急に全てのサーチが遅くなりました

[cwl]

6.5.2を使っていますが、昨日まで速く実行できたサーチでも、今日になって急に遅くなりました。
事象の特定としては、
1. サーチは、どのユーザから実行しても遅くなっている。
2. ブラウザのキャッシュを削除してからでも、サーチは遅い。
3. 他のクライアント端末のブラウザから実行してみても、サーチは遅い。
4. index=_internalのような簡単なサーチを実行しても、以前よりかなり遅くなっている。

何か考えられる理由はありますか？

[cwl · Accepted solution]

サーチを実行した後に、「ジョブ」->「ジョブの調査」から「サーチジョブ調査」画面を開いてみてください。
「command.search.typer」の値は、以前より大幅に大きくなっている場合、大きなevent typeが作成されている可能性があります。
Linuxの場合、findコマンドでファイルサイズの大きい「eventtype.conf」がないかを確認してみてください。
ファイルサイズの大きいeventtype.confが存在することを確認できた場合、サーチヘッドを停止し、一時的に当該eventtype.confをSPLUNK_HOME以外のフォルダに移動してから、事象が改善されるかを確認してみてください。
なお、「command.search.typer」の詳細情報についてですが、以下のマニュアルから確認できます。
http://docs.splunk.com/Documentation/Splunk/latest/Search/ViewsearchjobpropertieswiththeJobInspector...
http://docs.splunk.com/Documentation/Splunk/latest/Knowledge/Abouteventtypes#How_event_types_work