operator find

Dotyczy: ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

Znajduje wiersze pasujące do predykatu w zestawie tabel.

Zakres obiektu find może być również między bazami danych lub między klastrami.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

Składnia

• find[ColumnName] [in= (withsource Tables)] where Predykate [project-smart | project ColumnName[: ColumnType , ... ] [, pack_all()]]

• findPredykat [project-smart | project ColumnName[: ColumnType , ... ] [, pack_all()]]

Dowiedz się więcej na temat konwencji składni.

Parametry

Nazwisko	Type	Wymagania	opis
Nazwakolumny	string		Domyślnie dane wyjściowe będą zawierać kolumnę o nazwie source_ , której wartości wskazują, która tabela źródłowa przyczyniła się do każdego wiersza. Jeśli zostanie określony, kolumna ColumnName będzie używana zamiast source_. Po dopasowaniu symboli wieloznacznych, jeśli zapytanie odwołuje się do tabel z więcej niż jednej bazy danych, łącznie z domyślną bazą danych, wartość tej kolumny będzie miała kwalifikowaną nazwę tabeli z bazą danych. Podobnie kwalifikacje klastra i bazy danych będą obecne w wartości, jeśli odwołano się do więcej niż jednego klastra.
Predykat	bool	✔️	To wyrażenie logiczne jest obliczane dla każdego wiersza w każdej tabeli wejściowej. Aby uzyskać więcej informacji, zobacz szczegóły składni predykatu.
Tabele	string		Zero lub więcej odwołań do tabeli rozdzielanych przecinkami. Domyślnie find będzie wyglądać we wszystkich tabelach w bieżącej bazie danych. Możesz użyć: 1. Nazwa tabeli, na przykład Events 2. Wyrażenie zapytania, takie jak (Events | where id==42) 3. Zestaw tabel określonych z symbolem wieloznacznymi. Na przykład E* może utworzyć związek wszystkich tabel w bazie danych, których nazwy zaczynają się od E.
project-smart lub project	string		Jeśli nie zostanie określony, project-smart będzie używany domyślnie. Aby uzyskać więcej informacji, zobacz szczegóły schematu wyjściowego.

Zwraca

Przekształcanie wierszy w tabeli [ , Tabela, ...], dla których predykat to true. Wiersze są przekształcane zgodnie ze schematem danych wyjściowych.

Schemat danych wyjściowych

kolumna source_

Dane wyjściowe operatora znajdowania zawsze będą zawierać kolumnę source_ z nazwą tabeli źródłowej. Nazwę kolumny można zmienić przy użyciu parametru withsource .

kolumny wyników

Tabele źródłowe, które nie zawierają żadnej kolumny używanej przez ocenę predykatu, zostaną odfiltrowane.

W przypadku użycia polecenia project-smartkolumny, które będą wyświetlane w danych wyjściowych, będą następujące:

• Kolumny, które są wyświetlane jawnie w predykacie.
• Kolumny wspólne dla wszystkich filtrowanych tabel.

Pozostałe kolumny zostaną zapakowane w torbę właściwości i pojawią się w dodatkowej pack kolumnie. Kolumna, do którego odwołuje się jawnie predykat i pojawia się w wielu tabelach z wieloma typami, będzie miała inną kolumnę w schemacie wyników dla każdego takiego typu. Każda z nazw kolumn zostanie skonstruowana z oryginalnej nazwy i typu kolumny oddzielonej znakiem podkreślenia.

W przypadku korzystania z kolumny ColumnName[: ColumnType , ... ] [ pack_all(), ]:project

• Tabela wyników będzie zawierać kolumny określone na liście. Jeśli tabela źródłowa nie zawiera określonej kolumny, wartości w odpowiednich wierszach będą mieć wartość null.
• Podczas określania kolumny ColumnType z kolumną ColumnName ta kolumna w "wyniku" będzie miała podany typ, a wartości będą rzutować do tego typu w razie potrzeby. Rzutowanie nie będzie miało wpływu na typ kolumny podczas oceniania predykatu.
• Gdy pack_all() jest używany, wszystkie kolumny, w tym przewidywane kolumny, są pakowane do torby właściwości i pojawiają się w dodatkowej kolumnie, domyślnie "column1". W torbie właściwości nazwa kolumny źródłowej służy jako nazwa właściwości, a wartość kolumny służy jako wartość właściwości.

