聚合日志时出现奇怪的 LogQL 行为

Question

我们将 .NET 日志收集到 Grafana Loki，我想为错误创建警报。

如果我使用查询count_over_time({app="myapp"}[1m]) ，我会在图表上看到一条漂亮的曲线。

但是，如果我添加过滤count_over_time({app="myapp-portal"} | json | Level="Error" [1m]) ，

我得到多个单点系列。 谁能解释为什么在后一种情况下它不能正确分组？

Answer 1

我不知道它为什么会这样工作（它是一个特性还是一个错误？），但你可以通过在 LogQL 开头添加一个“sum”来解决这个问题：

sum(count_over_time({app="myapp-portal"} | json | Level="Error" [1m]))