心语法出发，逐步覆盖标签匹配、时间范围与聚合操作，为后续告警路由模板打下语法基础。

2.1 LogQL 核心语法结构

LogQL 查询由两个主要阶段组成：日志流选择器（Log Stream Selector）和管道表达式（Pipeline Expression）。流选择器通过标签匹配确定要查询的日志源；管道表达式对选中的日志行进行过滤、解析、计算。

2.2 标签匹配：精确、正则与多条件组合

标签匹配是 LogQL 查询的入口。Loki 支持四种匹配操作符，用于在流选择器中筛选日志流：

• 精确匹配（=）： 标签值必须完全等于给定字符串。{app="api-gateway"}
• 精确不匹配（!=）： 排除标签值等于给定字符串的日志流。{app!="debug"}
• 正则匹配（=~）： 标签值匹配给定的 RE2 正则表达式。{app=~"api-.*"}
• 正则不匹配（!~）： 排除标签值匹配给定正则的日志流。{app!~"test-.*"}

多个标签条件使用逗号分隔，逻辑关系为 AND。例如：

{app="order-service", env="staging", deploy_id=~"v2\\..*"}

该查询只选择 app=order-service、env=staging 且 deploy_id 以 v2. 开头的日志流。

2.3 时间范围：时间与相对时间

LogQL 查询必须指定时间范围。Loki 支持两种方式：

在变更窗口场景中，时间范围通常与变更开始/结束时间对齐。例如，查询变更窗口内（2024-06-10 14:00:00 至 14:30:00）的错误日志：

{app="checkout", env="prod"}
  |= "ERROR"
  | json

配合 Grafana 或 API 设置 start=1718013600000000000、end=1718015400000000000。

2.4 聚合操作：从日志到指标

聚合操作将日志行转换为时间序列指标，是告警规则的核心。LogQL 提供两类聚合：基于日志计数的聚合和基于提取字段的聚合。

2.4.1 常用聚合函数

2.4.2 聚合流程示例

以下查询统计变更窗口内每个服务的 5xx 错误速率，并按 service 和 version 分组：

sum by(service, version) (
  rate(
    {app="microservice", env="prod"}
      |= "5\\d{2}"
      | json
      [5m]
  )
)

该查询的管道执行顺序：

1. 流选择器匹配 app=microservice 且 env=prod 的日志流。
2. 行过滤器保留包含 5xx 状态码的日志行。
3. | json 解析器将 JSON 格式的日志行转为结构化字段。
4. rate(... [5m]) 计算每 5 分钟窗口内的每秒速率。
5. sum by(service, version) 按服务名和版本号分组求和。

2.5 LogQL 查询执行流程

下图展示了 LogQL 查询从标签匹配到聚合输出的完整执行链路：

2.6 变更窗口场景中的 LogQL 模式

在变更窗口告警中，以下三种 LogQL 模式最为常用：