> ## Documentation Index
> Fetch the complete documentation index at: https://hilt.ai/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# 导出 Schema

> 匿名化 Parquet 导出文件的 Schema。

导出的 Parquet 文件仅包含以下列出的列。未列出的任何内容均在查询层面被排除。

## 时间与分组

| Column | Type | 说明 |
| :- | :- | :- |
| `epoch_ts` | `String` | 5 分钟时段时间戳；按随机的每次导出偏移量偏移（±0–48 小时）以防止日历关联 |
| `host_id_anon` | `String` | 确定性重映射：`host-0001`、`host-0002` 等。在同一次导出内保持一致 |
| `uid_anon` | `UInt32` | 顺序重映射：每主机 0、1、2、… |
| `phase` | `String` | 评分阶段标签（如 `cold_start`、`baseline`、`scoring`） |
| `is_active` | `UInt8` | 该 epoch 是否有有意义的活动 |
| `is_anomaly` | `UInt8` | 二元异常标记 |
| `topk_sum` | `Float64` | Top-K 异常通道评分之和 |
| `volume_topk` | `Float64` | 按量加权的 Top-K 评分 |

## 特征向量

| Column | Type | 说明 |
| :- | :- | :- |
| `numeric_features` | `List(Float64)` | 24 元素向量，每个 epoch 的聚合活动计数 |
| `derived_features` | `List(Float64)` | 32 元素向量，统计变换（比率、熵、小波） |

特征向量以 Arrow List 列的方式打包。各特征的具体语义记录在内部工程参考文档中。

## 活动令牌序列

| Column | Type | 说明 |
| :- | :- | :- |
| `token_ids` | `List(UInt16)` | 封闭词汇表 ID，不含原始字符串、文件名或 IP |
| `token_sub_epochs` | `List(UInt8)` | 每个令牌的子 epoch 索引 |
| `token_counts` | `List(UInt16)` | 每个令牌的出现次数 |
| `token_importances` | `List(Float32)` | 每个令牌的异常重要性权重 |
| `token_depths` | `List(UInt8)` | 进程树深度 |
| `token_roles` | `List(UInt8)` | 令牌角色枚举 |
| `total_events` | `UInt32` | 该 epoch 的原始事件总数（令牌化之前） |
| `tokens_before_topk` | `UInt16` | Top-K 剪枝前的令牌数量 |

## 标签（可用时）

| Column | Type | 说明 |
| :- | :- | :- |
| `ml_label` | `String` | 攻击阶段标签或空值 |
| `ml_source` | `String` | 标签来源（`hitl`、`synthetic`、`replay`） |

## 明确排除的内容

上述允许列表中未包含的每一列均被排除。导出查询仅涉及聚合评分和令牌表，无法访问原始事件数据或应用数据库。

排除的类别包括：

* 原始事件证据（文件名、argv、地址）
* 自由文本评分器解释
* 人类身份字符串
* 原始 Host ID（已替换为匿名化版本）
* Boot ID 和生命周期标识符
* 检测规则来源（规则名称、匹配条件、严重性标签）


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.