Оператор find

Переключайте службы с помощью раскрывающегося списка Версия. Дополнительные сведения о навигации.
Область применения: ✅ Microsoft Fabric ✅ Azure Data Explorer ✅ Azure Monitor ✅ Microsoft Sentinel

Находит строки, соответствующие предикату в наборе таблиц.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Синтаксис

• find[ColumnName] [withsource= [in( ... ] [ ])where]

• find Предикат [project-smart | project ColumnName[:ColumnType, ... ] [ ]],pack_all()

Дополнительные сведения о соглашениях синтаксиса.

Параметры

Возвраты

Преобразование строк в таблице [,, ...], для которой . Строки преобразуются в соответствии с выходной схемой.

Выходная схема

столбец source_

Выходные данные оператора find всегда содержат столбец source_ с именем исходной таблицы. Столбец можно переименовать с помощью withsource параметра.

Столбцы результатов

Исходные таблицы, которые не содержат столбец, используемый вычислением предиката, отфильтровываются.

При использовании project-smartстолбцы, отображаемые в выходных данных:

• Столбцы, которые отображаются явно в предикате.
• Столбцы, общие для всех отфильтрованные таблицы.

Остальные столбцы упаковываются в контейнер свойств и отображаются в дополнительном pack столбце. Столбец, на который явно ссылается предикат и отображается в нескольких таблицах с несколькими типами, имеет другой столбец в схеме результатов для каждого такого типа. Каждое из имен столбцов создается из исходного имени столбца и типа, разделенного подчеркиванием.

При использовании projectColumnName[:ColumnType, ... ] [,pack_all()]:

• Таблица результатов содержит столбцы, указанные в списке. Если исходная таблица не содержит определенный столбец, значения в соответствующих строках имеют значение NULL.
• При указании ColumnType с ColumnName, этот столбец в "result" имеет заданный тип, и значения при необходимости приведение к этому типу. Приведение не влияет на тип столбца при оценке предиката.
• При использовании pack_all() все столбцы, включая проецируемые столбцы, упаковываются в контейнер свойств и отображаются в дополнительном столбце по умолчанию "column1". В контейнере свойств имя исходного столбца служит именем свойства, а значение столбца служит значением свойства.

Синтаксис предиката

Оператор find поддерживает альтернативный синтаксис для термина * has и использует только термин, выполняет поиск термина во всех входных столбцах.

Сводка по некоторым функциям фильтрации см. в разделе о том, где оператор.

Соображения

• project Если предложение ссылается на столбец, который отображается в нескольких таблицах и содержит несколько типов, тип должен соответствовать ссылке на этот столбец в предложении проекта.
• Если столбец отображается в нескольких таблицах и имеет несколько типов и project-smart используется, для каждого типа в результатах findесть соответствующий столбец, как описано в объединения
• Если вы используете проекта, изменения в предикате, в наборе исходных таблиц или в схеме таблиц могут привести к изменению выходной схемы. Если требуется константная схема результата, используйте проект вместо него.
• find область не может включать функции. Чтобы включить функцию в область find, определите инструкцию let с ключевым словом представления.

Советы по производительности

• Используйте таблицы в отличие от табличных выражений. Если табличное выражение, оператор поиска возвращается к запросу union , который может привести к снижению производительности.
• Если столбец, который отображается в нескольких таблицах и имеет несколько типов, является частью предложения проекта, предпочитайте добавить ColumnType в предложение проекта, прежде чем изменять таблицу перед передачей в нее find.
• Добавьте фильтры на основе времени в предикат. Используйте значение столбца datetime или ingestion_time().
• Поиск в определенных столбцах, а не полнотекстовый поиск.
• Лучше не ссылаться на столбцы, которые отображаются в нескольких таблицах и имеют несколько типов. Если предикат действителен при разрешении такого типа столбцов для нескольких типов, запрос возвращается в объединение. Например, см. примеры случаев, когда find выступает в качествеобъединения.

Примеры

Общие примеры

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Примеры выходных find результатов

Предположим, что у нас есть следующее содержимое этих двух таблиц:

EventsTable1

EventsTable2

В следующем примере выполняется поиск определенных записей в EventsTable1 и EventsTable2 на основе заданного Session_Id и уровня ошибок . Затем он проектирует три конкретных столбца: EventText, версиии EventNameи упаковывает все остальные столбцы в динамический объект.

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Выходные данные

В следующем примере выполняется поиск записей, имеющих версию "версии 1.0.0.0" или EventName как Event1, а затем она проектирует четыре конкретных столбца: Session_Id, EventText, Version и EventName из этих отфильтрованных результатов.

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Выходные данные

В следующем примере выполняется поиск базы данных для любых записей с Session_Id , которая соответствует acbd207d-51aa-4df7-bfa7-be70eb68f04e. Он извлекает записи из всех таблиц и столбцов, содержащих этот конкретный Session_Id.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Выходные данные

В следующем примере выполняется поиск базы данных для записей с указанным Session_Id и возвращается все столбцы этих записей в виде одного динамического объекта.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Выходные данные

Примеры случаев, когда find выступает в качестве объединения

Оператор find в Kusto иногда может выступать как оператор union, главным образом при использовании для поиска по нескольким таблицам.

В следующем примере сначала создается представление, которое фильтрует EventsTable1 только для включения записей уровня ошибок. Затем он выполняет поиск в этом отфильтрованном представлении и таблице EventsTable2 для записей с определенным Session_Id.

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

В следующих примерах показано, как find оператор может выступать в качестве union столбца, отображаемого в нескольких таблицах с разными типами. В этом случае ProcessId столбец присутствует как в table1 , так и table2, но с различными типами. В этом примере создайте две таблицы, выполнив следующие действия:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• Следующий запрос выполняется как union.

find in (Table1, Table2) where ProcessId == 1001

Схема результатов выходных данных (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• Следующий запрос выполняется как union, но создает другую схему результатов.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Схема результата вывода (Level:string, Timestamp, ProcessId_string)