échec de la recherche tstat avec une recherche importante en tant que sous-recherche avec l'erreur « exit with code 255 »

Options de téléchargement

PDF (247.6 KB)
Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
ePub (88.8 KB)
Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone

Mis à jour:28 septembre 2026

ID du document:SPLK044353

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Applicabilité

Splunk Enterprise Splunk Search Splunk Subsearch Splunk tstat

Description

Lors de l'utilisation d'une sous-recherche dans la clause where d'une commande tstats trop volumineuse (ressemblant à plus de 5 000 lignes), la recherche échoue et renvoie l'erreur :
Le processus de recherche ne s'est pas terminé correctement, exit_code=255, description="terminé avec le code 255". Pour plus d'informations, recherchez cet homologue dans le fichier search.log de l'Inspecteur de tâches.

| tstats count from datamodel=Web where NOT
[| inputlookup lookup.csv
| fields dest
| rename dest as Web.dest
| format ] by Web.src Web.dest

Dans cet exemple, lookup_name.csv contenait environ 110 000 lignes.

Enquête

Lorsque la recherche échoue avec l'erreur ci-dessous.

[<INDEXER_NAME>] Search process did not exit cleanly, exit_code=255, description="exited with code 255". Please look in search.log for this peer in the Job Inspector for more info.

Le message d'erreur signifie que le processus de recherche sur l'indexeur INDEXER_NAME a rencontré un problème - dans la plupart des cas, il a planté (ou a été tué).
S'il n'y a pas de crash.log, cela signifie que le splunk a été tué en externe ou que nous avons eu un problème pour sauvegarder le crash.log.
En regardant la chaîne de recherche, cependant (nombre de OR-s) - c'est probablement un débordement de pile dû à la récursivité.

Résolution

C'est un problème connu que la récursivité peut causer des plantages (c'est-à-dire, une chaîne de recherche inefficace avec beaucoup d'OR/AND)
Suivi par SPL-144975 :Redesign parts of Splunk and remove recursion

Une façon de contourner le problème est d'augmenter l'ulimit pour la pile, et la valeur par défaut est 8064, et des valeurs améliorées comme 128k ou 256k pourraient résoudre le problème.

Liens connexes

SPL-144975 : Reconception des parties du Splunk et suppression de la récursion

Historique de révision

Révision	Date de publication	Commentaires
1.0	28-Sep-2026	Première publication