Kusto(KQL)如何按时间窗口统计name、userID组合的重复出现次数

问题原因&解决方案 #

你当前使用的查询语句核心分组逻辑本身是正确的，summarize count() by bin(_timestamp, 时间窗口), name, userID 本身就是按「时间窗口+name+userID三者的唯一组合」来做聚合统计，天然会校验两个字段的组合是否重复，不会只统计单个字段。你遇到的输出不符合预期的问题，大概率是没有自定义聚合列名，或者需要额外筛选出重复出现的组合。

最终可用查询语句

// 统计指定时间窗口内 name+userID 组合的出现次数，自定义列名为count
| summarize count = count() by bin(_timestamp, 4320m), name, userID
// 如果只需要保留重复出现（出现次数≥2）的组合，取消注释下行即可
// | where count >= 2

补充说明

• 时间窗口可以直接使用时间单位简化写法，比如统计天级窗口直接写bin(_timestamp, 1d)即可，不用手动换算为1440m，语句可读性更高
• 按你举的测试场景：所有记录的_timestamp都是13:38:01，属于同一个时间窗口，其中name为value 1、userID为value 2的组合共出现2次，上述查询返回的对应行count值就为2，完全符合预期结果

内容的提问来源于stack exchange，提问作者Nayden Van