4. 时间窗口聚合策略：固定时间窗口、滑动时间窗口、窗口内去重与计数逻辑
时间窗口聚合是告警收敛中最核心的降噪手段之一。它通过定义一个时间范围（窗口），将落入该窗口内的多条告警视为同一事件的不同表现，从而进行去重、计数或合并。本章深入剖析两种主流窗口模型——固定时间窗口与滑动时间窗口，并讲解窗口内的去重与计数逻辑。
4.1 固定时间窗口（Fixed Time Window）
固定时间窗口将时间轴划分为连续、不重叠的等长区间。每条告警根据其发生时间落入唯一的窗口区间，同一窗口内的告警被聚合为一条。
- 划分方式：以窗口长度（如 5 分钟）为步长，从 00:00 开始切分，窗口边界固定。
- 聚合规则：告警时间戳落在 [T0, T0+W) 区间内，则归入该窗口。
- 典型场景：按小时聚合日志错误、按分钟聚合网络 ping 超时。
| 特性 | 说明 |
|---|---|
| 窗口边界 | 固定、预定义，不依赖告警到达时间 |
| 窗口数量 | 随时间线性增长，每个窗口独立 |
| 延迟告警处理 | 可能落入前一个窗口，需额外补偿逻辑 |
| 实现复杂度 | 低，适合批量处理 |
适用建议：固定窗口适合告警频率稳定、对实时性要求不高的场景。例如每 5 分钟统计一次 CPU 超限告警数，窗口边界清晰，易于理解。
4.2 滑动时间窗口（Sliding Time Window）
滑动时间窗口以每条新告警的到达时间为基准，动态维护一个长度为 W 的窗口。窗口随新事件“滑动”，始终包含最近 W 时间内的所有告警。
- 划分方式：窗口起点 = 当前告警时间 - W，终点 = 当前告警时间。
- 聚合规则：新告警到达时，检查窗口内已有告警，若满足去重条件则合并。
- 典型场景：实时流处理、在线告警抑制、突发检测。
| 特性 | 说明 |
|---|---|
| 窗口边界 | 动态、随事件移动，无固定起点 |
| 窗口数量 | 理论上每个事件对应一个窗口，但实现中常复用 |
| 延迟告警处理 | 天然支持，窗口始终以事件时间为准 |
| 实现复杂度 | 较高，需维护有序事件列表或时间轮 |
注意：滑动窗口在告警量极大时可能产生较高的内存开销。建议配合时间轮（Timing Wheel）或环形缓冲区优化，避免全量遍历。
4.3 窗口内去重逻辑
无论采用哪种窗口模型，去重逻辑都是聚合的核心。去重通常基于一组去重键（Deduplication Key），当窗口内多条告警的去重键相同时，只保留一条。
- 精确去重：去重键完全匹配（如 host + alert_name + severity）。
- 模糊去重：去重键支持正则或通配符（如 host 前缀匹配）。
- 优先级去重：保留最高严重级别的告警，丢弃低级别。
实践案例：某云平台对“磁盘使用率 > 90%”告警设置去重键为
host + mount_point。同一台机器的 /data 分区在 5 分钟内连续上报 10 条告警，聚合后仅保留 1 条，并附带计数。
4.4 窗口内计数逻辑
计数逻辑用于记录窗口内实际发生的告警次数，帮助运维人员判断事件频率。常见的计数策略包括：
| 计数策略 | 描述 | 适用场景 |
|---|---|---|
| 原始计数 | 统计窗口内所有告警条数（去重前） | 了解原始告警量 |
| 去重计数 | 统计去重后的唯一告警数 | 评估事件多样性 |
| 阈值计数 | 计数达到阈值后才生成聚合告警 | 抑制低频抖动 |
| 加权计数 | 不同严重级别赋予不同权重 | 区分告警影响 |
4.5 策略选择与组合建议
在实际告警治理中，固定窗口与滑动窗口并非互斥，常根据场景组合使用：
- 批量离线分析：优先使用固定窗口，实现简单，适合 T+1 报表。
- 实时在线抑制：优先使用滑动窗口，响应快，适合值班告警。
- 混合策略：滑动窗口做第一级实时去重，固定窗口做第二级统计聚合。
推荐参数：滑动窗口长度建议设置为告警平均间隔的 3~5 倍。例如告警平均 1 分钟一条，窗口设为 3~5 分钟，既能有效去重，又不会过度延迟。
4.6 实现要点与避坑
| 要点 | 说明 |
|---|---|
| 时间戳对齐 | 确保所有告警使用同一时区，避免跨窗口错乱 |
| 窗口过期清理 | 滑动窗口需定期移除过期事件，防止内存泄漏 |
| 计数溢出处理 | 计数达到上限（如 9999）后应截断或重置 |
| 延迟告警补偿 | 固定窗口可设置“迟到容忍时间”，允许告警归入前一个窗口 |
常见陷阱：滑动窗口内去重键设计过于宽泛（如仅按 host 去重），可能导致不同故障的告警被错误合并。建议去重键至少包含
host + alert_name + 关键标签。