Kusto(KQL)嵌套let语句与多时间尺度聚合查询求助

1. 核心问题解答 #

KQL完全支持嵌套let语句，你当前代码的问题并非嵌套let语法本身，而是无法通过硬编码逻辑适配不同时间尺度的动态聚合需求——固定的TimeScale变量无法驱动生成对应天数的countif聚合列。

2. 问题分析 #

你的需求是针对7d、15d、30d等时间尺度，自动生成对应天数的countif统计（如7d生成day_1到day_7，15d生成day_1到day_15），但硬编码每个时间尺度的summarize逻辑会导致代码冗余且难以扩展，同时原代码中TimeScale固定为"7d"，无法灵活切换。

3. 解决方案 #

利用KQL的动态列生成能力，结合range函数与bag_unpack操作，可实现根据TimeScale参数自动生成对应聚合列，同时保留嵌套let的正常使用。

优化后代码示例 #

let GetData = (ReportingDatabase: string, IdleDetectDatabase: string, ScaleUnit: string, TimeScale: string)
{
    let wv_entity = cluster(ReportingDatabase).database('Report').WorkspaceEntity_MV;
    let dv_entity = cluster(ReportingDatabase).database('Report').DeviceEntity_MV;
    // 解析时间尺度为整数天数
    let days = toint(split(TimeScale, "d")[0]);
    // 获取基础数据集
    let base_data = 
        cluster(IdleDetectDatabase).database("idledetect").DailyRDAgentHROutofwindowLoginPerDevice_Snapshot
        | where UsageDate > ago(totimespan(TimeScale));
    // 动态生成对应天数的countif聚合列
    base_data
    | summarize 
        agg_bag = make_bag(
            range day from 1 to days step 1
            | project key = strcat("day_", tostring(day)), 
                      value = toscalar(base_data | countif(device_count >= day))
        )
    | bag_unpack(agg_bag)
    | extend ScaleUnit = ScaleUnit, TimeScale = TimeScale
};
// 合并不同集群、不同时间尺度的统计结果
union
    // 7d时间尺度
    GetData('clusterna01.eastus.kusto.windows.net', 'clusterna01.eastus.kusto.windows.net', 'PRNA01', "7d"),
    GetData('clusterna02.centralus.kusto.windows.net', 'clusterna02.centralus.kusto.windows.net', 'PRNA02', "7d"),
    GetData('clustereu01.northeurope.kusto.windows.net', 'clustereu01.northeurope.kusto.windows.net', 'PREU01', "7d"),
    GetData('clustereu02.westeurope.kusto.windows.net', 'clustereu02.westeurope.kusto.windows.net', 'PREU02', "7d"),
    GetData('clusterap01.southeastasia.kusto.windows.net', 'clusterap01.southeastasia.kusto.windows.net', 'PRAP01', "7d"),
    GetData('clusterau01.australiaeast.kusto.windows.net', 'clusterau01.australiaeast.kusto.windows.net', 'PRAU01', "7d"),
    // 15d时间尺度
    GetData('clusterna01.eastus.kusto.windows.net', 'clusterna01.eastus.kusto.windows.net', 'PRNA01', "15d"),
    GetData('clusterna02.centralus.kusto.windows.net', 'clusterna02.centralus.kusto.windows.net', 'PRNA02', "15d"),
    GetData('clustereu01.northeurope.kusto.windows.net', 'clustereu01.northeurope.kusto.windows.net', 'PREU01', "15d"),
    GetData('clustereu02.westeurope.kusto.windows.net', 'clustereu02.westeurope.kusto.windows.net', 'PREU02', "15d"),
    GetData('clusterap01.southeastasia.kusto.windows.net', 'clusterap01.southeastasia.kusto.windows.net', 'PRAP01', "15d"),
    GetData('clusterau01.australiaeast.kusto.windows.net', 'clusterau01.australiaeast.kusto.windows.net', 'PRAU01', "15d")

关键逻辑说明 #

• 嵌套let的正确使用：函数内部的wv_entity、dv_entity、days、base_data均为嵌套let定义，完全符合KQL语法规范，原代码嵌套let本身无语法问题。
• 动态天数解析：通过split(TimeScale, "d")[0]提取时间尺度的数字部分，转换为整数天数。
• 动态聚合列生成：用range生成1到目标天数的序列，对每个天数生成对应countif统计，通过make_bag打包为动态对象，再用bag_unpack展开为day_1、day_2...格式的列。
• 标识字段扩展：新增ScaleUnit和TimeScale字段，方便区分不同集群与时间尺度的统计结果。

4. 额外扩展（可选） #

若需加入unique_devices的设备过滤逻辑，可在base_data中添加关联条件：

let unique_devices = 
    cluster(IdleDetectDatabase).database("idledetect").DailyHibernateResumeComparisonByDevice_Snapshot
    | where UsageDate > ago(totimespan(TimeScale))
    | where IsPredicted == true
    | distinct DeviceId; // 假设设备唯一标识为DeviceId
let base_data = 
    cluster(IdleDetectDatabase).database("idledetect").DailyRDAgentHROutofwindowLoginPerDevice_Snapshot
    | where UsageDate > ago(totimespan(TimeScale))
    | where DeviceId in (unique_devices); // 过滤符合条件的设备

内容的提问来源于stack exchange，提问作者Guilherme Matheus