Akkumulator gerät in Verzug

38750099 -The accumulator was unable to aggregate all events/flows for this interval.

Erläuterung

Diese Nachricht erscheint, wenn das System keine Datenzusammenfassungen innerhalb eines 60-Sekunden-Intervalls kumulieren kann.

Das System kumuliert für jede aggregierte Suche Datenzusammenfassungen im Minutentakt. Die Datenzusammenfassungen werden in Zeitreihendiagrammen und -Berichten verwendet und innerhalb eines 60-Sekunden-Intervalls abgeschlossen. Wird die Anzahl an Suchaufträgen und eindeutigen Werten in den Suchläufen zu groß, muss die erforderliche Zeit für die Verarbeitung der Aggregationen unter Umständen 60 Sekunden überschreiten. Möglicherweise fehlen in Zeitreihendiagramme und -berichte Spalten für den Zeitraum, in dem das Problem auftrat.

Beim Auftreten dieses Problems verlieren Sie keine Daten. Alle Rohdaten, Ereignisse und Flüsse werden nach wie vor auf den Datenträger geschrieben. Es sind nur die Akkumulationen unvollständig, bei denen es sich um Datengruppen handelt, die aus gespeicherten Daten generiert werden.

Benutzeraktion

Folgende Faktoren tragen unter Umständen zur erhöhten Auslastung bei, die dazu führt, dass der Akkumulator in Verzug gerät:
Häufigkeit der unvollständigen Akkumulationen
Schlägt die Akkumulation nur einmal oder zweimal am Tag fehl, werden die Löschvorgänge möglicherweise von einer gestiegenen Systembelastung aufgrund zu großer Suchläufe, Datenkompressionszyklen oder Datenbackups verursacht.

Seltene Fehler können ignoriert werden. Treten die Fehler mehrere Male pro Tag während aller Stunden auf, werden Sie möglicherweise weitere Untersuchungen in Betracht ziehen.

Hohe Systembelastung
Wenn andere Prozesse viele Systemressourcen verwenden, kann die erhöhte Systembelastung dazu führen, dass die Aggregationen langsam sind. Überprüfen Sie die Ursache der gestiegenen Systembelastung und beheben Sie die Ursache, falls möglich.

Wenn die fehlgeschlagenen Akkumulationen beispielsweise während einer großen Datensuche auftreten, deren Ausführung sehr lange dauert, können Sie das Löschen des Akkumulators verhindern, indem Sie die Größe der gespeicherten Suche reduzieren.

Großer Akkumulatorbedarf
Wenn die Akkumulatorintervalle regelmäßig gelöscht werden, müssen Sie unter Umständen die Arbeitslast reduzieren.

Die Arbeitslast des Akkumulators wird von der Anzahl der Zusammenfassungen und der Anzahl der eindeutigen Objekte in diesen Aggregationen gesteuert. Die Anzahl eindeutiger Objekte in einer Aggregation hängt von den group-by-Parametern und den Filtern ab, die für die Suche angewendet werden.

Eine Suche, die beispielsweise für Services aggregiert, filtert die Daten, indem sie ein lokales Netzhierarchieelement verwendet, z. B. einen DMZ-Bereich. Eine Gruppierung nach IP-Adresse kann zu einer Suche führen, die bis zu 200 eindeutige Objekte enthält. Wenn Sie Zielports zur Suche hinzufügen und jeder Server 5-10 Services auf verschiedenen Ports hostet, kann das neue Aggregat von destination.ip + destination.port die Anzahl eindeutiger Objekte auf 2000 erhöhen. Wenn Sie die Quellen-IP-Adresse zum Aggregat hinzufügen und über Tausende von fernen IP-Adressen verfügen, die auf jeden Service treffen, verfügt die aggregierte Ansicht möglicherweise über Hunderttausende von eindeutigen Werten. Diese Suche bewirkt eine große Nachfrage für den Akkumulator.

Um die aggregierten Anzeigen zu überprüfen, die für den höchsten Bedarf für den Akkumulator verantwortlich sind, gehen Sie wie folgt vor:
  1. Klicken Sie auf der Registerkarte Verwaltung auf Aggregiertes Data Management.
  2. Klicken Sie auf die Spalte Data Written (Geschriebene Daten), um in absteigender Reihenfolge zu sortieren, und zeigen Sie die größten Ansichten.
  3. Überprüfen Sie den Business Case für jede der größten Aggregationen, um festzustellen, ob sie noch erforderlich sind.