API создания заданий по обнаружению аномалий

(long) Максимальное количество примеров, хранимых на категорию в памяти и в хранилище результатов. Значение по умолчанию равно 4. Если увеличить это значение, доступно больше примеров, но потребуется больше места для хранения. Если установить это значение в 0, примеры не хранятся.

(long или строка) Приблизительный максимальный объем ресурсов памяти, необходимых для аналитического процесса. Когда приближается этот предел, удаление данных становится более агрессивным. При превышении этого предела новые сущности не моделируются. Значение по умолчанию для задач, созданных в версии 6.1 и более поздних, равно 1024mb. Однако, если значение параметра xpack.ml.max_model_memory_limit больше, чем 0, и меньше, чем 1024mb, используется это значение. Если xpack.ml.max_model_memory_limit не задано, но задано xpack.ml.use_auto_machine_memory_percent, то значение по умолчанию model_memory_limit будет установлено в максимальный размер, который может быть назначен в кластере, с ограничением 1024mb. Значение по умолчанию относительно невелико, чтобы обеспечить, что высокое потребление ресурсов является осознанным решением. Если у вас есть задачи, которые ожидают анализа полей высокой мощности, вам, вероятно, понадобится использовать более высокое значение.

Если вы указываете число вместо строки, единицы измерения предполагаются в MiB. Для большей ясности рекомендуется указывать строку. Если вы указываете единицу измерения в байтах b или kb, и число не соответствует целому числу мегабайтов, оно округляется вниз до ближайшего MiB. Минимальное допустимое значение равно 1 MiB. Если вы укажете значение меньше 1 MiB, произойдёт ошибка. Дополнительную информацию о поддерживаемых единицах измерения размера в байтах см. в Единицы измерения размера в байтах.

Если вы укажете значение для параметра xpack.ml.max_model_memory_limit, при попытке создания задач с model_memory_limit значениями, превышающими значение этого параметра, произойдёт ошибка. Дополнительную информацию см. в Настройки машинного обучения.

(строка) Формат времени, который может быть epoch, epoch_ms или пользовательским шаблоном. Значение по умолчанию — epoch, которое относится к времени Unix или эпохе (количество секунд с 1 января 1970 года). Значение epoch_ms указывает, что время измеряется в миллисекундах с момента эпохи. Форматы времени epoch и epoch_ms принимают целые или вещественные значения.

(Необязательный, объект) Потокам данных может потребоваться поиск за длительные периоды времени, в течение нескольких месяцев или лет. Этот поиск разбивается на временные блоки, чтобы обеспечить контроль нагрузки на Elasticsearch. Настройка разбиения управляет вычислением размера этих временных блоков и представляет собой расширенную конфигурацию.

(Необязательный, строка) Числовая строка, которая однозначно идентифицирует поток данных. Этот идентификатор может содержать строчные буквенно-цифровые символы (a-z и 0-9), дефисы и нижние подчеркивания. Он должен начинаться и заканчиваться буквенно-цифровыми символами.

По умолчанию используется тот же идентификатор, что и у задачи обнаружения аномалий.

(Необязательный, объект) Указывает, проверяет ли поток данных наличие отсутствующих данных и размер окна. Например: {"enabled": true, "check_window": "1h"}.

Поток данных может дополнительно искать в индексах, которые уже были прочитаны, чтобы определить, были ли к индексу добавлены какие-либо данные. Если обнаружены отсутствующие данные, это явный признак того, что опция query_delay установлена слишком низко, и данные индексируются после того, как поток данных прошёл тот момент времени. См. Работа с отстающими данными.

Эта проверка выполняется только для потоков данных в реальном времени.

(Обязательный, массив) Массив имён индексов. Поддерживаются подстановочные знаки. Например: ["it_ops_metrics", "server*"].

(Необязательный, объект) Указывает параметры расширения индексов, используемые при поиске.

Например:

{
   "expand_wildcards": ["all"],
   "ignore_unavailable": true,
   "allow_no_indices": "false",
   "ignore_throttled": true
}

Дополнительную информацию об этих параметрах см. в Многоцелевой синтаксис.

(Необязательный, объект) Указывает поля runtime для поиска потока данных.

Например:

{
  "day_of_week": {
    "type": "keyword",
    "script": {
      "source": "emit(doc['@timestamp'].value.dayOfWeekEnum.getDisplayName(TextStyle.FULL, Locale.ENGLISH))"
    }
  }
}