Azure Kusto 时间序列

Question

我们在使用 Azure Kusto 中的时间图表时遇到一些问题。在此图表中，我们对一段时间内的 http 异常进行了分组。

问题在于图表仍然报告不存在异常的时间点的最后看到的值。参见红色标记。在这个特定案例中，我们看到图表在 5:28 报告了/poll 端点上的 3.23k 异常。而实际上当时并没有这样的错误。

查询如下所示

AppServiceHTTPLogs
| where TimeGenerated > ago(1d)
| where ScStatus >= 500
| summarize count() by tostring(CsUriStem), bin(TimeGenerated, 30m)
| render timechart

使用柱形图可以解决这个问题，但这会带来不那么清晰的代价。还有其他选择吗？

我们能否以某种方式将缺失值默认为 0？

Answer 1

您应该能够使用 make-series 运算符填充默认零:

https://learn.microsoft.com/en-us/azure/data-explorer/kusto/query/make-seriesoperator

AppServiceHTTPLogs
| where TimeGenerated > ago(1d)
| where ScStatus >= 500
| make-series count() on TimeGenerated from ago(1d) to now() step 30min by tostring(CsUriStem)
| render timechart

一些 UX 客户端不知道如何表示系列数据 - 在这种情况下，您可以使用 mv-expand 扩展它:

AppServiceHTTPLogs
| where TimeGenerated > ago(1d)
| where ScStatus >= 500
| make-series count() on TimeGenerated from ago(1d) to now() step 30min by tostring(CsUriStem)
| mv-expand count_ to typeof(long)
| render timechart