KQL Summarize无法显示空值，需将无数据时间段计为0

你的核心问题是：原查询里的summarize只会返回有成功请求的时间桶，那些没有请求的桶根本不会出现在结果集里，所以后面的extend逻辑根本碰不到这些空桶，自然没法把它们的计数设为0。

不用make series的话，你可以通过先生成完整的时间桶序列，再和统计结果左连接的方式来实现需求，具体步骤如下：

1. 生成目标时间段内所有5分钟间隔的时间桶
2. 统计有数据的时间桶的成功请求数
3. 左连接两个数据集，把没有匹配到的计数填充为0

硬编码时间范围的示例查询 #

// 生成09:05到09:30之间所有5分钟的时间桶
let time_buckets = range timestamp from datetime(2024-05-20 09:05:00) to datetime(2024-05-20 09:30:00) step 5m;
// 统计该时间段内有成功请求的时间桶数量
let success_counts = requests 
    | where success == true
    | where timestamp between (datetime(2024-05-20 09:05:00) .. datetime(2024-05-20 09:30:00))
    | summarize Count = count() by bin(timestamp, 5m);
// 左连接并填充空值为0
time_buckets
| left join success_counts on timestamp
| project timestamp, Count = coalesce(Count, 0)

动态匹配数据时间范围的优化版 #

如果不想手动写时间范围，可以从requests表中自动获取数据的时间边界，生成对应范围的时间桶：

// 从数据中获取最小和最大时间，并对齐到5分钟桶
let min_time = toscalar(requests | summarize min(timestamp) | bin(min(timestamp), 5m));
let max_time = toscalar(requests | summarize max(timestamp) | bin(max(timestamp), 5m));
// 生成完整时间桶序列
let time_buckets = range timestamp from min_time to max_time step 5m;
// 统计成功请求数
let success_counts = requests 
    | where success == true
    | summarize Count = count() by bin(timestamp, 5m);
// 左连接填充0
time_buckets
| left join success_counts on timestamp
| project timestamp, Count = coalesce(Count, 0)

为什么这个方法可行 #

• range函数会生成连续的时间桶，不管有没有数据都会存在
• left join会保留所有左侧的时间桶，右侧没有匹配的记录会返回null
• coalesce函数会把null替换成0，最终得到每个时间桶的计数，空桶显示为0

这样得到的数据集结构规整，每个5分钟桶都有对应的计数，直接拿来和上周同时间段的结果做周间对比就很方便。

内容的提问来源于stack exchange，提问作者Nico11