NQL関数

関数は、データを集計、フォーマット、または抽出し、さらなる分析を可能にする定義済みの操作です。 これには、グループ化されたデータ内での合計、平均、カウントなどの操作が含まれます。

特定の関数に基づいて、次の方法で使用できます:

• compute
• summarize
• list
• sort
• where

構文

...<metric>.<function>.(<optional: function parameters>)

例

集計関数

sum()

過去7日間のデバイス 
| 過去7日間における device_performance.system_crashes を含む 
| compute number_of_crashes = number_of_system_crashes.sum()

countif()

過去24時間の collaboration.sessions
| summarize ratio_of_poor_calls = countif(session.audio.quality = poor or session.video.quality = poor) / count() by connection_type

フォーマット関数

as()

デバイス
| summarize total_cost = count() * 2000
| list total_cost.as(format = currency, code  = USD)

タイムスタンプ関数

time_elapsed()

デバイス
| where operating_system.last_update.time_elapsed() > 15d

時間()

過去24時間の device_performance.events
| where start_time.hour() >= 9 and end_time.hour() <= 17

集計されたメトリクス

関数と集計されたメトリクスを区別することが重要です。データモデルには情報へのアクセスを簡略化する様々な集計メトリクスが含まれています。 これらはデータモデルのフィールドとして定義されています。

フィールド	説明	例
.avg	バケットに集計されたメトリックの平均値。	where unload_event.avg > 1.0
.sum	バケットに集計されたメトリックのすべての値の合計。	where unload_event.sum == 10
.count	バケット内に集計された値の数。	where unload_event.count <= 4
.min	バケット内のメトリックの最小値。	where unload_event.min < 1.0
.max	バケット内のメトリックの最大値。	where unload_event.max > 1.0

スマート集計

スマート集計は、基礎的な計算を抽象化する集計されたメトリックに対する集計です。 これはデータモデルのフィールドではありません。 クエリの実行中に、パーサーがオンザフライで計算します。

集計	説明
.avg()	このメトリックの平均値。 これは .sum.sum() および .count.sum() に相当します。
.sum()	メトリックの全値の合計。 これは、.sum.sum() に相当します
.max()	メトリックの最大値。 これは .max.max() に相当します。
.min()	このメトリックの最小値。 これは .min.min() に相当します。
.p95()	メトリックの95パーセンタイル。
.p05()	メトリックの 5 パーセンタイル。
.count()	集計された値の数。 これは .count.sum() に相当します。

例:

平均で3GB未満の空きメモリを持つデバイスのリストを取得します。 次のクエリには、free_memory.avg() スマート集計が 計算 条項に含まれています。 これは、free_memory.avg 集計済み指標と同じ基礎データポイントに基づいて平均空きメモリを計算します。 これは、free_memory.avg.avg(). に相当します

デバイス 過去7日間
| には device_performance.events 過去7日間
| 計算 avg_free_memory = free_memory.avg()
| 条件 avg_free_memory < 3GB

関数の連鎖

同じフィールドに対して複数の関数を呼び出すことができます。 現在、システムは time_elapsed() 関数の連鎖をサポートしています。

例:

以下のクエリは、最後の高速起動以来経過時間のあるデバイスのリストを返します。

デバイス
| には device_performance.boots
| 条件 type == fast_startup
| 計算 time_since_last_fast_startup = time.last().time_elapsed()

以下のセクションでは、使用ルールと例を含む利用可能な関数のリストを見つけることができます。