教學課程：使用聚合函數

使用 版本 下拉選單切換服務。 了解更多關於導航的資訊。
適用於：✅ Microsoft Fabric ✅ Azure Data Explorer ✅ Azure 監視器 ✅ Microsoft Sentinel

聚合函數 將多列資料分組並合併成摘要值。 摘要值取決於所選函數，例如計數、最大值或平均值。

在這個教學中，你會學到如何：

本教學課程是以第一個教學課程 了解常見運算子為基礎。

必要條件

若要執行下列查詢，您需要具有範例數據的存取權的查詢環境。 使用下列其中一個選項：

使用摘要運算子

摘要運算子對於對你的資料進行聚合非常重要。 運算子 summarize 根據子 by 句將列分組，然後利用提供的聚合函數將每個群組合併為一列。

使用 summarize 搭配 count 彙總函數，依州別找出事件數量。

StormEvents
| summarize TotalStorms = count() by State

輸出

將查詢結果可視化

在圖表或圖表中可視化查詢結果可協助您識別數據中的模式、趨勢和極端值。 你可以使用 渲染 運算子來建立這些視覺化。

在整個教學過程中，你會看到如何用 render 來展示結果的範例。 部分可用的圖表類型包括長條圖、折線圖、圓餅圖和散點圖。 目前請用 render 條狀圖查看前一次查詢的結果。

StormEvents
| summarize TotalStorms = count() by State
| render barchart

有條件地計算數據列

分析資料時，請使用 countif（） 根據特定條件計算列數。 此功能幫助你了解有多少列符合指定條件。

以下查詢用於 countif() 計算造成損害的風暴數量。 查詢接著使用 top 運算子來篩選結果，並顯示因暴風雨造成作物損害最嚴重的各州。

StormEvents
| summarize StormsWithCropDamage = countif(DamageCrops > 0) by State
| top 5 by StormsWithCropDamage

輸出

將資料分箱

若要依數字或時間值彙整資料，首先使用 bin（） 函式將資料分組為多個箱。 使用 bin() 這些方法有助於你了解價值在一定範圍內的分布，並使比較不同時期變得更容易。

下列查詢會計算在 2007 年每周造成作物損壞的風暴數目。 自 7d 變數代表一周，因為函式需要有效的 時間範圍 值。

StormEvents
| where StartTime between (datetime(2007-01-01) .. datetime(2007-12-31)) 
    and DamageCrops > 0
| summarize EventCount = count() by bin(StartTime, 7d)

輸出

將 新增 | render timechart 至查詢結尾，以將結果可視化。

計算最小值、最大值、平均和總和

想了解更多會造成作物損害的風暴類型，請計算每種事件類型的 最小（）、 最大（）和 平均 作物損害。 然後，依照平均傷害排序結果。

你可以在單一 summarize 運算元中使用多個聚合函數，產生多個計算出的欄位。

StormEvents
| where DamageCrops > 0
| summarize
    MaxCropDamage=max(DamageCrops), 
    MinCropDamage=min(DamageCrops), 
    AvgCropDamage=avg(DamageCrops)
    by EventType
| sort by AvgCropDamage

輸出

前一個查詢的結果顯示，霜凍/凍結事件平均造成最多作物損害。 然而， bin（） 查詢 顯示作物受損事件大多發生在夏季。

使用 sum() 來查看受損作物的總數，而不是像先前的 bin() 查詢中使用 count() 那樣，計算造成某種損害的事件數量。

StormEvents
| where StartTime between (datetime(2007-01-01) .. datetime(2007-12-31)) 
    and DamageCrops > 0
| summarize CropDamage = sum(DamageCrops) by bin(StartTime, 7d)
| render timechart

現在，你可以看到1月份的作物破壞高峰，這可能是由於霜凍/凍結。

計算百分比

計算百分比可協助您了解數據內不同值的分佈和比例。 本節介紹兩種常用的 Kusto 查詢語言（KQL）計算百分比的方法。

根據兩個數據行計算百分比

使用 count（） 和 countif 來尋找導致每個狀態作物損壞的暴風雨事件百分比。 首先，計算每個州中的風暴總數。 然後，計算每個州造成作物損壞的風暴數目。

然後，使用 extend 計算兩個資料行之間的百分比，方法是將造成農作物損害的暴風雨數量除以暴風雨總數，再乘以 100。

若要確保您得到小數結果，請先使用 todouble() 函式，將整數計數值中的至少一個轉換為 double 類型，再執行除法。

StormEvents
| summarize 
    TotalStormsInState = count(),
    StormsWithCropDamage = countif(DamageCrops > 0)
    by State
| extend PercentWithCropDamage = 
    round((todouble(StormsWithCropDamage) / TotalStormsInState * 100), 2)
| sort by StormsWithCropDamage

