创建异常检测任务 API

（对象或字符串）如果指定了 categorization_field_name，还可以定义用于解释分类字段的分析器。此属性不能与 categorization_filters 同时使用。分类分析器指定分类过程如何解释 categorization_field。语法与在 分析端点 中定义 analyzer 的语法非常相似。有关更多信息，请参阅 分类日志消息。

categorization_analyzer 字段可以指定为字符串或对象。如果它是字符串，则必须引用 内置分析器或由另一个插件添加的分析器。如果它是对象，则具有以下属性

（数组）检测器配置对象数组。检测器配置对象指定任务分析哪些数据字段。它们还指定使用哪些分析函数。您可以为一个任务指定多个检测器。

（时间单位）用于预期无序数据的时间窗口大小。默认值为 0（无延迟）。如果您指定非零值，则该值必须大于或等于一秒。有关时间单位的更多信息，请参见时间单位。

（布尔值）此功能保留供内部使用。不支持在客户环境中使用，并且不受官方 GA 功能的支持 SLA 约束。

如果设置为 true，分析将自动查找给定 by 字段值的指标之间的相关性，并在这些相关性停止保持时报告异常。例如，假设主机 A 上的 CPU 和内存使用率通常与主机 B 上的相同指标高度相关。出现这种相关性可能是因为它们正在运行负载均衡的应用程序。如果启用此属性，则当例如主机 A 上的 CPU 使用率很高而主机 B 上的 CPU 使用率很低时，将报告异常。也就是说，当主机 A 的 CPU 相对于主机 B 的 CPU 而言不寻常时，您会看到异常。

（可选，对象）与分类如何与分区字段交互相关的设置。

（字符串）如果指定此属性，则预计馈送到作业的数据将是预先汇总的。此属性值是包含已汇总的原始数据点计数的字段的名称。相同的 summary_count_field_name 适用于作业中的所有检测器。

（长整型）每个类别在内存和结果数据存储中存储的最大示例数。默认值为 4。如果增加此值，则会提供更多示例，但是这要求您有更多可用存储。如果将此值设置为 0，则不会存储任何示例。

（长整型或字符串）分析处理所需的大致最大内存资源量。一旦接近此限制，数据修剪将变得更加激进。一旦超过此限制，则不再对新实体进行建模。在 6.1 及更高版本中创建的作业的默认值为 1024mb。但是，如果 xpack.ml.max_model_memory_limit 设置的值大于 0 且小于 1024mb，则改为使用该值。如果未设置 xpack.ml.max_model_memory_limit，但是设置了 xpack.ml.use_auto_machine_memory_percent，则默认的 model_memory_limit 将设置为集群中可以分配的最大大小，上限为 1024mb。默认值相对较小，以确保高资源使用是有意识的决定。如果您的作业预计分析高基数字段，则可能需要使用更高的值。

如果您指定一个数字而不是字符串，则假定单位为 MiB。为了清晰起见，建议指定字符串。如果您指定字节大小单位 b 或 kb，并且该数字不等于离散的兆字节数，则将其向下舍入到最接近的 MiB。最小有效值为 1 MiB。如果您指定的值小于 1 MiB，则会发生错误。有关支持的字节大小单位的更多信息，请参见字节大小单位。

如果您为 xpack.ml.max_model_memory_limit 设置指定一个值，则当您尝试创建 model_memory_limit 值大于该设置值的作业时，会发生错误。有关更多信息，请参见机器学习设置。

（字符串）时间格式，可以是 epoch、epoch_ms 或自定义模式。默认值为 epoch，它指的是 UNIX 或 Epoch 时间（自 1970 年 1 月 1 日以来的秒数）。值 epoch_ms 表示时间以自纪元以来的毫秒为单位进行测量。epoch 和 epoch_ms 时间格式接受整数值或实数值。

（可选，对象）可能需要数据源在较长的时间段内（几个月或几年）进行搜索。此搜索将拆分为时间块，以确保管理 Elasticsearch 上的负载。分块配置控制如何计算这些时间块的大小，这是一个高级配置选项。

（可选，字符串）唯一标识数据源的数字字符串。此标识符可以包含小写字母数字字符（a-z 和 0-9）、连字符和下划线。它必须以字母数字字符开头和结尾。

默认为与异常检测作业相同的 ID。

（可选，对象）指定数据源是否检查丢失的数据以及窗口的大小。例如：{"enabled": true, "check_window": "1h"}。

数据源可以选择在已读取的索引上进行搜索，以确定是否随后向该索引添加了任何数据。如果发现丢失的数据，则很好地表明 query_delay 选项设置得太低，并且数据在数据源经过那个时间点之后被索引。请参阅使用延迟数据。

此检查仅在实时数据源上运行。

（必需，数组）索引名称的数组。支持通配符。例如：["it_ops_metrics", "server*"]。

（可选，对象）指定搜索期间使用的索引扩展选项。

例如

{
   "expand_wildcards": ["all"],
   "ignore_unavailable": true,
   "allow_no_indices": "false",
   "ignore_throttled": true
}

有关这些选项的更多信息，请参阅多目标语法。

（可选，对象）指定数据源搜索的运行时字段。

例如

{
  "day_of_week": {
    "type": "keyword",
    "script": {
      "source": "emit(doc['@timestamp'].value.dayOfWeekEnum.getDisplayName(TextStyle.FULL, Locale.ENGLISH))"
    }
  }
}