使用datetime_utc_to_local等函数时min/max计算异常的KQL问题排查

你的查询确实存在问题：format_datetime函数会将datetime类型转换为字符串类型，而min()和max()对字符串执行的是字典序比较，并非时间顺序的比较，这就导致计算出的最小/最大时间结果完全不符合预期。

正确的思路是先保留转换后的datetime类型用于聚合计算，最后再对聚合结果进行格式化展示：

DeviceInfo
| where TimeGenerated > ago(30d)
| extend LocalTime = datetime_utc_to_local(TimeGenerated, 'Australia/Canberra')
| summarize 
    count(), 
    MinLocalTime = min(LocalTime), 
    MaxLocalTime = max(LocalTime) 
    by DeviceName
| extend 
    ['Generated Time AEST (Min)'] = format_datetime(MinLocalTime, 'dd-MM-yy [hh:mm:ss tt]'),
    ['Generated Time AEST (Max)'] = format_datetime(MaxLocalTime, 'dd-MM-yy [hh:mm:ss tt]')
| project DeviceName, count_, ['Generated Time AEST (Min)'], ['Generated Time AEST (Max)']

• 先用datetime_utc_to_local将UTC时间转换为AEST时区的datetime类型（依然是时间类型，并非字符串），用这个字段执行min/max聚合，才能保证计算的是时间维度上的最小/最大值。
• 聚合完成后，再通过format_datetime把结果格式化成你需要的字符串格式即可。
• 如果不需要单独拆分最小/最大时间字段，也可以在聚合后保留原始datetime字段，直接在可视化层面对其进行格式化显示，这样会更灵活。

内容的提问来源于stack exchange，提问作者HarriS