Anweisungen für tabellarische Ausdrücke

  • Artikel

Die Aussage des tabellarischen Ausdrucks ist das, was Benutzer normalerweise im Kopf haben, wenn sie über Abfragen sprechen. Diese Anweisung wird in der Regel zuletzt in der Anweisungsliste angezeigt, und sowohl ihre Eingabe als auch ihre Ausgabe bestehen aus Tabellen oder tabellarischen Datasets. Zwei Anweisungen müssen durch ein Semikolon getrennt werden.

Eine tabellarische Ausdrucksanweisung besteht im Allgemeinen aus tabellarischen Datenquellen wie Tabellen, tabellarischen Datenoperatoren wie Filter und Projektionen und optionalen Renderingoperatoren. Die Komposition wird durch das Pipezeichen (|) dargestellt, sodass die -Anweisung eine reguläre Form erhält, die den Fluss tabellarischer Daten von links nach rechts visuell darstellt. Jeder Operator akzeptiert ein tabellarisches Dataset "aus der Pipe" und andere Eingaben, einschließlich weiterer tabellarischer Datasets aus dem Textkörper des Operators, und gibt dann ein tabellarisches Dataset an den nächsten Operator aus, der folgt.

Syntax

Quelle|Operator1|Operator2|RenderInstruction

Erfahren Sie mehr über Syntaxkonventionen.

Parameter

Name Typ Erforderlich BESCHREIBUNG
Quelle string ✔️ Eine tabellarische Datenquelle. Siehe Tabellarische Datenquellen.
Operator string ✔️ Tabellarische Datenoperatoren, z. B. Filter und Projektionen.
RenderInstruction string Renderoperatoren oder Anweisungen.

Tabellarische Datenquellen

Eine tabellarische Datenquelle erzeugt Datensätze, die von tabellarischen Datenoperatoren weiter verarbeitet werden. Die folgende Liste enthält unterstützte tabellarische Datenquellen:

Beispiele

Filtern von Zeilen nach Bedingung

Die folgende Abfrage zählt die Anzahl der Datensätze in der Tabelle, die StormEvents den Wert "FLORIDA" in der State Spalte aufweisen.

Abfrage ausführen

StormEvents 
| where State == "FLORIDA"
| count

Ausgabe

Anzahl
1042

Kombinieren von Daten aus zwei Tabellen

Im folgenden Beispiel wird der Joinoperator verwendet, um Datensätze aus zwei tabellarischen Datenquellen zu kombinieren: der StormEvents Tabelle und der PopulationData Tabelle.

Abfrage ausführen

StormEvents 
| where InjuriesDirect + InjuriesIndirect > 50
| join (PopulationData) on State
| project State, Population, TotalInjuries = InjuriesDirect + InjuriesIndirect

Ausgabe

State Auffüllung TotalInjuries
ALABAMA 4918690 60
CALIFORNIA 39562900 61
KANSAS 2915270 63
MISSOURI 6153230 422
OKLAHOMA 3973710 200
TENNESSEE 6886720 187
TEXAS 29363100 137