GitHubContribuir en GitHub: Editar en línea

operador de ampliación

Cree columnas calculadas y añádalas al conjunto de resultados.

events    
    | project original_time, severity
    | where original_time > ago(5m)     //--- Search for the last 5 minutes of data
    //--- User defined factor using extend
    | extend low_rating_factor= (severity * 5 )/2
    | where severity < 5
    | project low_cred


Sintaxis

T | extend [ColumnName | (ColumnName[, ...]) =] Expresión [, ...]

Argumentos

  • T: El conjunto de resultados tabular de entrada.
  • ColumnName: Opcional. El nombre de la columna que se va a añadir o actualizar. Si se omite, se generará el nombre. Si Expresión devuelve más de una columna, se puede especificar una lista de nombres de columna entre paréntesis. En este caso, a las columnas de salida de Expresiónse les asignarán los nombres especificados, descartando el resto de las columnas de salida, si las hay. Si no se especifica una lista de los nombres de columna, todas las columnas de salida de Expresióncon nombres generados se añadirán a la salida.
  • Expresión: Un cálculo sobre las columnas de la entrada.

Devoluciones

Una copia del conjunto de resultados tabulares de entrada, como por ejemplo:

  1. Los nombres de columna anotados por extend que ya existen en la entrada se eliminan y se añaden como sus nuevos valores calculados.
  2. Los nombres de columna anotados por extend que no existen en la entrada se añaden como sus nuevos valores calculados.

Consejos

  • El operador extend añade una nueva columna al conjunto de resultados de entrada, que no tiene un índice. En la mayoría de los casos, si la nueva columna se establece para que sea exactamente la misma que una columna de tabla existente que tiene un índice, Kusto puede utilizar automáticamente el índice existente. Sin embargo, en algunos escenarios complejos esta propagación no se realiza.

    En estos casos, si el objetivo es renombrar una columna, utiliceoperador project-rename en su lugar.

Ejemplo

Este ejemplo cuenta todos los sucesos ingeridos que han tardado más de 1 segundo en persistir en la base de datos.

events_all
    | project receive_time, storage_time, original_time
    | where original_time > ago(5m)
    | extend time_in_pipeline_in_ms = storage_time - receive_time
    | where time_in_pipeline_in_ms > 1000
    | count


Resultados

Total
2901