arg_max()（聚合函数）

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

在表中查找使指定表达式最大化的行。 它返回输入表的所有列或指定的列。

弃用的别名：argmax()

语法

arg_max (ExprToMaximize, * | ExprToReturn [, ...])

详细了解语法约定。

参数

返回

返回表中最大化指定表达式 ExprToMaximize 的行以及 ExprToReturn 中指定的列的值。

示例

找出每个州发生风暴事件的最大纬度。

StormEvents 
| summarize arg_max(BeginLat, BeginLocation) by State

结果表仅显示前 10 行。

查找各州上次发生直接死亡事件的时间，显示所有列。

查询首先筛选事件以仅包含至少发生一起直接死亡事件的州。 然后查询返回具有最近的 StartTime 的整行。

StormEvents
| where DeathsDirect > 0
| summarize arg_max(StartTime, *) by State

结果表仅显示前 10 行和前 3 列。

以下示例演示了 null 处理。

datatable(Fruit: string, Color: string, Version: int) [
    "Apple", "Red", 1,
    "Apple", "Green", int(null),
    "Banana", "Yellow", int(null),
    "Banana", "Green", int(null),
    "Pear", "Brown", 1,
    "Pear", "Green", 2,
]
| summarize arg_max(Version, *) by Fruit

输出

与 max() 的比较

arg_max() 函数与 max() 函数不同。 arg_max() 函数允许返回其他列以及最大值，而 max() 仅返回最大值本身。

示例

arg_max()

查找上次发生直接死亡事件的时间，显示表中的所有列。

查询首先筛选事件以仅包含至少发生一起直接死亡事件的州。 然后查询返回具有最近（最大）StartTime 的整行。

StormEvents
| where DeathsDirect > 0
| summarize arg_max(StartTime, *)

结果表返回包含指定表达式中最高值的行的所有列。

max()

查找上次发生直接死亡事件的时间。

查询会筛选事件以仅包含至少发生一起直接死亡事件的州，然后返回 StartTime 的最大值。

StormEvents
| where DeathsDirect > 0
| summarize max(StartTime)

结果表返回 StartTime 的最大值，而不返回此记录的其他列。

相关内容

• max 函数
• min 函数
• avg 函数
• percentile 函数