#azure-data-explorer #kql #kusto-explorer
Вопрос:
Приведенный ниже запрос не возвращает результат, выдает сообщение об ошибке — Арифметическое выражение не может быть выполнено между датой-временем и буфером строк
Как мне решить эту проблему, пожалуйста
| extend Time=format_datetime(Testtime,'yyyy-MM-dd h:m:s.fffffff')
| facet by Time,Status,ID
| extend minutes = (now() - Time)/60
| project minutes, ID
| limit 1```
Ответ №1:
Time относится к типу string , и now() относится к типу datetime
- Операция
now() - Timeне поддерживается, как следует из сообщения об ошибке: арифметическое выражение не может быть выполнено между DateTime и StringBuffer
Похоже Testtime , он относится к типу datetime
- Вы намеревались использовать
now() - Testtimeвместо этого?
Комментарии:
1. Спасибо, что это сработало для меня без лишних затрат времени и усилий.
Ответ №2:
Оператор фасета возвращает несколько таблиц, поэтому за ним не может следовать другой оператор.
Комментарии:
1. На самом деле я воссоздаю разделенный запрос в Кусто. Поэтому в запросе Splunk у меня есть поля для перечисления полей перед оператором eval. Есть ли какая-либо обработка для перечисления полей в запросе Kusto Splunk
| fields Time, Status, ID