azure-data-explorer - KQL，同一表中不同行之间的时间差

Question

我有 Sessions 表

Sessions
|Timespan|Name |No|
|12:00:00|Start|1 |
|12:01:00|End  |2 |
|12:02:00|Start|3 |
|12:04:00|Start|4 |
|12:04:30|Error|5 |

我需要使用 KQL 从中提取每个 session 的持续时间(但如果您能给我建议如何使用其他查询语言来完成，那也会非常有帮助)。但是如果start之后的下一行也是start，则表示 session 被放弃，我们应该忽略它。

预期结果:

|Duration|SessionNo|
|00:01:00|    1    |
|00:00:30|    4    |

Answer 1

你可以试试这样的:

Sessions
| order by No asc 
| extend nextName = next(Name), nextTimestamp = next(timestamp)
| where Name == "Start" and nextName != "Start"
| project Duration = nextTimestamp - timestamp, No

当使用运算符 order by 时，您将得到 Serialized row set ，然后您可以使用 next 等运算符和 prev .基本上你正在寻找带有 No == "Start" 和 next(Name) == "End" 的行，所以这就是我所做的，

您可以在 Kusto Samples open database 找到此查询。 .