NQLサマライズバイ

summarize by ステートメントは、情報をプロパティや時間間隔でグループ化された集約結果に凝縮します。

プロパティによるグルーピング

by の後にフィールド名を入力して、プロパティによる内訳を作成します。追加のフィールド名をカンマで区切って入力し、さらなる内訳の次元を作成します。

summarize by 句では、次の数値データ型を持つプロパティによるグループ化はサポートされていません：

• 日時、たとえば last_seen
• バイト、たとえば hardware.memory

プロパティではなく時間間隔でグループ化するには、期間によるグループ化を参照してください。

構文

  | summarize <新しいメトリック名> = <メトリック>.<集約関数> by <フィールド_1>, <フィールド_2> ...

例

過去7日間のデバイスごとのConfluenceバックエンドページ読み込み時間の平均を表示します。

web.page_views 過去7d
| where application.name == "Confluence"
| summarize backendTime = page_load_time.backend.avg() by device.name
| list device.name, backendTime
| sort backendTime desc

デバイス名	backendTime
device-10d267d2	508.2 ms
device-d1d5abc9	498.9 ms
device-5117c4c3	432.1 ms
device-16834449	431.9 ms
device-b634ce84	429.4 ms
device-731db075	349.8 ms
device-7fb313ef	293.9 ms
device-a834a720	277.6 ms
…	…

最も多くのデバイスで使用されているパブリックIPアドレスを順位付けします。通常、同じアドレスを共有するデバイスは、企業のファイアウォールやプロキシサービスなど、同じエグレスポイントを経由してインターネットに接続します。これらのクラスターの変化は、ネットワークの変更を示します。

IPアドレスフィールドによるグループ化では、アドレスの完全一致の値でグループ化されます。 IP範囲によるグループ化はサポートされていません。

devices
| summarize total = count() by public_ip.ip_address
| sort total desc

パブリックIPアドレス	total
203.0.113.17	1,284
203.0.113.42	976
198.51.100.8	412
198.51.100.63	87
…	…

過去7日間に最も多くのWebエラーを生成したURLを、エラーコード別に一覧表示します。 code などの整数フィールドでグループ化すると、異なる値ごとに1つの行が返されます。

web.errors during past 7d
| summarize total = number_of_errors.sum() by code, url
| sort total desc

code	url	total
503	https://intranet.example.com/api	2,140
404	https://intranet.example.com/help	1,509
500	https://portal.example.com/login	883
403	https://portal.example.com/reports	216
…	…	…

期間によるグルーピング

時間期間と組み合わせて使用する場合、summarize by ステートメントはメトリック値を時間バケットにグループ化します。

構文

  | summarize <新しいメトリック名> = <メトリック>.<集約関数> by <時間期間>

有効な期間値は次のとおりです：

• 15 min 30 min 45 min … 値は15の倍数でなければなりません。
• 1 h 2 h 3 h ... 値は整数でなければなりません。
• 1 d 2 d 3 d ... 値は整数でなければなりません。

例

過去7日間のクラッシュの毎日の数を時系列順に表示します。

execution.crashes 過去7d
  | summarize total_number_of_crashes = count() by 1d
  | sort start_time asc

start_time	end_time	bucket_duration	number_of_crashes
2021-03-05 00:00:00	2021-03-06 00:00:00	1 d	758
2021-03-06 00:00:00	2021-03-07 00:00:00	1 d	700
2021-03-07 00:00:00	2021-03-08 00:00:00	1 d	954
2021-03-08 00:00:00	2021-03-09 00:00:00	1 d	493
2021-03-09 00:00:00	2021-03-10 00:00:00	1 日	344
2021-03-10 00:00:00	2021-03-11 00:00:00	1 d	765
2021-03-11 00:00:00	2021-03-12 00:00:00	1 d	857

プロパティと期間によるグルーピング

プロパティと時間期間を組み合わせて、追加の内訳をもつ時間バケットを生成します。複数のフィールドを使用できますが、時間期間選択子は1つのみです。項目の順序は任意ですが、時間期間選択子はフィールドのリスト内の任意の位置に配置できます。

構文

  | summarize <新しいメトリック名> = <メトリック>.<集約関数> by <フィールド_1>, <フィールド_2>, ... <時間期間>, ...

例

過去30日間のクラッシュ数をオペレーティングシステムプラットフォームで内訳して、クラッシュ数の多い順に並べ替えて表示します。

execution.crashes 過去30d
  | summarize total_number_of_crashes = count() by 1d, device.operating_system.platform 
  | sort total_number_of_crashes desc

デバイスプラットフォーム	start_time	end_time	bucket_duration	number_of_crashes
Windows	2021-12-07 00:00:00	2021-12-08 00:00:00	1 d	690
Windows	2021-12-08 00:00:00	2021-12-09 00:00:00	1 d	533
macOS	2021-12-20 00:00:00	2021-12-21 00:00:00	1 d	511
Windows	2021-12-17 00:00:00	2021-12-18 00:00:00	1 d	493
Windows	2021-12-08 00:00:00	2021-12-09 00:00:00	1d	356
macOS	2021-12-20 00:00:00	2021-12-21 00:00:00	1d	325
…	…	…	…	…