KQL中如何过滤同组同类型且前序Index存在的行？

问题背景 #

现有traces表包含Group、Type、Index三列，示例数据如下：

需求：提取指定分组（如分组A）的所有行，但需排除同组同类型且Index-1对应的行存在的行。例如查询分组A时，结果应如下：

其中Index=2的Short类型行因同组同类型的Index=1行存在而被排除。

原查询尝试使用子查询但报错，提示OutterType在子查询上下文不存在：

traces
| where Group == "A"
| expend OutterType = Type
| where (Index-1) !in((
    traces
    | where Group == "A" and OutterType == Type
    | project Index))

正确实现方法 #

方法1：使用exists操作符（推荐） #

利用not exists检查当前行是否不存在同组同类型且Index为当前Index-1的行，子查询中通过@前缀引用外部列：

traces
| where Group == "A"
| where not exists (
    traces
    | where Group == @Group 
      and Type == @Type 
      and Index == @Index - 1
)

方法2：使用左反连接（leftanti join） #

先筛选出需要排除的行列表，再通过左反连接保留符合条件的行：

let target_group = "A";
// 生成需要排除的行：同组同类型下，存在Index-1的行对应的Index值
let exclude_list = traces
| where Group == target_group
| project Group, Type, Index = Index + 1;

// 左反连接，保留不在排除列表中的行
traces
| where Group == target_group
| join kind=leftanti exclude_list on Group, Type, Index

错误原因说明 #

原查询的问题在于：

• 拼写错误：expend应为extend
• 子查询属于独立上下文，无法直接访问外部查询定义的OutterType变量，必须通过@前缀引用外部列，或使用连接类操作实现关联逻辑

内容的提问来源于stack exchange，提问作者nrofis