22. Consultas KQL

KQL é lida como um encadeamento: cada operador recebe uma tabela e entrega outra para o próximo. Essa forma combina bem com exploração de eventos, porque permite reduzir cedo o período, selecionar campos e resumir o movimento em janelas de tempo.

Preparar dados é construir o caminho entre uma fonte e uma base analítica confiável. Armazenamento, ingestão, qualidade e consulta formam uma sequência: uma decisão mal resolvida no início reaparece no modelo e no relatório. Este é o capítulo 22 de 24 da disciplina Preparar dados. A leitura parte do que foi construído em Catálogo do OneLake e hub Real-Time. Depois dele, o estudo avança para Consultas DAX.

O pipeline de operadores

A consulta começa na tabela e segue pelo caractere de pipe. where filtra linhas; project seleciona ou cria colunas; summarize agrega. Como o resultado de uma etapa alimenta a seguinte, a ordem torna o raciocínio visível e pode reduzir trabalho.

Com essa base, o capítulo segue para Tempo deve ser limitado cedo. O conceito que acabou de ser apresentado passa a funcionar como ponto de partida para a decisão seguinte.

Tempo deve ser limitado cedo

Telemetria costuma acumular rapidamente. Restrinja Timestamp logo no início quando possível. Depois aplique condições seletivas por dispositivo, severidade ou região. Filtrar somente após expansões e cálculos desnecessários aumenta custo sem melhorar a resposta.

A decisão anterior ainda não encerra o problema. Em Agrupar e criar janelas, veremos o que muda quando esse mecanismo encontra outra camada, outro contexto ou uma necessidade mais específica.

Agrupar e criar janelas

summarize calcula count, sum, avg e outras agregações pelas chaves indicadas. bin(Timestamp, 5m) alinha eventos em intervalos fixos; ele não calcula média sozinho. A função de agregação e a unidade precisam combinar com a pergunta.

Resta ligar esse mecanismo a Projetar para clareza. Essa passagem completa o fluxo e permite avaliar o resultado como um todo, em vez de conferir apenas uma configuração isolada.

Projetar para clareza

project remove campos desnecessários e deriva outros; não é operador exclusivo de ordenação. Nomeie colunas e unidades, trate nulos e confira o fuso. Compare uma janela com eventos brutos conhecidos antes de generalizar para todo o histórico.

Com as quatro partes reunidas, já é possível sair das definições e acompanhar uma situação completa. O exemplo seguinte mostra como as decisões aparecem em conjunto e em que momento cada uma precisa ser conferida.