Anweisungen für tabellarische Ausdrücke

Die Anweisung für tabellarische Ausdrücke ist das, was Benutzer normalerweise beachten, wenn sie über Abfragen sprechen. Diese Anweisung wird in der Regel zuletzt in der Anweisungsliste angezeigt, und sowohl die Eingabe als auch die Ausgabe bestehen aus Tabellen oder tabellarischen Datensätzen. Zwei Anweisungen müssen durch ein Semikolon getrennt werden.

Azure Data Explorer verwendet ein Datenflussmodell für die Tabular Expression-Anweisung. Eine Tabellarische Ausdrucks-Anweisung besteht im Allgemeinen aus tabellarischen Datenquellen wie Azure Data Explorer Tabellen, tabellarischen Datenoperatoren wie Filtern und Projektionen und optionalen Renderingoperatoren. Die Komposition wird durch das Pipezeichen (|) dargestellt, wodurch die -Anweisung eine sehr reguläre Form erhält, die den Fluss tabellarischer Daten von links nach rechts visuell darstellt. Jeder Operator akzeptiert ein tabellarisches Dataset "from the pipe" und andere Eingaben, einschließlich weiterer tabellarischer Datensätze aus dem Text des Operators, und gibt dann ein tabellarisches DataSet an den nächsten nachfolgenden Operator aus.

Syntax

Quelle|Operator1|Operator2|RenderInstruction

  • Quelle : tabellarische Datenquellen wie Azure Data Explorer Tabellen
  • Operator : Tabellarische Datenoperatoren wie Filter und Projektionen
  • RenderInstruction : Renderingoperatoren oder -anweisungen

Tabellarische Datenquellen

Eine tabellarische Datenquelle erzeugt Datensätze, die von tabellarischen Datenoperatoren weiter verarbeitet werden. Azure Data Explorer unterstützt mehrere dieser Quellen:

  • Tabellenverweise (die auf eine Azure Data Explorer Tabelle in der Kontextdatenbank oder in einem anderen Cluster/einer anderen Datenbank verweisen)
  • Der Tabellarische Bereichsoperator.
  • Der Druckoperator.
  • Ein Aufruf einer Funktion, die eine Tabelle zurückgibt.
  • Ein Tabellenliteral ("datatable").

Beispiel

Im folgenden komplexeren Beispiel wird der join -Operator verwendet, um Datensätze aus zwei Eingabedatensätzen zu kombinieren: eines, das ein Filter für die Logs Tabelle ist, und ein anderes, das ein Filter für die Events Tabelle ist.

Logs 
| where Timestamp > ago(1d) 
| join 
(
    Events 
    | where continent == 'Europe'
) on RequestId