4. Loki 中的时间范围查询：区间向量与瞬时向量、时间偏移与窗口函数

在变更窗口告警场景中，查询的时间维度是决定告警准确性的核心因素。Loki 的 LogQL 提供了两种核心查询类型——瞬时向量 (Instant Vector) 与 区间向量 (Range Vector)，以及配套的时间偏移与窗口函数。理解这些概念，是构建可靠告警规则的前提。

4.1 瞬时向量与区间向量的核心差异

4.2 时间偏移：比较变更前后的基线

时间偏移（Offset）允许查询将时间窗口向后平移，常用于对比变更前后的指标变化。语法：offset <duration>。

# 查询当前 5 分钟的错误率
rate({job="api", status=~"5.."}[5m])

# 查询变更前 30 分钟的错误率（基线）
rate({job="api", status=~"5.."}[5m] offset 30m)

# 计算变更后的错误率与基线相比的增长率
(
  rate({job="api", status=~"5.."}[5m])
  -
  rate({job="api", status=~"5.."}[5m] offset 30m)
)
/
rate({job="api", status=~"5.."}[5m] offset 30m)

4.3 窗口函数：聚合与平滑

Loki 提供了一系列窗口函数，用于在区间向量上执行聚合计算。在变更窗口场景中，最常用的窗口函数包括：

• rate()：计算每秒增长率，适用于计数器类型（如请求总数、错误总数）。
• increase()：计算窗口内的增量，适用于值变化检测。
• avg_over_time()：计算窗口内的平均值，适用于平滑波动。
• max_over_time() / min_over_time()：捕获窗口内的峰值或谷值，适用于异常峰值检测。
• quantile_over_time()：计算窗口内的分位数，适用于延迟分布分析。

# 变更窗口内错误率峰值检测
max_over_time(
  rate({job="api", status=~"5.."}[1m])[15m:]
)

# 变更窗口内 P99 延迟
quantile_over_time(0.99,
  {job="api"} | json | unwrap duration_ms [10m]
)

4.4 时间范围与窗口函数的组合模式

在变更窗口告警中，时间范围与窗口函数的组合决定了告警的灵敏度与准确性。以下 SVG 图展示了三种典型组合模式：

4.5 时间偏移与窗口函数的联合使用

在变更窗口告警中，最强大的模式是将时间偏移与窗口函数结合，实现“当前 vs 基线”的对比。以下是一个完整的告警查询示例：

# 告警条件：变更后错误率超过基线 2 倍
(
  sum(rate({job="api", status=~"5.."}[5m]))
  /
  sum(rate({job="api", status=~"5.."}[5m] offset 30m))
) > 2

4.6 常见陷阱与避坑指南

• 窗口过小导致噪声：1m 窗口的 rate() 可能因日志采样不均匀产生剧烈波动，建议至少使用 5m 窗口。
• 偏移量过大导致数据空洞：如果日志保留期只有 6h，使用 24h 偏移将返回空数据，告警规则会失效。
• 聚合层级不匹配：在 rate() 之前先做 sum by (host) 与先做 rate() 再 sum 结果不同，需根据场景选择。
• 忽略日志延迟：Loki 的日志摄入有秒级延迟，查询最近 1m 的数据可能不完整，建议使用 offset 1m 跳过最近数据。

4.7 本章小结