Opérateur find

S’applique à : ✅Microsoft Fabric

Recherche des lignes qui correspondent à un prédicat sur un ensemble de tables.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Syntaxe

• find[withsource= ColumnName] [in( Tables)] wherePredicate [project-smart | project ColumnName[:ColumnType, ... ] [,pack_all()]]

• find Prédicat [project-smart | project ColumnName[:ColumnType, ... ] [,pack_all()]]

En savoir plus sur les conventions de syntaxe.

Paramètres

Retours

Transformation des lignes dans la table [,Table, ...] pour laquelle le prédicat est true. Les lignes sont transformées en fonction du schéma de sortie.

Schéma de sortie

colonne source_

La find sortie de l’opérateur inclut toujours une colonne source_ avec le nom de la table source. La colonne peut être renommée à l’aide du withsource paramètre.

colonnes de résultats

Les tables sources qui ne contiennent aucune colonne utilisée par l’évaluation du prédicat sont filtrées.

Lorsque vous utilisez project-smart, les colonnes qui apparaissent dans la sortie sont les suivantes :

• Colonnes qui apparaissent explicitement dans le prédicat.
• Colonnes communes à toutes les tables filtrées.

Les autres colonnes sont empaquetées dans un conteneur de propriétés et apparaissent dans une colonne supplémentaire pack . Une colonne référencée explicitement par le prédicat et qui apparaît dans plusieurs tables avec plusieurs types a une colonne différente dans le schéma de résultat pour chaque type de ce type. Chacun des noms de colonnes est construit à partir du nom et du type de colonne d’origine, séparés par un trait de soulignement.

Lors de l’utilisation de ColumnNameproject

• La table de résultats inclut les colonnes spécifiées dans la liste. Si une table source ne contient pas de colonne spécifique, les valeurs des lignes correspondantes sont null.
• Lorsque vous spécifiez un ColumnType avec un ColumnName, cette colonne du « résultat » a le type donné et les valeurs sont converties en ce type si nécessaire. Le cast n’a pas d’effet sur le type de colonne lors de l’évaluation du prédicat.
• Quand pack_all() elle est utilisée, toutes les colonnes, y compris les colonnes projetées, sont regroupées dans un conteneur de propriétés et apparaissent dans une colonne supplémentaire, par défaut « column1 ». Dans le conteneur de propriétés, le nom de colonne source sert de nom de propriété et la valeur de la colonne sert de valeur de propriété.

Syntaxe de prédicat

L’opérateur find prend en charge une autre syntaxe pour le * has terme, et en utilisant simplement un terme, recherche un terme dans toutes les colonnes d’entrée.

Pour obtenir un résumé de certaines fonctions de filtrage, voir où l’opérateur.

Considérations

• Si la project clause fait référence à une colonne qui apparaît dans plusieurs tables et a plusieurs types, un type doit suivre cette référence de colonne dans la clause projet
• Si une colonne apparaît dans plusieurs tables et a plusieurs types et project-smart est en cours d’utilisation, il existe une colonne correspondante pour chaque type du findrésultat, comme décrit dans union
• Lorsque vous utilisez project-smart, les modifications apportées au prédicat, dans le jeu de tables sources ou dans le schéma des tables peuvent entraîner une modification du schéma de sortie. Si un schéma de résultat constant est nécessaire, utilisez le projet à la place
• find l’étendue ne peut pas inclure de fonctions. Pour inclure une fonction dans l’étendue find , définissez une instruction let avec le mot clé View.

Astuces pour les performances

• Utilisez des tables plutôt que des expressions tabulaires. Si l’expression tabulaire, l’opérateur de recherche revient à une union requête qui peut entraîner une dégradation des performances.
• Si une colonne qui apparaît dans plusieurs tables et comporte plusieurs types, fait partie de la clause projet, préférez ajouter un ColumnType à la clause de projet par rapport à la modification de la table avant de la passer.find
• Ajoutez des filtres basés sur le temps au prédicat. Utilisez une valeur de colonne datetime ou ingestion_time().
• Recherchez dans des colonnes spécifiques plutôt qu’une recherche en texte intégral.
• Il est préférable de ne pas référencer les colonnes qui apparaissent dans plusieurs tables et qui ont plusieurs types. Si le prédicat est valide lors de la résolution de ce type de colonnes pour plusieurs types, la requête revient à union. Par exemple, consultez des exemples de cas où find agit en tant qu’union.

Exemples

Exemples généraux

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Exemples de résultats de find sortie

Supposons que nous avons le contenu suivant de ces deux tables :

EventsTable1

EventsTable2

L’exemple suivant recherche des enregistrements spécifiques dans EventsTable1 et EventsTable2 en fonction d’un Session_Id donné et d’un niveau d’erreur . Il projette ensuite trois colonnes spécifiques : EventText, Version et EventName, et regroupe toutes les autres colonnes restantes dans un objet dynamique.

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Sortie

L’exemple suivant recherche les enregistrements dont la version est « v1.0.0 » ou EventName comme « Event1 », puis il projette (sélectionne) quatre colonnes spécifiques : Session_Id, EventText, Version et EventName à partir de ces résultats filtrés.

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Sortie

L’exemple suivant recherche la base de données pour tous les enregistrements avec un Session_Id qui correspond à « acbd207d-51aa-4df7-bfa7-be70eb68f04e ». Il récupère les enregistrements de toutes les tables et colonnes qui contiennent cette Session_Id spécifique.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Sortie

L’exemple suivant recherche les enregistrements dans la base de données avec le Session_Id spécifié et retourne toutes les colonnes de ces enregistrements en tant qu’objet dynamique unique.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Sortie

Exemples de cas où find agit comme union

L’opérateur find dans Kusto peut parfois agir comme un union opérateur, principalement lorsqu’il est utilisé pour effectuer une recherche sur plusieurs tables.

L’exemple suivant crée d’abord une vue qui filtre EventsTable1 pour inclure uniquement les enregistrements au niveau de l’erreur. Ensuite, il recherche dans cette vue filtrée et dans la table EventsTable2 des enregistrements avec un Session_Id spécifique.

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Les exemples suivants montrent comment l’opérateur find peut agir comme un union moment où une colonne apparaît dans plusieurs tables avec différents types. Dans ce cas, la ProcessId colonne est présente dans Table1 et Table2, mais avec différents types. Pour cet exemple, créez deux tables en exécutant :

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• La requête suivante est exécutée en tant que union.

find in (Table1, Table2) where ProcessId == 1001

Le schéma de résultat de sortie est (Level :string, Timestamp, ProcessId_string, ProcessId_int).

• La requête suivante est exécutée en tant que union, mais produit un schéma de résultat différent.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Le schéma de résultat de sortie est (Level :string, Timestamp, ProcessId_string)