make-series 运算符

适用于：✅Azure 数据资源管理器Azure Monitor✅ Sentinel

沿指定的轴创建指定聚合值的序列。

语法

T| make-series [MakeSeriesParameters] [列=] 聚合 [default=DefaultValue] [, ...] onAxisColumn [fromstart] [toend] step [ [by] =GroupExpression [, ...]]

详细了解语法约定。

参数

支持的 make series 参数

替代语法

T [Column | make-series] Aggregation [= DefaultValue] [ ...] default AxisColumn =start, stopon step [in [Column range(] GroupExpression [ ...]],,)by=,

使用替代语法生成的序列与使用主语法生成的序列有两个方面的差异：

• stop 值包含在内。
• 用 bin（） 生成索引轴，而不是bin_at（ ），这意味着开始 可能不会包含在生成的序列中。

建议使用 make-series 的主要语法，而不是备用语法。

返回

输入行将排列成与 by 表达式以及 bin_at(AxisColumnstep,start 表达式具有相同值的组 。 然后，对每个组计算指定的聚合函数，从而为每组生成行。 结果包含 by 列和 AxisColumn 列，还至少包含用于每个计算聚合的一列。 （不支持聚合多个列或非数值结果。）

此中间结果包含的行数与 by 和 bin_at(AxisColumnstep,start 值的不同组合数相同 。

最后，中间结果中的行被排列为具有相同 by 表达式值的组，且所有聚合值都排列为数组（dynamic 类型的值）。 对于每个聚合，都有一个列包含其同名数组。 最后一列是一个数组，其中包含根据指定步骤装箱的 AxisColumn 的值 。

聚合函数列表

序列分析函数列表

有关序列分析功能的完整列表，请参阅：序列处理函数

序列内插函数列表

• 注意：默认情况下，内插函数假定 null 为缺失值。 因此，如果要对序列使用内插函数，请在 default= 中指定 double(null)。

示例

一张表，其中显示了从每家供应商订购的每种水果的数量和平均价格组成的数组，该表的排序依据是指定范围的时间戳。 水果与供应商的每个不同组合在输出中都占一行。 输出列显示水果、供应商，以及由以下元素组成的数组：计数、平均值和整个时间线 (2016-01-01 - 2016-01-10)。 所有数组都按各自的时间戳排序，并且所有间隙均用默认值（在本示例中为 0）填充。 忽略所有其他输入列。

T | make-series PriceAvg=avg(Price) default=0
on Purchase from datetime(2016-09-10) to datetime(2016-09-13) step 1d by Supplier, Fruit

let data=datatable(timestamp:datetime, metric: real)
[
  datetime(2016-12-31T06:00), 50,
  datetime(2017-01-01), 4,
  datetime(2017-01-02), 3,
  datetime(2017-01-03), 4,
  datetime(2017-01-03T03:00), 6,
  datetime(2017-01-05), 8,
  datetime(2017-01-05T13:40), 13,
  datetime(2017-01-06), 4,
  datetime(2017-01-07), 3,
  datetime(2017-01-08), 8,
  datetime(2017-01-08T21:00), 8,
  datetime(2017-01-09), 2,
  datetime(2017-01-09T12:00), 11,
  datetime(2017-01-10T05:00), 5,
];
let interval = 1d;
let stime = datetime(2017-01-01);
let etime = datetime(2017-01-10);
data
| make-series avg(metric) on timestamp from stime to etime step interval 

当 make-series 的输入为空时，make-series 的默认行为是生成一个空结果。

let data=datatable(timestamp:datetime, metric: real)
[
  datetime(2016-12-31T06:00), 50,
  datetime(2017-01-01), 4,
  datetime(2017-01-02), 3,
  datetime(2017-01-03), 4,
  datetime(2017-01-03T03:00), 6,
  datetime(2017-01-05), 8,
  datetime(2017-01-05T13:40), 13,
  datetime(2017-01-06), 4,
  datetime(2017-01-07), 3,
  datetime(2017-01-08), 8,
  datetime(2017-01-08T21:00), 8,
  datetime(2017-01-09), 2,
  datetime(2017-01-09T12:00), 11,
  datetime(2017-01-10T05:00), 5,
];
let interval = 1d;
let stime = datetime(2017-01-01);
let etime = datetime(2017-01-10);
data
| take 0
| make-series avg(metric) default=1.0 on timestamp from stime to etime step interval 
| count 

输出

在 kind=nonempty 生成 make-series 默认值的非空结果时使用：

let data=datatable(timestamp:datetime, metric: real)
[
  datetime(2016-12-31T06:00), 50,
  datetime(2017-01-01), 4,
  datetime(2017-01-02), 3,
  datetime(2017-01-03), 4,
  datetime(2017-01-03T03:00), 6,
  datetime(2017-01-05), 8,
  datetime(2017-01-05T13:40), 13,
  datetime(2017-01-06), 4,
  datetime(2017-01-07), 3,
  datetime(2017-01-08), 8,
  datetime(2017-01-08T21:00), 8,
  datetime(2017-01-09), 2,
  datetime(2017-01-09T12:00), 11,
  datetime(2017-01-10T05:00), 5,
];
let interval = 1d;
let stime = datetime(2017-01-01);
let etime = datetime(2017-01-10);
data
| take 0
| make-series kind=nonempty avg(metric) default=1.0 on timestamp from stime to etime step interval 

输出

使用 make-series 和 mv-expand 填充缺失记录的值：

let startDate = datetime(2025-01-06);
let endDate = datetime(2025-02-09);
let data = datatable(Time: datetime, Value: int, other:int)
[
    datetime(2025-01-07), 10, 11,
    datetime(2025-01-16), 20, 21,
    datetime(2025-02-01), 30, 5
];
data
| make-series Value=sum(Value), other=-1 default=-2 on Time from startDate to endDate step 7d
| mv-expand Value, Time, other
| extend Time=todatetime(Time), Value=toint(Value), other=toint(other)
| project-reorder Time, Value, other 

输出