KQL查询优化：同时间戳下优先获取服务Running状态

当同一时间戳下存在"World Wide Web Publishing Service"服务的Stopped和Running两条记录时，单纯用arg_max(TimeGenerated)无法保证优先选中Running状态——此时KQL会按记录的存储顺序返回结果，大概率误选Stopped。

优化方案：给状态添加优先级权重 #

通过给不同服务状态分配优先级数值，让Running的权重高于Stopped，再结合时间戳使用arg_max，就能确保同时间戳下优先选中Running状态。

完整KQL查询示例 #

// 替换为你的实际服务状态表名
ServiceStatus
| where ServiceName == "World Wide Web Publishing Service"
// 给状态分配优先级：Running > Stopped > 其他
| extend StatusPriority = case(
    Status == "Running", 2,
    Status == "Stopped", 1,
    0
)
// 按虚拟机和服务分组，取时间戳最新、优先级最高的记录
| summarize arg_max(TimeGenerated, StatusPriority, Status) by Computer, ServiceName
// 保留需要的字段
| project Computer, ServiceName, TimeGenerated, Status

关键逻辑说明 #

1. 优先级映射：用case函数给Running分配更高的优先级值（2），Stopped分配1，其他状态默认0，确保Running在同时间戳下排序更靠前。
2. arg_max多参数：arg_max(TimeGenerated, StatusPriority, Status)会先按TimeGenerated取最新记录，当时间戳相同时，会优先选取StatusPriority更大的记录，也就是Running状态。
3. 分组聚合：按Computer和ServiceName分组，确保每个虚拟机的目标服务只返回一条最新且优先级最高的状态记录。

内容的提问来源于stack exchange，提问作者ben