KQL 查询返回的数据省略了过去 7 天的数据

Question

union 
workspace(""workspace1"").InsightsMetrics,
workspace(""workspace2"").InsightsMetrics,
workspace(""workspace3"").InsightsMetrics,
workspace(""workspace4"").InsightsMetrics,
workspace(""workspace5"").InsightsMetrics,
workspace(""workspace6"").InsightsMetrics
| where TimeGenerated > ago(30d)
| where Origin == "vm.azm.ms" and Namespace == "Memory"
| extend TotalMemoryGB=(todynamic(Tags)["vm.azm.ms/memorySizeMB"])/(1024)
| summarize AvailableMemoryGB = round(avg(Val)/(1024),2) by Computer, TotalMemoryGB, _ResourceId
| extend Availabile_Memory_Percentage= round((AvailableMemoryGB/TotalMemoryGB)*100, 2)
| project Computer, TotalMemoryGB, AvailableMemoryGB,Availabile_Memory_Percentage

查询省略了过去 7 天的数据（不知道为什么）。该表的保留期为 30 天。我正在从 InsightsMetrics 表中提取数据。我该如何排除故障？我可以让查询更有效率吗？感谢反馈

Answer 1

KQL 查询返回省略最近 7 天的数据：

以下是检查和解决问题的几个要点：

首先，抽取数据样本量，检查遗漏期间的数据是否正确生成。为此，请详细使用以下查询。

InsightsMetrics
| union workspace("workspace-ahnaviCMg6").InsightsMetrics
| where TimeGenerated > ago(7d)
| summarize count() by Origin

我可以看到在给定时间段（过去 7 天）内没有我的数据。现在尝试执行完整的查询以检索预期的输出。

或者，您也可以使用 make-series Kusto 函数运算符，其工作方式与

summarize

运算符类似。

唯一的区别是：

它可以使用许多与汇总 can 相同的聚合函数。

| union workspace("workspace-ahnaviCMg6").InsightsMetrics
| make-series count() on TimeGenerated > ago(7d)

如果问题仍然存在，请尝试单独检索日志（资源方面）并在检索后连接所有表。