arg_max()（聚合函数）

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

在表中查找使指定表达式最大化的行。 它返回输入表的所有列或指定的列。

弃用的别名：argmax()

arg_max (ExprToMaximize,*ExprToReturn [ | ...],)

详细了解语法约定。

返回表中最大化指定表达式 ExprToMaximize 的行以及 ExprToReturn 中指定的列的值。

以下示例查找每个状态下风暴事件的最大纬度。

StormEvents 
| summarize arg_max(BeginLat, BeginLocation) by State

输出

结果表仅显示前 10 行。

以下示例查找每个状态中发生直接死亡事件的最后一次，并显示所有列。

查询首先筛选事件，以仅包含至少一个直接死亡的事件。 然后，查询将返回包含最新 StartTime的整行。

StormEvents
| where DeathsDirect > 0
| summarize arg_max(StartTime, *) by State

输出

结果表仅显示前 10 行和前三列。

以下示例演示了 null 处理。

datatable(Fruit: string, Color: string, Version: int) [
    "Apple", "Red", 1,
    "Apple", "Green", int(null),
    "Banana", "Yellow", int(null),
    "Banana", "Green", int(null),
    "Pear", "Brown", 1,
    "Pear", "Green", 2,
]
| summarize arg_max(Version, *) by Fruit

输出

arg_max() 函数与 max() 函数不同。 arg_max（） 函数允许返回其他列以及最大值，max（） 仅返回最大值本身。

查找上次发生直接死亡事件的时间，显示表中的所有列。

查询首先筛选事件，以仅包含至少有一个直接死亡的事件。 然后查询返回具有最近（最大）StartTime 的整行。

StormEvents
| where DeathsDirect > 0
| summarize arg_max(StartTime, *)

结果表返回包含指定表达式中最高值的行的所有列。

查找上次发生直接死亡事件的时间。

查询将事件筛选为仅包含至少一个直接死亡的事件，然后返回 StartTime 的最大值。

StormEvents
| where DeathsDirect > 0
| summarize max(StartTime)

结果表返回 StartTime 的最大值，而不返回此记录的其他列。

• 聚合函数类型一目了然
• arg_min 函数
• max 函数
• avg 函数
• percentile 函数