Azure Monitor中KQL实现今日/昨日/周均值对比的报错排查

• 需求：统计今日（滚动24小时）、昨日（滚动24小时）的交易拒绝量，以及工作日周均值
• 现状：KQL查询可正常运行，但返回警告：查询成功但存在处理错误，部分查询失败：未指定错误（分片：5eeb9282-0854-4569-a674-10f8daef9f7d，来源：Rest(404, "HEAD qh1kustorageoiprdweu16.blob.core.windows.net/jgtb64673c4e98a07fa116b4e49211-0d2a81b5bf3540e087ff2cc0e4e57c98/13da174e-3951-4b54-9a45-1f9cbe5759b4/426a5a10-4e91-4...")）

该404错误属于Kusto底层存储访问异常：查询引擎尝试访问对应分片的Blob存储时未找到目标资源，大概率是临时基础设施波动导致。若仅偶尔出现，不会影响最终查询结果；若频繁触发，需联系运维团队检查存储账户状态或分片健康度。

原代码存在重复的数据集初始化逻辑，优化后复用基础数据集以减少冗余计算，提升查询效率：

// 定义时间范围变量
let current_window_start = ago(24h);
let current_window_end = ago(1m);
let yesterday_window_start = ago(48h);
let yesterday_window_end = ago(24h);
let last_week_window_start = ago(14d);
let last_week_window_end = ago(7d);

// 初始化基础数据集（复用所有统计逻辑的公共过滤和字段扩展）
let base_data = customMetrics
| where name == "TransactionsDeclined"
| extend Dec_Reasion = tostring(customDimensions["DeclineReason"])
// 注：Type字段未在后续统计中使用，可根据需求保留或删除
// | extend Type = tostring(customDimensions["AcquiringInstitutionId"])
| extend dw = dayofweek(timestamp);

// 今日（滚动24h）拒绝量统计
let current_stats = base_data
| where timestamp between (current_window_start .. current_window_end)
| summarize CurrentVal = sum(valueCount) by Dec_Reasion;

// 昨日（滚动24h）拒绝量统计
let yesterday_stats = base_data
| where timestamp between (yesterday_window_start .. yesterday_window_end)
| summarize Yesterday_total = sum(valueCount) by Dec_Reasion;

// 上周工作日（周一至周五）拒绝量周均值
let weekly_avg_stats = base_data
| where timestamp between (last_week_window_start .. last_week_window_end)
| where toint(dw) < 6 // 过滤工作日（0=周日，1=周一...5=周五）
| summarize Week_Avg = sum(valueCount) / 5 by Dec_Reasion;

// 关联所有统计结果
current_stats
| join kind=leftouter yesterday_stats on Dec_Reasion
| join kind=leftouter weekly_avg_stats on Dec_Reasion
| project Dec_Reasion, CurrentVal, Yesterday_total, Week_Avg

• 复用base_data变量，避免重复执行相同的过滤和字段扩展操作，提升查询性能
• 变量命名语义化，增强代码可读性
• 注释掉未使用的Type字段，减少不必要的计算（若后续需要可恢复）
• 统一时间范围变量定义，便于后续调整

内容的提问来源于stack exchange，提问作者Symon Turner