AQL データ集約関数

データ集約関数

AVG

目的

集約内の行の平均値を返します。

例

SELECT sourceip, 
AVG(magnitude)
FROM events 
GROUP BY sourceip

COUNT

目的

集約内の行の数を返します。

例

SELECT sourceip, 
COUNT(*) 
FROM events 
GROUP BY sourceip 

その他の例を見る

DISTINCTCOUNT

目的

集約内の値の固有カウントを返します。 HyperLogLog+ 近似アルゴリズムを使用して、固有カウントを計算します。 一定のメモリー要件を持つ操作を実行して無制限のデータ・セットをサポートします。

例

SELECT username, 
DISTINCTCOUNTCOUNT(sourceip) 
AS CountSrcIP
FROM events 
GROUP BY username 

FIRST

目的

集約内の行の最初の項目を返します。

例

SELECT sourceip, 
FIRST(magnitude)
FROM events 
GROUP BY sourceip

GROUP BY

目的

1 つ以上の列から集約を作成します。

デフォルトである最初の値以外の値を返すには、COUNT、MAX、AVG などの関数を使用します。

例

SELECT sourceip, 
COUNT(*) 
FROM  events 
GROUP BY sourceip, destinationip 

SELECT username, sourceip, 
COUNT(*) FROM events 
GROUP BY username 
LAST 5 minutes

sourceip 列は FIRST_sourceipとして返されます。 別の sourceip が存在する場合であっても、1 つの username に対して 1 つの sourceip だけが返されます。

SELECT username, 
COUNT(sourceip), 
COUNT(*) FROM events 
GROUP BY username 
LAST 5 minutes

sourceip 列は COUNT_sourceipとして返されます。 sourceip 結果の数が username ごとに返されます。

その他の例を見る

HAVING

目的

グループ列の結果について演算子を使用します。

例

SELECT sourceip, 
MAX(magnitude)
AS MAG 
FROM events 
GROUP BY  sourceip 
HAVING MAG > 5 

その他の例を見る

HAVING 節を含む保存済み検索と、スケジュールされたレポートまたは時系列グラフに使用される保存済み検索は、サポートされていません。

LAST

目的

集約内の行の最後の項目を返します。

例

SELECT sourceip, 
LAST(magnitude)
FROM events 
GROUP BY sourceip

MIN

目的

集約内の行の最小値を返します。

例

SELECT sourceip, 
MIN(magnitude)
FROM events 
GROUP BY sourceip 

最大

目的

集約内の行の最大値を返します。

例

SELECT sourceip, 
MAX(magnitude)
FROM events 
GROUP BY sourceip

STDEV

目的

集約内の行のサンプル標準偏差値を返します。

例

SELECT sourceip, 
STDEV(magnitude)
FROM events 
GROUP BY sourceip 

STDEVP

目的

集約内の行の母集団標準偏差の値を返します。

例

SELECT sourceip, 
STDEVP(magnitude)
FROM events 
GROUP BY sourceip

SUM

目的

集約内の行の合計を返します。

例

SELECT sourceip, 
SUM(sourceBytes)
FROM flows 
GROUP BY sourceip 

UNIQUECOUNT

目的

集約内の値の固有カウントを返します。

例

SELECT username, 
UNIQUECOUNT(sourceip) 
AS CountSrcIP
FROM events
GROUP BY sourceip