📚 课程目录第4章多维度聚合基础

4. 多维度聚合基础：PromQL / Graphite / MQL 中的聚合操作符详解

聚合操作符是连接原始指标与可观测告警阈值的桥梁。在多维度监控体系中，原始数据通常以高基数标签（如 pod、instance、region）存储，而告警规则需要的是降维后的统计量。本章深入解析 PromQL、Graphite 和 MQL 三大查询语言中的核心聚合操作符，帮助你在设计 Metric 时精准选择聚合方式，避免因聚合不当导致的误报或漏报。

4.1 聚合操作符全景对比

下表从语法、适用场景、降维效果三个维度对比三大语言中的核心聚合操作符：

操作符	PromQL	Graphite	MQL (Google Cloud)	典型用途
sum	`sum(metric)`	`sumSeries(metric.*)`	`fetch metric \| sum()`	总量统计，如总请求数、总错误数
avg	`avg(metric)`	`averageSeries(metric.*)`	`fetch metric \| mean()`	平均负载、平均延迟
max	`max(metric)`	`maxSeries(metric.*)`	`fetch metric \| max()`	峰值检测，如最大延迟、最大 CPU 使用率
min	`min(metric)`	`minSeries(metric.*)`	`fetch metric \| min()`	最低水位，如最小空闲连接数
count	`count(metric)`	`countSeries(metric.*)`	`fetch metric \| count()`	活跃实例数、数据点数量
quantile	`quantile(0.99, metric)`	`percentile(metric, 99)`	`fetch metric \| percentile(99)`	长尾分布分析，如 P99 延迟

选型提示： 告警阈值设计时，avg 适合稳态监控，max 适合异常快速检测，quantile 适合用户体验敏感场景。不要用 avg 掩盖突发峰值。

4.2 聚合操作符的降维机制

聚合的本质是沿指定维度（标签/字段）进行数据折叠。以 PromQL 为例，sum(metric) 默认聚合所有标签维度，返回单条时间序列；sum by (region)(metric) 则保留 region 维度，按区域聚合。

# PromQL 示例：按 region 聚合错误数
sum by (region) (http_errors_total)

# Graphite 示例：按 host 聚合 CPU 使用率
sumSeriesWithWildcards(cpu.usage.*, 1)

# MQL 示例：按 zone 聚合请求延迟
fetch http_latency
| filter resource.zone =~ "us-.*"
| group_by [resource.zone], mean()

  关键原则： 聚合维度越少，告警阈值越稳定，但可能丢失局部异常。建议在告警规则中保留 1-2 个关键维度（如 region、service），避免全维度聚合。

4.3 聚合操作符的语义陷阱

不同语言对相同操作符的实现存在细微差异，直接迁移告警规则可能导致阈值偏差：

sum 与 count 混淆： PromQL 的 count 统计时间序列数量，Graphite 的 countSeries 同理；但 MQL 的 count() 统计数据点数量，而非序列数。
quantile 计算方式： PromQL 使用 T-Digest 近似算法，Graphite 使用排序插值，MQL 使用分桶直方图。同一 P99 值在不同系统中可能相差 5%-10%。
空值处理： Graphite 的 averageSeries 默认忽略空值，PromQL 的 avg 也忽略空值，但 MQL 的 mean() 在无数据时返回 null，可能导致告警断点。

避坑提醒： 跨系统迁移告警规则时，务必使用相同数据集验证聚合结果。建议在测试环境中运行 sum / avg / quantile 的对照查询，确认数值偏差在可接受范围内。

4.4 聚合操作符的视觉化对比

下图展示了同一组原始数据（5 个实例的 CPU 使用率）经过不同聚合操作符后的输出曲线差异：

4.5 多维度聚合的实战模式

在实际告警规则设计中，聚合操作符通常与 by / without / group_by 子句配合使用，实现多维度降维。以下是三种典型模式：

模式	PromQL 示例	效果	适用场景
全维度聚合	`sum(metric)`	返回单条序列，忽略所有标签	全局健康检查，如总错误率
保留关键维度	`sum by (region, service)(metric)`	按 region+service 分组聚合	区域级服务监控
排除干扰维度	`sum without (instance, pod)(metric)`	聚合除 instance/pod 外的所有维度	消除实例级抖动，聚焦集群状态

# 实战案例：按 region 聚合 P99 延迟，排除实例级噪声
# PromQL
histogram_quantile(0.99, sum by (le, region) (rate(http_request_duration_seconds_bucket[5m])))

# Graphite
percentile(sumSeriesWithWildcards(http.request.duration.*.*, 1), 99)

# MQL
fetch http_request_duration_seconds
| filter metric.type = "distribution"
| group_by [resource.region], percentile(99)

  设计建议： 在 Metric 设计阶段，预先定义好聚合维度白名单。例如，所有业务指标至少保留 service 和 region 维度，告警阈值按 service 聚合，避免跨服务干扰。

4.6 聚合操作符的阈值校准策略

不同聚合操作符对阈值设定有直接影响。下表给出基于聚合操作符的阈值推荐范围：

聚合操作符	阈值类型	推荐基线	告警触发条件
sum	值	历史同期 95 分位值	超过基线 20% 持续 5 分钟
avg	相对值	历史均值 ± 2σ	超出 3σ 持续 3 个数据点
max	硬阈值	资源上限的 80%	超过 80% 立即告警
quantile	SLO 目标	P99 ≤ 500ms	P99 超过 500ms 持续 1 分钟
count	基数	期望实例数	实例数低于期望值 20%

校准注意： 使用 quantile 时，务必确保底层数据包含足够的样本量（建议每分钟至少 100 个数据点），否则 P99 值会因统计噪声而剧烈抖动，导致频繁误告警。

4.7 聚合操作符的选型决策树

下图帮助你在设计告警规则时快速选择正确的聚合操作符：

4.8 本章小结

sum / avg / max / min / count / quantile 是三大查询语言通用的聚合操作符，但实现细节存在差异，跨系统迁移时需验证。
聚合维度选择直接影响告警阈值稳定性：保留 1-2 个关键维度，避免全维度聚合导致信息丢失。
quantile 适合用户体验监控，但需要足够样本量支撑；max 适合快速异常检测；avg 适合稳态趋势监控。
在 Metric 设计阶段，提前定义聚合维度白名单，并在告警规则中显式使用 by / without / group_by 控制降维粒度。