创建异常检测作业 API

（对象或字符串）如果指定了 categorization_field_name，则还可以定义用于解释分类字段的分析器。此属性不能与 categorization_filters 同时使用。分类分析器指定分类过程如何解释 categorization_field。语法与用于在分析端点中定义 analyzer 的语法非常相似。有关更多信息，请参阅对日志消息进行分类。

categorization_analyzer 字段可以指定为字符串或对象。如果它是字符串，则它必须引用内置分析器或其他插件添加的分析器。如果它是一个对象，则它具有以下属性

（数组）检测器配置对象的数组。检测器配置对象指定作业分析哪些数据字段。它们还指定使用哪些分析函数。您可以为一个作业指定多个检测器。

（时间单位）预期数据乱序的时间窗口大小。默认值为 0（无延迟）。如果指定非零值，则该值必须大于或等于一秒。有关时间单位的更多信息，请参阅时间单位。

（布尔值）此功能保留供内部使用。不支持在客户环境中使用，并且不受官方 GA 功能的支持 SLA 的约束。

如果设置为 true，则分析将自动查找给定 by 字段值的指标之间的相关性，并在这些相关性不再成立时报告异常。例如，假设主机 A 上的 CPU 和内存使用率通常与主机 B 上的相同指标高度相关。这种相关性可能是因为它们正在运行负载均衡的应用程序。如果您启用此属性，则当（例如）主机 A 上的 CPU 使用率很高而主机 B 上的 CPU 使用率很低时，将报告异常。也就是说，当主机 A 的 CPU 相对于主机 B 的 CPU 异常时，您会看到异常。

（可选，对象）与分类如何与分区字段交互相关的设置。

（字符串）如果指定了此属性，则预计馈送到作业的数据已预先汇总。此属性值是包含已汇总的原始数据点计数的字段的名称。相同的 summary_count_field_name 适用于作业中的所有检测器。

（长整型）存储在内存和结果数据存储中每个类别的最大示例数。默认值为 4。如果增加此值，则可以使用更多示例，但这需要您有更多可用存储空间。如果将此值设置为 0，则不会存储任何示例。

（长整型或字符串）分析处理所需的近似最大内存资源量。一旦接近此限制，数据修剪就会变得更加激进。超过此限制后，将不会对新实体建模。对于在 6.1 及更高版本中创建的作业，默认值为 1024mb。但是，如果 xpack.ml.max_model_memory_limit 设置的值大于 0 且小于 1024mb，则将使用该值。如果未设置 xpack.ml.max_model_memory_limit，但设置了 xpack.ml.use_auto_machine_memory_percent，则默认的 model_memory_limit 将设置为可以在集群中分配的最大大小，上限为 1024mb。默认值相对较小，以确保高资源使用是有意识的决定。如果您的作业预计会分析高基数字段，则可能需要使用更大的值。

如果指定数字而不是字符串，则假定单位为 MiB。为了清楚起见，建议指定字符串。如果指定字节大小单位 b 或 kb 并且该数字不等于离散的兆字节数，则将其向下舍入到最接近的 MiB。最小有效值为 1 MiB。如果指定小于 1 MiB 的值，则会发生错误。有关受支持的字节大小单位的更多信息，请参阅字节大小单位。

如果为 xpack.ml.max_model_memory_limit 设置指定了值，则在尝试创建 model_memory_limit 值大于该设置值的作业时会发生错误。有关更多信息，请参阅机器学习设置。

（字符串）时间格式，可以是 epoch、epoch_ms 或自定义模式。默认值为 epoch，指的是 UNIX 或 Epoch 时间（自 1970 年 1 月 1 日以来的秒数）。值 epoch_ms 表示时间以自 epoch 以来的毫秒数来衡量。epoch 和 epoch_ms 时间格式接受整数或实数值。

（可选，对象）数据馈送可能需要搜索很长一段时间，例如几个月或几年。此搜索被分成多个时间块，以确保对 Elasticsearch 的负载得到管理。分块配置控制如何计算这些时间块的大小，并且是一个高级配置选项。

（可选，字符串）唯一标识数据馈送的数字字符串。此标识符可以包含小写字母数字字符（a-z 和 0-9）、连字符和下划线。它必须以字母数字字符开头和结尾。

默认为与异常检测作业相同的 ID。

（可选，对象）指定数据馈送是否检查丢失的数据以及窗口的大小。例如：{"enabled": true, "check_window": "1h"}。

数据馈送可以选择搜索已读取的索引，以确定是否有任何数据随后添加到索引中。如果发现数据丢失，则表明 query_delay 选项设置得太低，并且数据在数据馈送经过该时间点后才被索引。请参阅处理延迟数据。

此检查仅在实时数据馈送上运行。

（必填，数组）索引名称数组。支持通配符。例如：["it_ops_metrics", "server*"]。

（可选，对象）指定在搜索期间使用的索引扩展选项。

例如

{
   "expand_wildcards": ["all"],
   "ignore_unavailable": true,
   "allow_no_indices": "false",
   "ignore_throttled": true
}

有关这些选项的更多信息，请参阅多目标语法。

（可选，对象）指定数据馈送搜索的运行时字段。

例如

{
  "day_of_week": {
    "type": "keyword",
    "script": {
      "source": "emit(doc['@timestamp'].value.dayOfWeekEnum.getDisplayName(TextStyle.FULL, Locale.ROOT))"
    }
  }
}