zabbix 一篇很好的讲表达式的博文

触发器中的表达式使用很灵活，咱们能够建立一个复杂的逻辑测试监控，触发器表达式形式以下:

{<server>:<key>.<function>(<parameter>)}<operator><constant>

{主机：key.函数(参数)}<表达式>常数，具体的例子，请接着往下走，很简单

Functions函数

触发器functions能够引用检索到的值，当前时间或者其余元素。触发器表达式支持的function完整列表请点击官网地址 supported functions

Function参数

大多数数值functions可使用秒来做为参数。你可使用前缀“#”来表示它有不一样的含义

FUNCTION CALL 描述

sum(600) 600秒内的总和

sum(#5) 最新5个值的和

last函数使用不一样的参数将会获得不一样的值，#2表示倒数第二新的数据。例入从老到最新值为1,2,3,4,5,6,7,8,9,10，last(#2)获得的值为9，last(#9)获得的值为2。last函数必须包含参数。

AVG，count，last，min和max函数还支持额外的参数，以秒为单位的参数time_shift（时间偏移量）。例如avg(1h,1d)，那么将会获取到昨天的1小时内的平均数据。

[warning]备注：触发器表达式须要使用history历史数据来计算，若是history不可用（time_shift时间偏移量参数没法使用），所以history记录必定要保留长久一点，至少要保留须要用的记录。[/warning]

触发器表达式可使用单位符号来替代大数字，例如5m替代300，或者1d替代86400,1k替代1024字节等等。

操做符

优先级 操做 定义

1 / 除

2 * 乘

3 - 减

4 + 加

5 < 小于. 用法以下:

A<B ⇔ (A<=B-0.000001)

6 > 大于. 用法以下:

A>B ⇔ (A>=B+0.000001)

7 # 不等于.用法以下:

A#B ⇔ (A<=B-0.000001) | (A>=B+0.000001)

8 = 等于. T用法以下:

A=B ⇔ (A>B-0.000001) & (A<B+0.000001)

9 & 逻辑与

10 | 逻辑或

 

 

 

触发器示例

示例一

触发器名称：Processor load is too high on www.zabbix.com

{www.zabbix.com:system.cpu.load[all,avg1].last(0)}>5

触发器说明：

www.zabbix.com：host名称

system.cpu.load[all,avg1]：item值,一份内cpu平均负载值

last(0)：最新值

>5：最新值大于5

如上所示，www.zabbix.com这个主机的监控项，最新的CPU负载值若是大于5，那么表达式会返回true，这样一来触发器状态就改变为“problem”了。

示例二

触发器名称：www.zabbix.com is overloaded

{www.zabbix.com:system.cpu.load[all,avg1].last(0)}>5|{www.zabbix.com:system.cpu.load[all,avg1].min(10m)}>2

当前cpu负载大于5或者最近10份内的cpu负载大于2，那么表达式将会返回true.

示例三

触发器名称：/etc/passwd has been changed

使用函数 diff():

{www.zabbix.com:vfs.file.cksum[/etc/passwd].diff(0)}>0

/etc/passwd最新的checksum与上一次获取到的checksum不一样，表达式将会返回true. 咱们可使用一样的方法监控系统重要的配置文件,例如/etc/passwd,/etc/inetd.conf等等。这些zabbix通常都会自带，没带的你本身加上吧。

示例四

触发器名称：Someone is downloading a large file from the Internet

使用函数 min:

{www.zabbix.com:net.if.in[eth0,bytes].min(5m)}>100K

当前主机网卡eth0最后5分钟内接收到的流量超过100KB那么触发器表达式将会返回true

示例五

触发器名称：Both nodes of clustered SMTP server are down

{smtp1.zabbix.com:net.tcp.service[smtp].last(0)}=0&{smtp2.zabbix.com:net.tcp.service[smtp].last(0)}=0

当smtp1.zabbix.com和smtp2.zabbix.com两台主机上的SMTP服务器都离线，表达式将会返回true.

示例六

触发器名称：Zabbix agent needs to be upgraded

使用函数str():

{zabbix.zabbix.com:agent.version.str("beta8")}=1

若是当前zabbix agent版本包含beta8（假设当前版本为1.0beta8），这个表达式会返回true.

示例七

触发器名称：Server is unreachable

{zabbix.zabbix.com:icmpping.count(30m,0)}>5

如上表达式表示最近30分钟zabbix.zabbix.com这个主机超过5次不可到达。

示例八

触发器名称：No heartbeats within last 3 minutes

使用函数 nodata():

{zabbix.zabbix.com:tick.nodata(3m)}=1

tick为Zabbix trapper类型，首先咱们要定义一个类型为Zabbix trapper，key为tick的item。咱们使用zabbix_sender按期发送数据给tick，若是在3分钟内还未收到zabbix_sender发送来的数据，那么表达式返回一个true，与此同时触发器的值变为“PROBLEM”。

示例九

触发器名称：CPU activity at night time

使用函数 time():

{zabbix:system.cpu.load[all,avg1].min(5m)}>2&{zabbix:system.cpu.load[all,avg1].time(0)}>000000&{zabbix:system.cpu.load[all,avg1].time(0)}<060000

只有在凌晨0点到6点整，最近5分钟内cpu负载大于2，表达式返回true，触发器的状态变动为“problem”

示例十

触发器名称：Check if client local time is in sync with Zabbix server time

使用函数 fuzzytime():

{MySQL_DB:system.localtime.fuzzytime(10)}=0

主机MySQL_DB当前服务器时间若是与zabbix server之间的时间相差10秒以上，表达式返回true，触发器状态改变为“problem”

示例十一

触发器名称：Comparing average load today with average load of the same time yesterday (使用 time_shift 时间偏移量参数).

{server:system.cpu.load.avg(1h)}/{server:system.cpu.load.avg(1h,1d)}>2

This expression will fire if the average load of the last hour tops the average load of the same hour yesterday more than two times.

Hysteresis（迟滞,滞后）

简单的说触发器状态转变为problem须要一个条件，从problem转变回来还须要一个条件才行。通常触发器只须要不知足触发器为problem条件便可恢复。明白了么？不明白就看例子吧。

有时候触发器须要使用不一样的条件来表示不一样的状态，举个官网颇有趣的例子：机房温度正常稳定为15-20°，当温度超过20°，触发器值为problem，当问题到了15°与20°之间，异常会解除。别整这些没用的，咱们看实例.

为了达到这个效果，咱们须要使用以下触发器表达式:

示例1

触发器名称：Temperature in server room is too high

({TRIGGER.VALUE}=0&{server:temp.last(0)}>20)|

 ({TRIGGER.VALUE}=1&{server:temp.last(0)}>15)

如上有两个小括号，前面一个表示触发异常的条件，后面一个表达式表示解除异常的条件。

注意：宏变量 {TRIGGER.VALUE}将会返回当前触发器的值

示例2

触发器名称：Free disk space is too low

Problem: 最近5分钟剩余磁盘空间小于10GB。（异常）

Recovery: 最近10分钟磁盘空间大于40GB。（恢复）

简单说即是一旦剩余空间小于10G就触发异常，而后接下来剩余空间必须大于40G才能解除这个异常，就算你剩余空间达到了39G（不在报警条件里）那也是没用的，有意思不！

({TRIGGER.VALUE}=0&{server:vfs.fs.size[/,free].max(5m)}<10G) |

 ({TRIGGER.VALUE}=1&{server:vfs.fs.size[/,free].min(10m)}<40G)