find-Operator

Gilt für: ✅Microsoft Fabric

Sucht Zeilen, die einem Prädikat in einer Reihe von Tabellen entsprechen.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Syntax

• find[withsource= ColumnName] [in( Tables)] wherePrädikat [project-smart | project ColumnName[:ColumnType, ... ] [,pack_all()]]

• find Prädikat [project-smart | project ColumnName[:ColumnType, ... ] [ ]],pack_all()

Erfahren Sie mehr über Syntaxkonventionen.

Parameter

Gibt zurück

Transformation von Zeilen in Tabelle [,, ...] für das Prädikat ist true. Die Zeilen werden gemäß dem Ausgabeschema transformiert.

Ausgabeschema

spalte source_

Die ausgabe des find Operators enthält immer eine source_ Spalte mit dem Quelltabellennamen. Die Spalte kann mit dem withsource Parameter umbenannt werden.

Ergebnisspalten

Quelltabellen, die keine Spalten enthalten, die von der Prädikatauswertung verwendet werden, werden herausgefiltert.

Wenn Sie project-smartverwenden, sind die spalten, die in der Ausgabe angezeigt werden:

• Spalten, die explizit im Prädikat angezeigt werden.
• Spalten, die allen gefilterten Tabellen gemeinsam sind.

Die restlichen Spalten werden in einen Eigenschaftenbehälter verpackt und in einer zusätzlichen pack Spalte angezeigt. Eine Spalte, auf die explizit vom Prädikat verwiesen wird und in mehreren Tabellen mit mehreren Typen angezeigt wird, weist für jeden solchen Typ eine andere Spalte im Ergebnisschema auf. Jede der Spaltennamen wird aus dem ursprünglichen Spaltennamen und -typ erstellt, getrennt durch einen Unterstrich.

Bei Verwendung von projectColumnName[ : ColumnType, ... ] [,pack_all()]:

• Die Ergebnistabelle enthält die in der Liste angegebenen Spalten. Wenn eine Quelltabelle keine bestimmte Spalte enthält, sind die Werte in den entsprechenden Zeilen null.
• Wenn Sie einen ColumnType- mit einem ColumnName-angeben, weist diese Spalte im "Ergebnis" den angegebenen Typ auf, und die Werte werden bei Bedarf in diesen Typ umgegossen. Die Umwandlung wirkt sich nicht auf den Spaltentyp aus, wenn das Prädikatausgewertet wird.
• Wenn pack_all() verwendet wird, werden alle Spalten, einschließlich der projizierten Spalten, in einen Eigenschaftenbehälter gepackt und in einer zusätzlichen Spalte angezeigt, standardmäßig "Spalte1". Im Eigenschaftenbehälter dient der Name der Quellspalte als Eigenschaftsname, und der Wert der Spalte dient als Eigenschaftswert.

Prädikatsyntax

Der find-Operator unterstützt eine alternative Syntax für den * has Ausdruck und durchsucht nur Ausdruckeinen Begriff über alle Eingabespalten.

Eine Zusammenfassung einiger Filterfunktionen finden Sie unter dem Operator.

Betrachtungen

• Wenn die project Klausel auf eine Spalte verweist, die in mehreren Tabellen angezeigt wird und mehrere Typen aufweist, muss ein Typ diesem Spaltenverweis in der Projektklausel folgen.
• Wenn eine Spalte in mehreren Tabellen angezeigt wird und mehrere Typen aufweist und project-smart verwendet wird, gibt es eine entsprechende Spalte für jeden Typ im Ergebnis des find, wie in Union
• Wenn Sie projektbasiertenverwenden, können Änderungen im Prädikat, im Satz der Quelltabellen oder im Tabellenschema zu einer Änderung des Ausgabeschemas führen. Wenn ein konstantes Ergebnisschema erforderlich ist, verwenden Sie stattdessen das Projekt.
• findBereich kann keine Funktionen enthalten. Um eine Funktion in den bereich find einzuschließen, definieren Sie eine let-Anweisung mit Ansicht-Schlüsselwort.

