top-hitters 运算符

适用于:✅Azure 数据资源管理器Azure MonitorMicrosoft Sentinel

返回输入中最常用的非重复值或具有最大和的值的近似值。

注意

top-hitters 使用在输入数据较大时针对性能进行优化的近似算法。 近似值基于 Count-Min-Sketch 算法。

语法

T | top-hitters NumberOfValues of ValueExpression [ by SummingExpression ]

详细了解语法约定

参数

客户 类型​​ 必需 说明
T string ✔️ 输入表格表达式。
NumberOfValues int、long 或 real ✔️ ValueExpression 的非重复值的数目。
ValueExpression string ✔️ 返回非重复值的输入表 T 上的表达式。
SummingExpression string 如果指定此项,则输入表 T 上的数值表达式,其每个 ValueExpression 非重复值的总和将建立要发出的值。 如果未指定,则改为使用 ValueExpression 的每个非重复值的计数。

备注

第一种语法(无 SummingExpression)在概念上等效于:

T| summarize C``=``count() by ValueExpression| top NumberOfValues by C desc

第二种语法(带有 SummingExpression)在概念上等效于:

T| summarize S``=``sum(*SummingExpression*) by ValueExpression| top NumberOfValues by S desc

示例

获取最频繁的项

下一个示例演示了如何查找前 5 大风暴类型。

StormEvents
| top-hitters 5 of EventType 

输出

EventType approximate_count_EventType
雷雨大风 13015
冰雹 12711
山洪 3688
Drought 3616
冬季天气 3349

获取排名最靠前的项(基于列值)

下一个示例演示了如何查找“Thunderstorm Wind”事件最多的州。

StormEvents
| where EventType == "Thunderstorm Wind"
| top-hitters 10 of State 

输出

状态 approximate_sum_State
德克萨斯 830
佐治亚州 609
密歇根州 602
衣阿华州 585
宾夕法尼亚州 549
ILLINOIS 533
NEW YORK 502
弗吉尼亚州 482
KANSAS 476
俄亥俄州 455