聚合日志时奇怪的LogQL行为

Question

我们收集.NET日志到Grafana Loki，我想要创建一个错误警报。

如果我使用Querycount_over_time({app="myapp"}[1m])，我会在图上看到一条很好的曲线。

但是，如果我添加过滤count_over_time({app="myapp-portal"} | json | Level="Error" [1m])，

我得到了多个单点序列。有人能解释为什么在后一种情况下不进行适当的分组吗？

Answer 1

我不知道它为什么会那样工作(它是一个特性还是一个bug?)，但是您可以通过在LogQL开头添加一个"sum“来解决这个问题：

sum(count_over_time({app="myapp-portal"} | json | Level="Error" [1m]))