Składnia predykatu

Operator wyszukiwania obsługuje alternatywną składnię * has terminu, a użycie tylko terminu spowoduje wyszukanie terminu we wszystkich kolumnach wejściowych.

Aby zapoznać się z podsumowaniem niektórych funkcji filtrowania, zobacz , gdzie operator.

Uwagi

• Jeśli klauzula project odwołuje się do kolumny, która pojawia się w wielu tabelach i ma wiele typów, typ musi postępować zgodnie z tym odwołaniem do kolumny w klauzuli projektu
• Jeśli kolumna jest wyświetlana w wielu tabelach i ma wiele typów i project-smart jest używana, dla każdego typu w wyniku będzie widoczna odpowiednia kolumna, zgodnie z opisem w findunii
• W przypadku korzystania z funkcji project-smart zmiany w predykacie, w zestawie tabel źródłowych lub w schemacie tabel mogą spowodować zmianę schematu wyjściowego. Jeśli wymagany jest stały schemat wyników, użyj projektu zamiast tego
• find zakres nie może zawierać funkcji. Aby uwzględnić funkcję w zakresie wyszukiwania, zdefiniuj instrukcję let za pomocą słowa kluczowego view.

Wskazówki dotyczące wydajności

• Używaj tabel w przeciwieństwie do wyrażeń tabelarycznych. Jeśli wyrażenie tabelaryczne, operator find powraca do union zapytania, które może spowodować obniżenie wydajności.
• Jeśli kolumna wyświetlana w wielu tabelach i ma wiele typów, jest częścią klauzuli projektu, preferuj dodanie typu ColumnType do klauzuli projektu w celu zmodyfikowania tabeli przed przekazaniem jej do findelementu .
• Dodaj filtry oparte na czasie do predykatu. Użyj wartości kolumny data/godzina lub ingestion_time().
• Wyszukaj w określonych kolumnach, a nie w wyszukiwaniu pełnotekstowym.
• Lepiej nie odwoływać się do kolumn, które pojawiają się w wielu tabelach i mają wiele typów. Jeśli predykat jest prawidłowy podczas rozpoznawania takiego typu kolumn dla więcej niż jednego typu, zapytanie powróci do unii. Zobacz na przykład przykłady przypadków, w których funkcja find będzie działać jako unia.

Przykłady

Wyszukiwanie terminów we wszystkich tabelach w bieżącej bazie danych

Zapytanie znajduje wszystkie wiersze ze wszystkich tabel w bieżącej bazie danych, w której każda kolumna zawiera słowo Hernandez. Wynikowe rekordy są przekształcane zgodnie ze schematem danych wyjściowych. Dane wyjściowe zawierają wiersze z Customers tabeli i SalesTable tabeli ContosoSales bazy danych.

Uruchamianie zapytania

find "Hernandez"

Wyszukiwanie terminów we wszystkich tabelach pasujących do wzorca nazwy w bieżącej bazie danych

Zapytanie znajduje wszystkie wiersze ze wszystkich tabel w bieżącej bazie danych, których nazwa zaczyna się od C, i w której każda kolumna zawiera słowo Hernandez. Wynikowe rekordy są przekształcane zgodnie ze schematem danych wyjściowych. Teraz dane wyjściowe zawierają tylko rekordy z Customers tabeli.

Uruchamianie zapytania

find in (C*) where * has "Hernandez"

Wyszukiwanie terminów we wszystkich tabelach we wszystkich bazach danych w klastrze

Zapytanie znajduje wszystkie wiersze ze wszystkich tabel we wszystkich bazach danych, w których każda kolumna zawiera słowo Kusto. To zapytanie jest zapytaniem między bazami danych . Wynikowe rekordy są przekształcane zgodnie ze schematem danych wyjściowych.

Uruchamianie zapytania

find in (database('*').*) where * has "Kusto"

Wyszukiwanie terminów we wszystkich tabelach i bazach danych pasujących do wzorca nazwy w klastrze

Zapytanie znajduje wszystkie wiersze ze wszystkich tabel, których nazwa zaczyna się od we wszystkich bazach danych, których nazwa zaczyna się K od B i w której każda kolumna zawiera słowo Kusto. Wynikowe rekordy są przekształcane zgodnie ze schematem danych wyjściowych.