輸出

根據數據表大小計算百分比

若要依事件類型比較 storm 數目與資料庫中的 storm 總數，請先將資料庫中的 storm 總數儲存為變數。 使用 Let 陳述 式來定義查詢中的變數。

由於 表格式表達式語句 會傳回表格式結果，請使用 toscalar（） 函式，將函式的 count() 表格式結果轉換成純量值。 然後，在百分比計算中使用數值。

let TotalStorms = toscalar(StormEvents | summarize count());
StormEvents
| summarize EventCount = count() by EventType
| project EventType, EventCount, Percentage = todouble(EventCount) / TotalStorms * 100.0

輸出

擷取唯一值

使用 make_set（） 將數據表中的數據列選取範圍轉換成唯一值的陣列。

下列查詢會使用 make_set() 建立一個陣列，包含在各州造成死亡的事件類型。 產生的資料表接著會依照每個陣列中的風暴類型數量排序。

StormEvents
| where DeathsDirect > 0 or DeathsIndirect > 0
| summarize StormTypesWithDeaths = make_set(EventType) by State
| project State, StormTypesWithDeaths
| sort by array_length(StormTypesWithDeaths)

輸出

依條件貯體數據

case() 函式會根據指定的條件將資料分組到不同區間。 函式會針對第一個獲得滿足的述詞，傳回其對應的結果運算式；如果沒有任何述詞獲得滿足，則傳回最後的 else 運算式。

這個範例會根據公民遭受的風暴相關傷害數目來分組。

StormEvents
| summarize InjuriesCount = sum(InjuriesDirect) by State
| extend InjuriesBucket = case (
                              InjuriesCount > 50,
                              "Large",
                              InjuriesCount > 10,
                              "Medium",
                              InjuriesCount > 0,
                              "Small",
                              "No injuries"
                          )
| sort by State asc

輸出

建立圓餅圖，以呈現經歷暴風雨且造成大量、中量或少量受傷人數的各州所占比例。

StormEvents
| summarize InjuriesCount = sum(InjuriesDirect) by State
| extend InjuriesBucket = case (
                              InjuriesCount > 50,
                              "Large",
                              InjuriesCount > 10,
                              "Medium",
                              InjuriesCount > 0,
                              "Small",
                              "No injuries"
                          )
| summarize InjuryBucketByState=count() by InjuriesBucket
| render piechart 

在滑動視窗上執行匯總

以下範例展示了如何使用滑動視窗來彙整欄位。

此查詢透過七天的滑動視窗計算龍捲風、洪水及野火的最小、最大及平均財產損失。 結果集中的每個記錄都會匯總前七天，而結果會在分析期間包含每天的記錄。

以下是查詢的逐步說明：

1. 將每筆記錄量化為相對於的單一天 windowStart。
2. 將 bin 值加上七天，以設定每筆記錄的範圍結束值。 如果該值超出 windowStart 和 windowEnd 的範圍，請相應調整該值。
3. 從記錄的目前日期開始，為每個記錄建立七天的陣列。
4. 使用 mv-expand 展開步驟 3 的陣列，將每筆記錄複製成七筆，且這七筆記錄彼此之間間隔一天。
5. 執行每天的匯總。 因為第四步，這步驟實際上是過去七天的總結。
6. 將前七天排除在最終結果中，因為沒有任何七天的回溯期間。

let windowStart = datetime(2007-07-01);
let windowEnd = windowStart + 13d;
StormEvents
| where EventType in ("Tornado", "Flood", "Wildfire") 
| extend bin = bin_at(startofday(StartTime), 1d, windowStart) // 1
| extend endRange = iff(bin + 7d > windowEnd, windowEnd, 
                      iff(bin + 7d - 1d < windowStart, windowStart, 
                        iff(bin + 7d - 1d < bin, bin, bin + 7d - 1d))) // 2
| extend range = range(bin, endRange, 1d) // 3
| mv-expand range to typeof(datetime) // 4
| summarize min(DamageProperty), max(DamageProperty), round(avg(DamageProperty)) by Timestamp=bin_at(range, 1d, windowStart), EventType // 5
| where Timestamp >= windowStart + 7d; // 6

輸出

下列結果表已遭截斷。 若要查看完整的輸出，請執行查詢。

後續步驟

現在您已熟悉常見的查詢運算符和聚合函數，請繼續進行下一個教學課程，以瞭解如何從多個數據表聯結數據。