operator find

Dotyczy: ✅Microsoft Fabric

Znajduje wiersze pasujące do predykatu w zestawie tabel.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Składnia

• find[ColumnNamewithsource= ] in( [)where ColumnName[project-smart | project ... ] [:]]

• find Predykat [project-smart | project ColumnName[:ColumnType, ... ] [,pack_all()]]

Dowiedz się więcej na temat konwencji składni.

Parametry

Zwraca

Przekształcanie wierszy w , ...], dla których , to . Wiersze są przekształcane zgodnie ze schematem danych wyjściowych.

Schemat danych wyjściowych

kolumna source_

Dane wyjściowe operatora find zawsze zawierają kolumnę source_ z nazwą tabeli źródłowej. Nazwę kolumny można zmienić przy użyciu parametru withsource .

kolumny wyników

Tabele źródłowe, które nie zawierają żadnej kolumny używanej przez ocenę predykatu, są filtrowane.

W przypadku używania project-smartkolumny wyświetlane w danych wyjściowych to:

• Kolumny, które są wyświetlane jawnie w predykacie.
• Kolumny wspólne dla wszystkich filtrowanych tabel.

Pozostałe kolumny są pakowane do torby właściwości i pojawiają się w dodatkowej kolumnie pack. Kolumna, do którego odwołuje się jawnie predykat i pojawia się w wielu tabelach z wieloma typami, ma inną kolumnę w schemacie wyników dla każdego takiego typu. Każda z nazw kolumn jest tworzona z oryginalnej nazwy i typu kolumny oddzielonej podkreśleniami.

W przypadku korzystania z kolumny ColumnNameproject

• Tabela wyników zawiera kolumny określone na liście. Jeśli tabela źródłowa nie zawiera określonej kolumny, wartości w odpowiednich wierszach mają wartość null.
• Po określeniu ColumnType z Nazwakolumnyta kolumna w wyniku ma podany typ, a wartości są rzutowane do tego typu, jeśli jest to konieczne. Rzutowanie nie ma wpływu na typ kolumny podczas obliczania predykatu.
• Gdy pack_all() jest używana, wszystkie kolumny, w tym przewidywane kolumny, są pakowane do torby właściwości i pojawiają się w dodatkowej kolumnie, domyślnie "column1". W torbie właściwości nazwa kolumny źródłowej służy jako nazwa właściwości, a wartość kolumny służy jako wartość właściwości.

Składnia predykatu

Operator find obsługuje alternatywną składnię terminu * has i używa tylko terminu, wyszukuje termin we wszystkich kolumnach wejściowych.

Aby zapoznać się z podsumowaniem niektórych funkcji filtrowania, zobacz , gdzie operator.

Zagadnienia dotyczące

• Jeśli klauzula project odwołuje się do kolumny, która pojawia się w wielu tabelach i ma wiele typów, typ musi postępować zgodnie z tym odwołaniem do kolumny w klauzuli projektu
• Jeśli kolumna jest wyświetlana w wielu tabelach i ma wiele typów i project-smart jest używana, istnieje odpowiednia kolumna dla każdego typu w wyniku find, zgodnie z opisem w union
• W przypadku używania inteligentnego projektu zmiany w predykacie w zestawie tabel źródłowych lub w schemacie tabel mogą spowodować zmianę schematu wyjściowego. Jeśli wymagany jest stały schemat wyników, użyj projektu zamiast tego
• find zakres nie może zawierać funkcji. Aby uwzględnić funkcję w zakresie find, zdefiniuj instrukcję let za pomocą słowa kluczowego view.

Wskazówki dotyczące wydajności

• Używaj tabel w przeciwieństwie do wyrażeń tabelarycznych. Jeśli wyrażenie tabelaryczne, operator find powraca do union zapytania, które może spowodować obniżenie wydajności.
• Jeśli kolumna wyświetlana w wielu tabelach i ma wiele typów, jest częścią klauzuli projektu, preferuj dodanie typu ColumnType do klauzuli projektu w celu zmodyfikowania tabeli przed przekazaniem jej do findelementu .
• Dodaj filtry oparte na czasie do predykatu. Użyj wartości kolumny data/godzina lub ingestion_time().
• Wyszukaj w określonych kolumnach, a nie w wyszukiwaniu pełnotekstowym.
• Lepiej nie odwoływać się do kolumn, które pojawiają się w wielu tabelach i mają wiele typów. Jeśli predykat jest prawidłowy podczas rozpoznawania takich kolumn dla więcej niż jednego typu, zapytanie wraca do unii. Zobacz na przykład przykłady przypadków, w których find działa jakounii .

Przykłady

Przykłady ogólne

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Przykłady wyników wyjściowych find

Załóżmy, że mamy następną zawartość tych dwóch tabel:

EventTable1

EventTable2

Poniższy przykład wyszukuje określone rekordy w tabeli EventsTable1 i EventsTable2 na podstawie danego Session_Id i poziomu błędu . Następnie projektuje trzy określone kolumny: EventText, Versioni EventNamei pakuje wszystkie pozostałe kolumny do obiektu dynamicznego.

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Wyjście

Poniższy przykład wyszukuje rekordy, które mają wersję "v1.0.0" lub EventName jako "Event1 ", a następnie projektuje cztery określone kolumny: Session_Id, EventText, Version i EventName z tych filtrowanych wyników.

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Wyjście

W poniższym przykładzie baza danych wyszukuje wszystkie rekordy z Session_Id zgodnym z elementem "acbd207d-51aa-4df7-bfa7-be70eb68f04e". Pobiera rekordy ze wszystkich tabel i kolumn zawierających tę konkretną Session_Id.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Wyjście

W poniższym przykładzie baza danych wyszukuje rekordy z określonym Session_Id i zwraca wszystkie kolumny tych rekordów jako pojedynczy obiekt dynamiczny.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Wyjście

Przykłady przypadków, w których find działa jako unia

Operator find w usłudze Kusto może czasami działać jak operator union, głównie wtedy, gdy jest używany do wyszukiwania w wielu tabelach.

Poniższy przykład najpierw tworzy widok, który filtruje tabelę EventsTable1 w celu uwzględnienia tylko rekordów na poziomie błędu. Następnie wyszukuje je w tym filtrowanych widokach i tabeli EventsTable2 dla rekordów z określonym Session_Id.

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

W poniższych przykładach pokazano, jak find operator może działać jako union kolumna, gdy kolumna jest wyświetlana w wielu tabelach z różnymi typami. W takim przypadku kolumna ProcessId znajduje się zarówno w tabeli Table1 , jak i Table2, ale z różnymi typami. W tym przykładzie utwórz dwie tabele, uruchamiając polecenie:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• Następujące zapytanie jest wykonywane jako union.

find in (Table1, Table2) where ProcessId == 1001

Schemat wyniku wyjściowego jest (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• Następujące zapytanie jest wykonywane jako union, ale generuje inny schemat wyników.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Schemat wyniku wyjściowego jest (Level:string, Timestamp, ProcessId_string)