zabbix 触发器表达式详解

qns_fengyusong

概述:触发器中的表达式使用很灵活，我们可以创建一个复杂的逻辑测试监控，触发器表达式形式如下:
{:.()}{主机：key.函数(参数)}常数，具体的例子，请接着往下走，很简单
Functions函数:触发器functions可以引用检索到的值，当前时间或者其他元素。触发器表达式支持的function完整列表请点击官网地址 supported functions
Function参数----大多数数值functions可以使用秒来作为参数。你可以使用前缀“#”来表示它有不同的含义
FUNCTION CALL描述sum(600)600秒内的总和sum(#5)最新5个值的和last函数使用不同的参数将会得到不同的值，#2表示倒数第二新的数据。例入从老到最新值为1,2,3,4,5,6,7,8,9,10，last(#2)得到的值为9，last(#9)得到的值为2。last函数必须包含参数。
AVG，count，last，min和max函数还支持额外的参数，以秒为单位的参数time_shift（时间偏移量）。例如avg(1h,1d)，那么将会获取到昨天的1小时内的平均数据。
[warning]备注：触发器表达式需要使用history历史数据来计算，如果history不可用（time_shift时间偏移量参数无法使用），因此history记录一定要保留长久一点，至少要保留需要用的记录。[/warning]
触发器表达式可以使用单位符号来替代大数字，例如5m替代300，或者1d替代86400,1k替代1024字节等等。
操作符
[table][tr]优先级操作定义[/tr][tr][td]1[/td][td]/[/td][td]除[/td][/tr][tr][td]2[/td][td]*[/td][td]乘[/td][/tr][tr][td]3[/td][td]-[/td][td]减[/td][/tr][tr][td]4[/td][td]+[/td][td]加[/td][/tr][tr][td]5[/td][td]=B+0.000001)[/td][/tr][tr][td]7[/td][td]#[/td][td]不等于.用法如下:
A#B ⇔ (A=B+0.000001)[/td][/tr][tr][td]8[/td][td]=[/td][td]等于. T用法如下:
A=B ⇔ (A>B-0.000001) & (A5触发器说明：
www.zabbix.com：host名称
system.cpu.load[all,avg1]：item值,一分内cpu平均负载值
last(0)：最新值
>5：最新值大于5
如上所示，www.zabbix.com这个主机的监控项，最新的CPU负载值如果大于5，那么表达式会返回true，这样一来触发器状态就改变为“problem”了。
示例二---触发器名称：www.zabbix.com is overloaded
{www.zabbix.com:system.cpu.load[all,avg1].last(0)}>5|{www.zabbix.com:system.cpu.load[all,avg1].min(10m)}>2当前cpu负载大于5或者最近10分内的cpu负载大于2，那么表达式将会返回true.
示例三---触发器名称：/etc/passwd has been changed,使用函数 diff():
{www.zabbix.com:vfs.file.cksum[/etc/passwd].diff(0)}>0/etc /passwd最新的checksum与上一次获取到的checksum不同，表达式将会返回true. 我们可以使用同样的方法监控系统重要的配置文件,例如/etc/passwd,/etc/inetd.conf等等。这些zabbix一般都会自带，没带 的你自己加上吧。
示例四----触发器名称：Someone is downloading a large file from the Internet,使用函数 min:
{www.zabbix.com:net.if.in[eth0,bytes].min(5m)}>100K当前主机网卡eth0最后5分钟内接收到的流量超过100KB那么触发器表达式将会返回true
示例五---触发器名称：Both nodes of clustered SMTP server are down
{smtp1.zabbix.com:net.tcp.service[smtp].last(0)}=0&{smtp2.zabbix.com:net.tcp.service[smtp].last(0)}=0当smtp1.zabbix.com和smtp2.zabbix.com两台主机上的SMTP服务器都离线，表达式将会返回true.
示例六---触发器名称：Zabbix agent needs to be upgraded，使用函数str():
{zabbix.zabbix.com:agent.version.str("beta8")}=1如果当前zabbix agent版本包含beta8（假设当前版本为1.0beta8），这个表达式会返回true.
示例七---触发器名称：Server is unreachable
{zabbix.zabbix.com:icmpping.count(30m,0)}>5如上表达式表示最近30分钟zabbix.zabbix.com这个主机超过5次不可到达。
示例八---触发器名称：No heartbeats within last 3 minutes，使用函数 nodata():
{zabbix.zabbix.com:tick.nodata(3m)}=1tick 为Zabbix trapper类型，首先我们要定义一个类型为Zabbix trapper，key为tick的item。我们使用zabbix_sender定期发送数据给tick，如果在3分钟内还未收到 zabbix_sender发送来的数据，那么表达式返回一个true，与此同时触发器的值变为“PROBLEM”。
示例九---触发器名称：CPU activity at night time,使用函数 time():
{zabbix:system.cpu.load[all,avg1].min(5m)}>2&{zabbix:system.cpu.load[all,avg1].time(0)}>000000&{zabbix:system.cpu.load[all,avg1].time(0)}2This expression will fire if the average load of the last hour tops the average load of the same hour yesterday more than two times.
Hysteresis（迟滞,滞后）
简单的说触发器状态转变为problem需要一个条件，从problem转变回来还需要一个条件才行。一般触发器只需要不满足触发器为problem条件即可恢复。明白了么？不明白就看例子吧。
有时候触发器需要使用不同的条件来表示不同的状态，举个官网很有趣的例子：机房温度正常稳定为15-20°，当温度超过20°，触发器值为problem，直到温度低于15°才会接触警报，异常会解除。别整这些没用的，我们看实例.
为了达到这个效果，我们需要使用如下触发器表达式:
示例1---触发器名称：Temperature in server room is too high
({TRIGGER.VALUE}=0&{server:temp.last(0)}>20)|({TRIGGER.VALUE}=1&{server:temp.last(0)}0.zabbix触发器方法prev - 支持类型
它支持类型包括：float, int, str, text, log

