ricerca tstat con ricerca di grandi dimensioni come ricerca secondaria non riuscita con l'errore "uscita con codice 255"

Applicabilità

Descrizione

Quando si utilizza una ricerca secondaria nella clausola where di un comando tstats troppo grande (più di 5.000 righe), la ricerca ha esito negativo e viene generato l'errore:
Il processo di ricerca non è stato chiuso correttamente, exit_code=255, description="exit with code 255". Per ulteriori informazioni, cercare questo peer nel file search.log in Controllo processo.

 

| tstats count from datamodel=Web where NOT
[| inputlookup lookup.csv
| fields dest
| rename dest as Web.dest
| format ] by Web.src Web.dest

In questo esempio nome_ricerca.csv contiene ~ 110k righe.

Indagine

Quando la ricerca ha esito negativo con l'errore seguente. 

[<INDEXER_NAME>] Search process did not exit cleanly, exit_code=255, description="exited with code 255". Please look in search.log for this peer in the Job Inspector for more info.

Il messaggio di errore indica che il processo di ricerca nell'indicizzatore INDEXER_NAME ha avuto un problema - nella maggior parte dei casi si è bloccato (o è stato interrotto).
Se non c'è crash.log, significa che lo spunk è stato ucciso esternamente o che abbiamo avuto un problema a salvare il crash.log.
Osservando la stringa di ricerca, tuttavia (numero di OR-s), è molto probabile che si verifichi un overflow dello stack a causa della ricorsione.

 

Risoluzione

È noto che la ricorsione può causare arresti anomali (ad esempio, stringhe di ricerca inefficienti con molti OR/AND) 
Tracciato da SPL-144975:Riprogettare parti di Splunk e rimuovere la ricorsione

Per ovviare al problema, occorre aumentare il limite per lo stack. Il valore predefinito è 8064, mentre valori migliorati come 128k o 256k potrebbero risolvere il problema.

Collegamenti correlati