Die Indexer gingen häufig zurück, und die nächste Meldung wurde angezeigt: Der Indexprozessor hat den Datenfluss angehalten.

Geltungsbereich

Beschreibung

throttled - The index processor has paused data flow. 
Too many tsidx files in idx=firewall bucket="/data1/splunk/firewall/db/hot_v1_XXX", waiting for the splunk-optimize indexing helper to catch up merging them. 
Ensure reasonable disk space is available, and that I/O write throughput is not compromised.

Untersuchung

Das Problem im nächsten Splunk-Dokument: Verwalten von Indexern und Clustern von Indexern. Und es ist mit Indexen verwandt, die Aufgaben optimieren.

Sie können den nächsten Link als Referenz überprüfen:
Indizes optimieren
https://docs.splunk.com/Documentation/Splunk/latest/Indexer/Optimizeindexes

Aus dem Dokument geht hervor, dass folgende Erwägungen zu berücksichtigen sind:

• Der empfohlene Befehl muss auf jedem Indexer ausgeführt werden.

• Der Befehl wird auf Hot Buckets ordnungsgemäß ausgeführt. Sie können es also ausführen, ohne Splunk auf den Indexern zu beenden.

• Sie können es jedoch auch manuell auf warmen Eimern ausführen.

Auflösung

$splunk-optimize -d|--directory <bucket_directory> --> general structure

$splunk-optimize -d /data1/splunk/firewall/db