集計演算子

注

入力表が空の場合、出力は GroupExpression が使用されているかどうかによって異なります。

• GroupExpression が指定されていない場合、出力は単一の (空の) 行になります。
• GroupExpression が指定されている場合、出力には行がありません。

注

• 集約式とグループ化式の両方に任意の式を指定できますが、単純な列名を使用するか、 bin() を数値列に適用する方が効率的です。

結果

次の例

この例では、 24hr 期間に分割された過去 24 時間のイベントの総数が返されます。

events
    | project original_time
    | where original_time > ago(24h)
    | summarize NumEvents=count() by HourBucket=bin(original_time, 60m)
    | sort by HourBucket desc
    | take 5

結果

過去 24 時間について、1 時間間隔ごとに取り込まれたイベントの数を示す表。 表には 2 つの列が含まれます。 EventCount これは 1 時間のイベントのカウントであり、 HourBucket はイベントの集約の時間枠に分割されます。

固有の組み合わせ

表に存在するイベント name と severity の固有の組み合わせを判別します。 集約関数はなく、グループ化キーのみです。 出力には、これらの結果の列のみが表示されます。

events 
    | project severity, name, original_time
    | where original_time > ago(24h)
    | where severity > 6
    | summarize by name, severity
    | sort by name asc, severity desc
    | take 5

結果

最小タイム・スタンプと最大タイム・スタンプ

events 表内のすべてのイベントの最小タイム・スタンプと最大タイム・スタンプを検索します。 group-by 節がないため、出力には 1 行のみが含まれます。

events 
    | project severity, original_time
    | where original_time > ago(24h)
    | where severity > 6
    | summarize MinTime=min(original_time), MaxTime=max(original_time)

結果

DISTINCT COUNT

nameごとに行を作成し、取り込まれたイベントの src_ip 個別の数を表示します。

events 
    | project name, severity, original_time, src_ip
    | where original_time > ago(24h)
    | where severity > 6 and isnotempty(name) and isnotempty(src_ip)
    | summarize SrcIpCount=count_distinct(src_ip) by Name=name
    | order by SrcIpCount desc
    | take 5

結果