Os Indexadores Iam Com Frequência Para Baixo E A Mensagem Seguinte Aparecia: O processador de índice pausou o fluxo de dados.

Aplicabilidade

Descrição

throttled - The index processor has paused data flow. 
Too many tsidx files in idx=firewall bucket="/data1/splunk/firewall/db/hot_v1_XXX", waiting for the splunk-optimize indexing helper to catch up merging them. 
Ensure reasonable disk space is available, and that I/O write throughput is not compromised.

Investigação

O problema enfrentado no próximo documento Splunk: Gerenciando Indexadores e Clusters de Indexadores. E está relacionado com índices otimizando tarefas.

Você pode marcar o próximo link como referência:
Otimizar índices
https://docs.splunk.com/Documentation/Splunk/latest/Indexer/Optimizeindexes

Deduz-se do documento que as considerações a ter em conta são:

• O comando sugerido precisa ser executado em cada Indexador.

• O comando é executado corretamente em hot buckets. Assim, você pode executá-lo sem parar Splunk nos Indexadores.

• No entanto, você também pode executá-lo em baldes quentes manualmente.

Resolução

$splunk-optimize -d|--directory <bucket_directory> --> general structure

$splunk-optimize -d /data1/splunk/firewall/db