如何高效检测Kusto表中磁盘相关字段是否发生变更？

可以利用Kusto的窗口函数和动态对象对比能力，快速实现磁盘字段变更检测，无需逐列编写对比逻辑。

1. 筛选最近两次更新数据 #

假设表名为DiskInfo，更新时间字段为UpdateTime，先按DiskId分组，提取每个磁盘的最新两条更新记录：

let latest_two = DiskInfo
| partition by DiskId (
    sort by UpdateTime desc
    | take 2
    | extend Seq = row_number(desc=UpdateTime) // 1=最新, 2=上一次更新
);

2. 合并数据并检测变更 #

将同磁盘的两次数据关联，把核心字段打包成动态对象，通过对象对比判断是否有变更：

latest_two
| pivot Seq, any(*) on *
| extend Current = pack_all(true), Previous = pack_all(true)
// 移除无需对比的字段（DiskId、两次更新时间）
| extend Current = remove(Current, "DiskId"), Current = remove(Current, "UpdateTime_1"), Current = remove(Current, "UpdateTime_2")
| extend Previous = remove(Previous, "DiskId"), Previous = remove(Previous, "UpdateTime_1"), Previous = remove(Previous, "UpdateTime_2")
// 判断是否存在变更
| extend HasChanges = Current != Previous
// 可选：生成变更详情
| extend ChangeDetails = bag_diff(Current, Previous)
| project DiskId, LatestUpdateTime = UpdateTime_1, LastUpdateTime = UpdateTime_2, HasChanges, ChangeDetails

核心优势 #

• pack_all(true)自动打包所有字段，避免手动枚举列
• 动态对象直接对比Current != Previous，一键判断是否有变更
• bag_diff()可按需输出具体变更内容，无需逐列编写逻辑

内容的提问来源于stack exchange，提问作者Ian Storm