Tstat-zoekopdracht met grote opzoeking als subzoekopdracht mislukt met fout "Afgelopen met code 255"

toepasbaarheid

Beschrijving

Wanneer u een subzoekopdracht gebruikt in de where-clausule van een tstats-opdracht die te groot is (lijkt op meer dan 5.000 rijen), mislukt de zoekopdracht en wordt de fout weergegeven:
Het zoekproces is niet netjes afgesloten, exit_code=255, description="afgesloten met code 255". Kijk in search.log voor deze peer in de Job Inspector voor meer informatie.

 

| tstats count from datamodel=Web where NOT
[| inputlookup lookup.csv
| fields dest
| rename dest as Web.dest
| format ] by Web.src Web.dest

In dit voorbeeld lookup_name.csv had ~ 110k rijen.

onderzoek

Wanneer de zoekopdracht mislukt met onderstaande fout. 

[<INDEXER_NAME>] Search process did not exit cleanly, exit_code=255, description="exited with code 255". Please look in search.log for this peer in the Job Inspector for more info.

De foutmelding betekent dat het zoekproces op INDEXER_NAME een probleem had - in de meeste gevallen crashte (of werd gedood).
Als er geen crash.log is, betekent dit dat de splunk extern is gedood of dat we een probleem hadden met het opslaan van de crash.log.
Kijkend naar de zoekstring, hoewel (aantal OR-s) - het is zeer waarschijnlijk stapel overloop als gevolg van recursie.

 

resolutie

Het is een bekend probleem dat recursie crashes kan veroorzaken (dwz inefficiënte zoekstring met veel OR's / AND's) 
Volgen door SPL-144975: Herontwerp delen van Splunk en verwijder recursie

Een manier om het probleem te omzeilen is door de limiet voor de stapel te verhogen, en de standaard is 8064, en verbeterde waarden zoals 128k of 256k kunnen het probleem aanpakken.

Gerelateerde links