库斯托总结在哪里?

Question

我有一系列日志，我根据发生的某些步骤(基于该行中的数据)对它们进行分组

在序列正式结束(步骤4)之后，一个步骤可能被重复多次，我想拒绝总结语句中的那些。

在下表中，第一组应该在第1行和第6行之间，第二组应该在第9行和第14行之间。我将按组总结这些记录，但是我想拒绝在步骤4之后出现的每个序列的记录。

示例数据

<表类> 行 时间戳 步组大事记看来tbody><<tr>12000 - 07 - 01 t16:5111init22000 - 07 - 01 t16:5221开始32000 - 07 - 01 t16:533120%42000 - 07 - 01 t16:533121%52000 - 07 - 01 t16:533123%62000 - 07 - 01 t16:5441结束72000 - 07 - 01 t16:553119%82000 - 07 - 01 t16:563118%92000 - 07 - 01 t16:5712init102000 - 07 - 01 t16:5822开始112000 - 07 - 01 t16:593245%122000 - 07 - 01 t17:003247%132000 - 07 - 01 t17:013252%142000 - 07 - 01 t17:0242结束152000 - 07 - 01 t17:013251%162000 - 07 - 01 t17:023248%172000 - 07 - 01 t17:013246%182000 - 07 - 01 t17:023243%192000 - 07 - 01 t17:013242%202000 - 07 - 01 t17:023241%

看起来已经有一个很棒的操作符了!感谢我的一位同事指出这一点。

scan算子

https://learn.microsoft.com/en-us/azure/data-explorer/kusto/query/scan-operator

| scan with_match_id=m_id with 
(
step s1: step== "1";
step s2: step!= "4" and  timestamp - s1.timestamp <= 5m;
step s3: step== "4"  and timestamp - s1.timestamp <= 5m;
)