如何在Azure告警规则中实现Hopping Window（跳跃窗口）功能？

你的需求是每4小时执行一次告警评估，每次查询过去5小时内的错误日志并触发告警，这完全可以通过调整查询语句和告警参数实现跳跃窗口效果，具体方法如下：

问题根源 #

你当前设置的「告警规则粒度=5小时」「评估频率=4小时」会触发滑动窗口逻辑，因为评估频率小于窗口粒度，系统会连续重叠评估。要实现跳跃窗口，需要把窗口控制逻辑从告警参数转移到查询语句中。

具体实现步骤 #

1. 修改日志查询语句，手动锁定回溯时间范围
   直接在查询里指定每次评估时要查询的5小时窗口，替代告警粒度的默认逻辑：

   union traces, exceptions
   | where message startswith "Reconciliation error" or message startswith "Reconciliation check failed"
   // 明确查询过去5小时的日志数据
   | where timestamp between (ago(5h) .. now())
   

   如果需要更精准对齐4小时的评估周期（比如每次评估都对应最近的完整5小时区间），可以用时间函数计算窗口边界：

   union traces, exceptions
   | where message startswith "Reconciliation error" or message startswith "Reconciliation check failed"
   | let evalTime = now();
   | let windowStart = evalTime - 5h;
   | where timestamp between (windowStart .. evalTime)
   

2. 调整告警规则的参数设置

   • 将「告警规则粒度（Alert rule granularity）」设置为4小时
   • 将「评估频率（Frequency of evaluation）」设置为4小时
     这样配置后，告警会每4小时执行一次评估，每次都通过查询语句锁定过去5小时的窗口，完美实现跳跃窗口的效果，不会出现滑动窗口的重叠评估问题。

关于「回溯周期」的补充 #

你提到文档里的「回溯周期」选项，在Azure日志告警中是通过查询语句的时间范围来实现的，而非门户里的独立配置项——这个选项只存在于指标告警中，日志告警的时间范围完全由你写的Kusto查询控制，这就是你在门户里找不到它的原因。

内容的提问来源于stack exchange，提问作者Nichita Cebotari