Zabbix监控模板表达式解析及CPU负载持续告警问题咨询

你的理解不完全准确：该表达式本意是检测按单核算的5分钟CPU平均负载，但表达式本身存在书写错误，且你对监控项含义、阈值对应关系存在认知偏差，才会出现持续告警的情况。

首先指出原表达式的第一个书写错误：你贴的代码里.last(#1,1)}多了一个多余的右花括号}，属于语法笔误，正常Zabbix触发器表达式不需要这个额外的括号。
排除笔误后，这段的语法完全遵循Zabbix触发器函数标准：

• last()是Zabbix内置的历史值取值函数，作用是取指定监控项的历史采集值
• 第一个参数#1：代表取距离当前时间最近的第1个有效采集点，也就是最新值
• 第二个参数1：是时间偏移量，单位为秒，意思是取1秒之前的最新值，避免取到刚采集还未写入数据库的瞬态错误数据
• 末尾的>=0.9是判断逻辑：当取到的负载值大于等于0.9时，触发器进入告警状态

你的表达式除了多打一个括号之外没有执行逻辑错误，持续告警的核心原因是监控项含义和阈值不匹配：

• 你使用的system.cpu.load[percpu,avg5]监控项，返回的是整机5分钟负载除以CPU核心数之后的单核算负载值，而你在服务器上用uptime/top看到的load average: 6.91, 7.56, 7.54是未除以核心数的整机总负载。
• 结合你给出的指标倒推，你的服务器应该是8核CPU：总负载7左右除以8核，单核算负载刚好在0.86~0.94区间波动，正好卡在你设置的0.9告警阈值上，所以会持续触发告警，不是监控误报。另外注意CPU负载和CPU使用率不是同一个指标，负载统计的是等待CPU调度、等待IO的进程总数，所以会出现负载高但CPU空闲率高的情况，属于正常现象。
• 补充说明：单核算负载的参考值为1时代表CPU计算资源刚好被占满，你设置0.9的阈值相当于CPU计算资源用到90%就告警，敏感度非常高，不符合通用运维监控的阈值习惯。

• 先删掉表达式里多余的右花括号，避免部分低版本Zabbix解析报错，修正后基础表达式为system.cpu.load[percpu,avg5].last(#1,1)>=0.9
• 如果要监控整机总负载：把监控项key改成system.cpu.load[all,avg5]，阈值按核心数设置，比如8核机器可设8为告警阈值
• 如果要监控单核算负载：根据业务容忍度调高阈值，通用场景下可设1.5为预警阈值、2为严重告警阈值，不需要卡0.9这么严格。

内容的提问来源于stack exchange，提问作者Tayto