Leistungstipps

• Verwenden Sie Tabellen im Gegensatz zu tabellarischen Ausdrücken. Wenn ein tabellarischer Ausdruck auftritt, greift der Suchoperator auf eine union Abfrage zurück, die zu einer beeinträchtigten Leistung führen kann.
• Wenn eine Spalte, die in mehreren Tabellen angezeigt wird und mehrere Typen aufweist, Teil der Projektklausel ist, bevorzugen Sie das Hinzufügen eines ColumnType-Werts zur Projektklausel, um die Tabelle zu ändern, bevor Sie sie findan übergeben.
• Fügen Sie dem Prädikat zeitbasierte Filter hinzu. Verwenden Sie einen Datetime-Spaltenwert oder ingestion_time().
• Suchen Sie in bestimmten Spalten anstelle einer Volltextsuche.
• Es ist besser, nicht auf Spalten zu verweisen, die in mehreren Tabellen angezeigt werden und über mehrere Typen verfügen. Wenn das Prädikat gültig ist, wenn ein solcher Spaltentyp für mehrere Typen aufgelöst wird, wird die Abfrage wieder auf Union zurückgestellt. Beispiele für Fälle, in denen find als Union fungiert, finden Sie unterBeispielen.

Beispiele

Allgemeine Beispiele

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Beispiele für find Ausgabeergebnisse

Gehen Sie davon aus, dass wir den nächsten Inhalt dieser beiden Tabellen haben:

EventsTable1

EventsTable2

Im folgenden Beispiel wird anhand eines bestimmten Session_Id und einer Fehlerstufe nach bestimmten Datensätzen in EventsTable1 und EventsTable2 gesucht. Anschließend werden drei bestimmte Spalten projiziert: EventText-, Versionund EventName-und alle anderen verbleibenden Spalten in ein dynamisches Objekt.

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Ausgabe

Im folgenden Beispiel wird nach Datensätzen gesucht, die entweder "Version " als "v1.0.0" oder "EventName " als "Event1" aufweisen, und dann werden vier bestimmte Spalten markiert: Session_Id, EventText, Version und EventName aus diesen gefilterten Ergebnissen.

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Ausgabe

Im folgenden Beispiel wird die Datenbank nach datensätzen mit einer Session_Id durchsucht, die mit "acbd207d-51aa-4df7-bfa7-be70eb68f04e" übereinstimmt. Es ruft Datensätze aus allen Tabellen und Spalten ab, die diese spezifische Session_Identhalten.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Ausgabe

Im folgenden Beispiel wird die Datenbank nach Datensätzen mit der angegebenen Session_Id durchsucht und alle Spalten dieser Datensätze als einzelnes dynamisches Objekt zurückgegeben.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Ausgabe

Beispiele für Fälle, in denen find sie als Vereinigung fungieren

Der find-Operator in Kusto kann manchmal wie ein union-Operator wirken, hauptsächlich wenn er zum Durchsuchen mehrerer Tabellen verwendet wird.

Im folgenden Beispiel wird zuerst eine Ansicht erstellt, die EventsTable1 so filtert, dass nur Datensätze auf Fehlerebene enthalten sind. Anschließend wird in dieser gefilterten Ansicht und in der Tabelle "EventsTable2" nach Datensätzen mit einem bestimmten Session_Idgesucht.

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Die folgenden Beispiele veranschaulichen, wie der find Operator als union eine Spalte in mehreren Tabellen mit unterschiedlichen Typen angezeigt werden kann. In diesem Fall ist die ProcessId Spalte sowohl in Tabelle1 als auch in Tabelle2 vorhanden, jedoch mit unterschiedlichen Typen. Erstellen Sie in diesem Beispiel zwei Tabellen, indem Sie Folgendes ausführen:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• Die folgende Abfrage wird als unionausgeführt.

find in (Table1, Table2) where ProcessId == 1001

Das Ausgabeergebnisschema ist (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• Die folgende Abfrage wird als unionausgeführt, erzeugt jedoch ein anderes Ergebnisschema.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Das Ausgabeergebnisschema ist (Level:string, Timestamp, ProcessId_string)