如何按host分组求和duration字段？unwrap方法结果异常求助

• 先验证正则提取的准确性
  先单独运行提取逻辑，检查所有行的duration是否正确解析：

  -- 替换为你使用的查询语言语法，如LogQL/SQL
  regexp_extract(Line, "Closed ([0-9]+ min)", 1)
  

  确认每个符合格式的Line行都能提取到对应数字，要是有行没匹配上，生成的null会被求和逻辑忽略，结果自然偏小。

• 调整处理顺序：先提取，再分组求和
  别搞反顺序！先分组再提取很可能只取到每组里的第一行数据，所以才只算出17。正确流程是：

  1. 从Line中提取数字部分，把"X min"转成纯数值（比如去掉" min"字符串，转换为数字类型）
  2. 按host分组，对转换后的数值求和

  举个LogQL的示例：

  sum by (host) (
    to_number(regexp_replace(Line, "Closed ([0-9]+) min", "$1"))
  )
  

  其他工具（如Elasticsearch、SQL）逻辑同理，先处理出数值型的duration字段，再做分组聚合。

• 检查unwrap的使用时机
  如果必须用unwrap，要放在提取转数值之后、分组之前。要是先分组再unwrap，大概率只会展开每组里的部分数据，导致求和不全。比如：

  -- 错误写法：先分组再处理
  sum by (host) (unwrap(regexp_extract(Line, "Closed ([0-9]+ min)", 1)))
  -- 正确写法：先提取转数，再unwrap再求和
  sum by (host) (unwrap(to_number(regexp_replace(Line, "Closed ([0-9]+) min", "$1"))))
  

• 手动验证单组数据
  单独筛选出目标host的所有Line行，手动核对提取出的duration是否包含17和3，确认这两个值都被正确抓取，没有被过滤掉。

内容的提问来源于stack exchange，提问作者Alexandre Leprevost