Splunk Search

急に全てのサーチが遅くなりました

cwl
Contributor

6.5.2を使っていますが、昨日まで速く実行できたサーチでも、今日になって急に遅くなりました。
事象の特定としては、
1. サーチは、どのユーザから実行しても遅くなっている。
2. ブラウザのキャッシュを削除してからでも、サーチは遅い。
3. 他のクライアント端末のブラウザから実行してみても、サーチは遅い。
4. index=_internalのような簡単なサーチを実行しても、以前よりかなり遅くなっている。

何か考えられる理由はありますか?

0 Karma
1 Solution

cwl
Contributor

サーチを実行した後に、「ジョブ」->「ジョブの調査」から「サーチジョブ調査」画面を開いてみてください。
「command.search.typer」の値は、以前より大幅に大きくなっている場合、大きなevent typeが作成されている可能性があります。
Linuxの場合、findコマンドでファイルサイズの大きい「eventtype.conf」がないかを確認してみてください。
ファイルサイズの大きいeventtype.confが存在することを確認できた場合、サーチヘッドを停止し、一時的に当該eventtype.confをSPLUNK_HOME以外のフォルダに移動してから、事象が改善されるかを確認してみてください。
なお、「command.search.typer」の詳細情報についてですが、以下のマニュアルから確認できます。
http://docs.splunk.com/Documentation/Splunk/latest/Search/ViewsearchjobpropertieswiththeJobInspector...
http://docs.splunk.com/Documentation/Splunk/latest/Knowledge/Abouteventtypes#How_event_types_work

View solution in original post

0 Karma

cwl
Contributor

サーチを実行した後に、「ジョブ」->「ジョブの調査」から「サーチジョブ調査」画面を開いてみてください。
「command.search.typer」の値は、以前より大幅に大きくなっている場合、大きなevent typeが作成されている可能性があります。
Linuxの場合、findコマンドでファイルサイズの大きい「eventtype.conf」がないかを確認してみてください。
ファイルサイズの大きいeventtype.confが存在することを確認できた場合、サーチヘッドを停止し、一時的に当該eventtype.confをSPLUNK_HOME以外のフォルダに移動してから、事象が改善されるかを確認してみてください。
なお、「command.search.typer」の詳細情報についてですが、以下のマニュアルから確認できます。
http://docs.splunk.com/Documentation/Splunk/latest/Search/ViewsearchjobpropertieswiththeJobInspector...
http://docs.splunk.com/Documentation/Splunk/latest/Knowledge/Abouteventtypes#How_event_types_work

0 Karma
Get Updates on the Splunk Community!

Platform Highlights | November 2022 Newsletter

 November 2022 Skill Up on Splunk with our New Builder Tech Talk SeriesCan you build it? Yes you can! *play ...

Splunk Education - Fast Start Program!

Welcome to Splunk Education! Splunk training programs are designed to enable you to get started quickly and ...

Five Subtly Different Ways of Adding Manual Instrumentation in Java

You can find the code of this example on GitHub here. Please feel free to star the repository to keep in ...