新建告警规则

设置关键指标的数据来源为已存搜索、自定义搜索内容或指标模型：
• 若数据源为已存搜索，则选择已存搜索即可；

• 若数据源为自定义搜索，则需选择日志分组、输入搜索语句，与搜索模块的使用方式一致，详细操作请参见 搜索主页 及 搜索方式 章节；

• 若数据源为指标模型，则选择指标模型即可，可通过“指标模型名称”、“指标类型”、“查询语言”对指标模型进行筛选，快速选择指标模型

-

选择需要进行监控告警的指标名称

说明：若统计方式选择计数，则无需选择指标名称，即对数据源内所有指标进行计数统计

所选时间窗口内的指标会被纳入告警规则计算范围内，时间单位可选择分钟、小时、天，默认为5分钟，即表示任务执行时间前5分钟内的数据会被计算

-

选择字段进行告警分组设置，设置告警分组后，系统自动针对每个分组进行告警，提高告警的精确性，若不设置分组告警，则会针对整体指标进行告警。

例如：针对主机的CPU进行告警，设置分组字段为host，而host字段包含h1、h2、h3三个主机，则针对每个主机的CPU都会产生告警

当数据源选择指标模型时，基于指标模型计算公式，此处无需再进行配置

设置指标告警任务的执行周期，可选择固定频率或使用Cron表达式设置执行频率

说明：Cron表达式的最小精度为分钟，24小时制，例如0 0/1 * * *表示从00:00开始，每隔1小时检查一次

 -

设置是否在告警的事件恢复至正常后，进行告警恢复记录以及发送告警恢复通知

注意：若此处开启了告警恢复功能，在下方告警阈值配置中需设置“清除”这一阈值范围，否则无法检测到异常事件是否被恢复到正常状态，即告警恢复无法正常生效

告警事件记录为告警恢复的前提是：当前产生的事件为正常（即符合“清除”这一等级）事件，且前一次事件为非正常事件

设置紧急/主要/次要/提示/不确定/清除状态下的指标阈值范围，在指标统计值达到阈值范围内将会在告警事件页面记录，到达紧急范围时，将会发起告警通知

注意：若上方告警条件配置中开启了告警恢复功能，此处需设置“清除”这一阈值范围，否则无法检测到异常事件是否被恢复到正常状态，即告警恢复无法正常生效