通过

fork 运算符

  • 项目

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

并行运行多个 consumer 运算符。

语法

T | fork [name=](subquery) [name=](subquery) ...

详细了解语法约定。

参数

客户 类型​​ 必需 说明
subquery string ✔️ 支持的查询运算符的下游管道。
name string 子查询结果表的临时名称。

注意

  • 请避免将 fork 与单个子查询一起使用。
  • 结果选项卡的名称将与通过 name 参数或 as 运算符提供的名称相同。

支持的查询运算符

返回

多个结果表，每个子查询参数一个。

提示

  • 在 fork 分支上，请使用 materialize 替换 join 或 union。 输入流将通过 materialize 进行缓存，然后缓存的表达式可以在 join/union 分支中使用。

  • 将批处理与表格表达式语句的 materialize 一起使用，而不是使用 fork 运算符。

示例

未命名的子查询

StormEvents
| where State == "FLORIDA"
| fork
    ( where DeathsDirect + DeathsIndirect > 1)
    ( where InjuriesDirect + InjuriesIndirect > 1)

命名子查询

在下面的示例中，结果表将被命名为“StormsWithDeaths”和“StormsWithInjuries”。

StormEvents
| where State == "FLORIDA"
| fork
    (where DeathsDirect + DeathsIndirect > 1 | as StormsWithDeaths)
    (where InjuriesDirect + InjuriesIndirect > 1 | as StormsWithInjuries)

StormEvents
| where State == "FLORIDA"
| fork
    StormsWithDeaths = (where DeathsDirect + DeathsIndirect > 1)
    StormsWithInjuries = (where InjuriesDirect + InjuriesIndirect > 1)