zabbix获取当前UNIX时间戳now zabbix触发器函数
获取当前UNIX时间戳，UNIX时间戳是什么？当前距离1970年1月1日00:00:00一共多少秒。使用zabbix触发器函数：now()，举一个简单的例子。
2020年1月1日0时0分0秒（UNIX时间戳：1577808000）到2020年2月1日0时0分0秒（UNIX时间戳：1580486400）之间，cpu1分钟负载大于1触发告警。例子意义不大，希望大家举一反三。
{ttlsa-server:system.cpu.load[all,avg1].last()}>1 and
{ttlsa-server:system.cpu.load[all,avg1].now()}>1577808000 and
{ttlsa-server:system.cpu.load[all,avg1].now()} N
Average value of a period is = N
Average value of a period is NOT Nzabbix触发器方法avg - 实例
CPU负载最近一小时平均值等于1
{dd-pre-01:system.cpu.load[percpu,avg1].avg(1h)}=1CPU负载昨天当前时间的上一小时平均值等于1，1d表示时间往前推移1天，你可以写1h，1m，10d，现在明白了time_thrift的用法了吧？
{dd-pre-01:system.cpu.load[percpu,avg1].avg(1h,1d)}=1CPU负载最近10次的平均值等于1
{dd-pre-01:system.cpu.load[percpu,avg1].avg(#10)}=1昨天同一时间CPU负载最近10次的平均值等于1
{dd-pre-01:system.cpu.load[percpu,avg1].avg(#10,1d)}=1zabbix触发器方法avg - 支持类型
它支持类型包括：float, int，能平均的除了数字还有谁？

获取最大值max zabbix触发器函数
zabbix触发器函数max - 作用
有如下作用：

• 　　获取一个时间周期内最大值
  
• 　　获取几个返回值中的最大值
  
• 　　以上方法，时间往前推移1分钟，1小时，1天等等
  

zabbix触发器函数max - 对应web

文字如下
Maximum value for period T is > N
Maximum value for period T is < N
Maximum value for period T is = N
Maximum value for period T is NOT Nzabbix触发器函数max - 例子
语法：max (sec|#num,)
一个小时内cpu负载最大值超过10
{dd-pre-01:system.cpu.load[percpu,avg1].max(1h)}>10cpu负载最近10个返回值，最大值超过10
{dd-pre-01:system.cpu.load[percpu,avg1].max(#10)}>10
最小值min zabbix触发器函数
功能和上一节将的max整好相反，我们将结合max、min来一个更有意思的实例。
zabbix触发器函数min - 作用
，有如下作用：

• 　　获取一个时间周期内最小值
  
• 　　获取几个返回值中的最小值
  
• 　　以上方法，时间往前推移1分钟，1小时，1天等等
  

zabbix触发器函数min - 对应web

文字如下
Minimum value for period T is > N
Minimum valuefor period T is < N
Minimum value for period T is = N
Minimum value for period T is NOT Nzabbix触发器函数min - 例子
语法：min(sec|#num,)
一个小时内cpu负载最小值小于0.2
{dd-pre-01:system.cpu.load[percpu,avg1].min(1h)}