表格表达式语句

适用于:✅Azure 数据资源管理器Azure MonitorMicrosoft Sentinel

表格表达式语句是人们在谈论查询时通常会想到的内容。 此语句通常出现在语句列表的最后,其输入和输出都由表或表格数据集组成。 必须用分号分隔任意两个语句。

表格表达式语句的典型结构由以下部分构成:表格数据源(如表格)、表格数据运算符(如筛选器和投影),可能还包括呈现运算符。 组合用管道字符 (|) 表示,为语句提供了一种规则形式,从左到右直观显示表格数据流。 每个运算符都接受“来自管道”的表格数据集以及其他输入(包括来自运算符主体的更多表格数据集),然后将表格数据集发送给随后的下一个运算符。

语法

Source | Operator1 | Operator2 | RenderInstruction

详细了解语法约定

参数

客户 类型​​ 必需 说明
Source string ✔️ 表格数据源。 请参阅表格数据源
运算符 string ✔️ 表格数据运算符,例如筛选器和投影。
RenderInstruction string 呈现运算符或说明。

表格数据源

表格数据源生成记录集,以便由表格数据运算符进一步处理 。 以下列表显示了支持的表格数据源:

示例

按条件筛选行

以下查询计算 StormEvents 表的 State 列中包含“FLORIDA”值的记录数。

StormEvents 
| where State == "FLORIDA"
| count

输出

Count
1042

组合两个表中的数据

在以下示例中,联接运算符用来组合来自两个表格数据源的记录:StormEvents 表和 PopulationData 表。

StormEvents 
| where InjuriesDirect + InjuriesIndirect > 50
| join (PopulationData) on State
| project State, Population, TotalInjuries = InjuriesDirect + InjuriesIndirect

输出

状态 人口数 TotalInjuries
ALABAMA 4918690 60
CALIFORNIA 39562900 61
KANSAS 2915270 63
MISSOURI 6153230 422
OKLAHOMA 3973710 200
田纳西州 6886720 187
德克萨斯 29363100 137