pesquisa tstat com pesquisa grande como falha de subpesquisa com erro "saiu com o código 255"

Aplicabilidade

Descrição

Ao usar uma subpesquisa na cláusula where de um comando tstats que é muito grande (parece mais de 5.000 linhas), a pesquisa falha e gera o erro:
O processo de pesquisa não saiu corretamente, exit_code=255, description="saiu com o código 255". Procure em search.log por esse item de mesmo nível no Inspetor de Trabalho para obter mais informações.

 

| tstats count from datamodel=Web where NOT
[| inputlookup lookup.csv
| fields dest
| rename dest as Web.dest
| format ] by Web.src Web.dest

Neste exemplo, lookup_name.csv tinha ~ 110 mil linhas.

Investigação

Quando a pesquisa falhar, apresentamos o erro abaixo. 

[<INDEXER_NAME>] Search process did not exit cleanly, exit_code=255, description="exited with code 255". Please look in search.log for this peer in the Job Inspector for more info.

A mensagem de erro significa que o processo de pesquisa no indexador INDEXER_NAME teve um problema - na maioria dos casos, ele travou (ou foi eliminado).
Se não houver nenhum crash.log, isso significa que o splunk foi eliminado externamente ou que tivemos um problema ao salvar o crash.log.
Olhando para a string de pesquisa, no entanto (número de OR-s) - é mais provável que haja estouro de pilha devido à recursão.

 

Resolução

É um problema conhecido que a recursão pode causar travamentos (ou seja, cadeia de caracteres de pesquisa ineficiente com muitos ORs/ANDs) 
Rastreado por SPL-144975:Reprojetar partes de Splunk e remover recursão

Uma maneira de contornar o problema é aumentar o limite máximo para a pilha, e o padrão é 8064, e valores avançados como 128k ou 256k poderiam resolver o problema.

Links relacionados