KQL 加入最大值

如何解决KQL 加入最大值

我需要加入一个表以从右侧表中返回 MAX 值。我曾尝试使用“数据表”来模拟它，但失败得很惨:(。我会尝试用文字描述。

T1 = datatable(ID:int,Properties:string,ConfigTime:datetime) [1,'a,b,c','2021-03-04 00:00:00']

T2 = datatable(ID:int,ConfigTime:datetime) [2,'2021-03-02 00:00:00',3,b','2021-03-01 00:00:00',4,'c','2021-03-20 00:00:00']

我将此用作 T2 的更新策略，它具有 T1 的来源。所以我想从 T1 中选择行，然后加入来自 T2 的具有最高时间戳的行。我的第一次尝试如下：

T1 | join kind=inner T2 on Id
   | summarize arg_max(ConfigTime1,Id,Properties,Properties1,ConfigTime) by Id
   | project Id,ConfigTime

在我的实际更新策略中，我合并了来自 T1 和 T2 的属性，然后写入到 T2，但为了简单起见，我暂时保留了它。

目前，我的 T2 中没有从更新策略中获得任何输出。任何有关我应该这样做的另一种方式的指导将不胜感激。谢谢

解决方法

我认为你正在寻找的是一个工会

let T1 = datatable(ID:int,Properties:string,ConfigTime:datetime) [
    1,'a,b,c','2021-03-04 00:00:00'
];
let T2 = datatable(ID:int,ConfigTime:datetime) [
    2,'2021-03-02 00:00:00',3,b','2021-03-01 00:00:00',4,'c','2021-03-20 00:00:00'
];

这是一个使用带有汇总最大值的变量的示例：

let Latest = toscalar(T2 | summarize max(ConfigTime));
T1
| union (T2 | where ConfigTime == Latest)

结果将保留 T1 中的条目，仅保留 T2 中的最新条目。

如果这不能反映您的预期结果，请显示您的预期输出。

,

看来你想把arg_max计算推到join的T2端，像这样：

T1 
| join kind=inner (
   T2 
   | summarize arg_max(ConfigTime1,Id,Properties,Properties1,ConfigTime) by Id
   | project Id,ConfigTime
) on Id

请注意，为了确保可接受的性能，您希望限制 arg_max 搜索的时间范围，因此您应该在 arg_max 之前考虑基于时间的过滤器。