Splunk查询转Kusto：avgif结果验证及同条件下Min/Max/Median计算方法

1. Kusto语句与原Splunk查询的等价性判断 #

你编写的avgif语句核心逻辑和原Splunk查询理论上等价，运行结果不匹配通常是以下常见差异导致：

• 字符串匹配规则差异：Kusto默认字符串比较为大小写敏感，若你使用的Splunk环境配置为大小写不敏感，会导致符合条件的统计行数不一致，可将谓词改为Test =~ "Success"实现大小写不敏感匹配，对齐Splunk默认行为。
• 字段类型差异：需确认两个平台中Duration字段都被识别为数值类型，若某一端被识别为字符串类型，会直接导致统计结果异常。
• 数据集范围差异：确认两端查询的时间范围、前置筛选条件完全一致，排除数据同步延迟、数据集本身不一致的问题。

原Splunk的avg(eval(if(Test="Success", Duration, null())))逻辑是仅将Test为Success的行的Duration纳入平均值计算，其余值按null处理被avg函数忽略，和Kustoavgif(Duration, Test == "Success")的核心计算逻辑完全一致。

2. 同筛选条件下的Min、Max、Median计算 #

Kusto提供了对应带条件的聚合函数，可直接调用：

• 最小值：minif(Duration, Test == "Success")
• 最大值：maxif(Duration, Test == "Success")
• 中位数：percentileif(Duration, 50, Test == "Success")（中位数对应第50百分位数）

完整的聚合语句示例：

| summarize 
    AvgDuration = avgif(Duration, Test == "Success"),
    MinDuration = minif(Duration, Test == "Success"),
    MaxDuration = maxif(Duration, Test == "Success"),
    MedianDuration = percentileif(Duration, 50, Test == "Success")

如果需要对齐大小写不敏感的匹配规则，将所有==替换为=~即可。

内容的提问来源于stack exchange，提问作者Milo_Dev