Uruchamianie zapytania

find in (database("S*").C*) where * has "Kusto"

Wyszukiwanie terminów w kilku klastrach

Zapytanie znajduje wszystkie wiersze ze wszystkich tabel, których nazwa zaczyna się od we wszystkich bazach danych, których nazwa zaczyna się K od B i w której każda kolumna zawiera słowo Kusto. Wynikowe rekordy są przekształcane zgodnie ze schematem danych wyjściowych.

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

Przykłady wyników wyjściowych find

W poniższych przykładach pokazano, jak find można używać w dwóch tabelach: EventsTable1 i EventsTable2. Załóżmy, że mamy następną zawartość tych dwóch tabel:

EventTable1

Session_Id	Poziom	EventText	Wersja
acbd207d-51aa-4df7-bfa7-be70eb68f04e	Informacja	Tekst1	v1.0.0
acbd207d-51aa-4df7-bfa7-be70eb68f04e	Błąd	Część tekstu2	v1.0.0
28b8e46e-3c31-43cf-83cb-48921c3986fc	Błąd	Tekst3	Wersja 1.0.1
8f057b11-3281-45c3-a856-05ebb18a3c59	Informacja	Tekst4	wersja 1.1.0

EventTable2

Session_Id	Poziom	EventText	EventName
f7d5f95f-f580-4ea6-830b-5776c8d64fdd	Informacja	Inny tekst1	Zdarzenie1
acbd207d-51aa-4df7-bfa7-be70eb68f04e	Informacja	Inny tekst2	Zdarzenie 2
acbd207d-51aa-4df7-bfa7-be70eb68f04e	Błąd	Inny tekst3	Zdarzenie 3
15eaeab5-8576-4b58-8fc6-478f75d8fee4	Błąd	Inny tekst4	Zdarzenie4

Wyszukaj typowe kolumny, projektuj typowe i nietypowe kolumny i pakuj resztę

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Wyjście

źródło_	EventText	Wersja	EventName	paczka_
EventTable1	Część tekstu2	v1.0.0		{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Error"}
EventTable2	Inny tekst3		Zdarzenie 3	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Error"}

Wyszukiwanie w typowych i nietypowych kolumnach

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Wyjście

źródło_	Session_Id	EventText	Wersja	EventName
EventTable1	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Tekst1	v1.0.0
EventTable1	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Część tekstu2	v1.0.0
EventTable2	f7d5f95f-f580-4ea6-830b-5776c8d64fdd	Inny tekst1		Zdarzenie1

Uwaga: w praktyce wiersze EventsTable1 będą filtrowane za pomocą Version == 'v1.0.0' predykatu, a wiersze Tabeli zdarzeń2 będą filtrowane za pomocą EventName == 'Event1' predykatu.

Użyj notacji skróconej do wyszukiwania we wszystkich tabelach w bieżącej bazie danych

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Wyjście

źródło_	Session_Id	Poziom	EventText	paczka_
EventTable1	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Informacja	Tekst1	{"Version":"v1.0.0"}
EventTable1	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Błąd	Część tekstu2	{"Version":"v1.0.0"}
EventTable2	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Informacja	Inny tekst2	{"EventName":"Event2"}
EventTable2	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Błąd	Inny tekst3	{"EventName":"Event3"}

Zwracanie wyników z każdego wiersza jako torby właściwości

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Wyjście

źródło_	paczka_
EventTable1	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Information", "EventText":"Some Text1", "Version":"v1.0.0"}
EventTable1	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Error", "EventText":"Some Text2", "Version":"v1.0.0"}
EventTable2	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Information", "EventText":"Some Other Text2", "EventName":"Event2"}
EventTable2	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Error", "EventText":"Some Other Text3", "EventName":"Event3"}

Przykłady przypadków, w których find będą działać jako union

Używanie wyrażenia innego niż tabelarycznego w postaci znajdowania operandu

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Odwoływanie się do kolumny, która jest wyświetlana w wielu tabelach i ma wiele typów

Załóżmy, że utworzyliśmy dwie tabele, uruchamiając polecenie:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• Następujące zapytanie zostanie wykonane jako union.

find in (Table1, Table2) where ProcessId == 1001

Schemat wyniku wyjściowego to (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• Następujące zapytanie zostanie również wykonane jako union, ale spowoduje wygenerowanie innego schematu wyników.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Schemat wyniku wyjściowego będzie mieć wartość (Level:string, Timestamp, ProcessId_string)