O cálculo de Tq + Tw + Tc + Tr = Tt só é válido quando você tem o logasap configurado. O valor de Tt é nesse caso prefixado por um +, então esse não é o caso para você. (também seria inútil usar como indicação de tempo de sessão) O tempo da sessão será difícil de calcular a partir desses registros. Basicamente o Tt significa o tempo total desde a aceitação até o fechamento da conexão. Se houver um keepalive ativo, esse tempo pode ficar bastante alto, mesmo que a sessão já tenha terminado por algum tempo. Se você forçar a conexão a ser fechada imediatamente após a conclusão da sessão, você poderá usar sessiontime = Tt-Tq-Tw. O Tr é o tempo de processamento do servidor, que faz parte do tempo de sessão e, portanto, não é subtraído do Tt.