reduce 运算符

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

根据值相似性分组一系列字符串。

对于每个此类组，运算符将返回 pattern、count 和 representative。 pattern 最好地描述组，其中的 * 字符表示通配符。 count 是组中值的数量，representative 是组中的原始值之一。

语法

T | reduce [kind = ReduceKind] by Expr [with [threshold = Threshold] [, characters = Characters]]

详细了解语法约定。

参数

返回

一个表，其行数与标题为 pattern、count 和 representative 的组数和列数相同。 pattern 最好地描述组，其中的 * 字符表示通配符，或任意插入字符串的占位符。 count 是组中值的数量，representative 是组中的原始值之一。

例如，reduce by city 的结果可能包括：

示例

小阈值

range x from 1 to 1000 step 1
| project MyText = strcat("MachineLearningX", tostring(toint(rand(10))))
| reduce by MyText  with threshold=0.001 , characters = "X" 

输出

大阈值

range x from 1 to 1000 step 1
| project MyText = strcat("MachineLearningX", tostring(toint(rand(10))))
| reduce by MyText  with threshold=0.9 , characters = "X" 

输出

Characters 参数的行为

如果未指定 Characters 参数，则每个非 ascii 数字字符都成为字词分隔符。

range x from 1 to 10 step 1 | project str = strcat("foo", "Z", tostring(x)) | reduce by str

输出

但是，如果指定“Z”为分隔符，则 str 中的每个值就像是以下 2 个字词：foo 和 tostring(x)：

range x from 1 to 10 step 1 | project str = strcat("foo", "Z", tostring(x)) | reduce by str with characters="Z"

输出

将 reduce 应用到经过清理的输入

以下示例显示如何将 reduce 运算符应用于“sanitized”输入，在该输入中，要减少的列中 GUID 会在减少之前被替换

// Start with a few records from the Trace table.
Trace | take 10000
// We will reduce the Text column which includes random GUIDs.
// As random GUIDs interfere with the reduce operation, replace them all
// by the string "GUID".
| extend Text=replace_regex(Text, @"[[:xdigit:]]{8}-[[:xdigit:]]{4}-[[:xdigit:]]{4}-[[:xdigit:]]{4}-[[:xdigit:]]{12}", @"GUID")
// Now perform the reduce. In case there are other "quasi-random" identifiers with embedded '-'
// or '_' characters in them, treat these as non-term-breakers.
| reduce by Text with characters="-_"

相关内容

autocluster