Los Indexadores Caían Frecuentemente y el siguiente Mensaje Aparecía: El procesador de índice ha pausado el flujo de datos.

Aplicabilidad

Descripción

throttled - The index processor has paused data flow. 
Too many tsidx files in idx=firewall bucket="/data1/splunk/firewall/db/hot_v1_XXX", waiting for the splunk-optimize indexing helper to catch up merging them. 
Ensure reasonable disk space is available, and that I/O write throughput is not compromised.

Investigación

El problema al que se enfrentó en el siguiente documento de Splunk: Administración de indizadores y clústeres de indizadores. Y está relacionado con los índices que optimizan las tareas.

Puede comprobar el siguiente enlace como referencia:
Optimizar índices
https://docs.splunk.com/Documentation/Splunk/latest/Indexer/Optimizeindexes

Del documento se desprende que las consideraciones necesarias a tener en cuenta son:

• El comando sugerido debe ejecutarse en cada indizador.

• El comando se ejecuta correctamente en bloques activos. Por lo tanto, puede ejecutarlo sin detener Splunk en los Indexadores.

• Sin embargo, también se puede ejecutar manualmente en cubos de calor.

Resolución

$splunk-optimize -d|--directory <bucket_directory> --> general structure

$splunk-optimize -d /data1/splunk/firewall/db