bin()

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

将值向下舍入到给定 bin 大小的整数倍。

经常与 summarize by ... 结合使用。 如果有一组离散值，它们会分组成较小的特定值集。

bin() 和 floor() 函数是等效的

语法

bin(value,roundTo)

详细了解语法约定。

参数

返回

最接近以下 value 的 roundTo 倍数。 Null 值、null bin 大小或负的 bin 大小将导致 null。

示例

数值箱

print bin(4.5, 1)

输出

时间范围箱

print bin(time(16d), 7d)

输出

日期/时间箱

print bin(datetime(1970-05-11 13:45:07), 1d)

输出

用 null 箱填充表

当箱行的表中没有对应行时，建议用这些箱来填充表。以下查询查看加利福尼亚州 4 月的某一周的强风暴事件。 但是，某些日子里没有事件。

let Start = datetime('2007-04-07');
let End = Start + 7d;
StormEvents
| where StartTime between (Start .. End)
| where State == "CALIFORNIA" and EventType == "Strong Wind"
| summarize PropertyDamage=sum(DamageProperty) by bin(StartTime, 1d)

输出

为了表示整周，以下查询对缺失天数使用 null 值填充结果表。 下面是此过程的分步说明：

1. 使用 union 运算符向表添加更多行。
2. range 运算符将生成只有一行一列的表。
3. 基于 range 函数的 mv-expand 运算符会根据 StartTime 到 EndTime 之间的箱数创建相同数目的行。
4. 使用一个值为 0 的 PropertyDamage。
5. summarize 运算符将原始表中的箱分组到 union 表达式生成的表中。 此过程可确保输出中每个箱都有一行，其值为零或为原始计数。

let Start = datetime('2007-04-07');
let End = Start + 7d;
StormEvents
| where StartTime between (Start .. End)
| where State == "CALIFORNIA" and EventType == "Strong Wind"
| union (
    range x from 1 to 1 step 1
    | mv-expand StartTime=range(Start, End, 1d) to typeof(datetime)
    | extend PropertyDamage=0
    )
| summarize PropertyDamage=sum(DamageProperty) by bin(StartTime, 1d)

输出