アキュムレーターに時間がかかっている
説明
このメッセージは、システムが 60 秒の間隔内にデータの集計をできなかったときに表示されます。
システムは、集約された各検索のデータの集計を毎分作成します。 データの集計は、時系列グラフおよびレポートで使用されるもので、60 秒の間隔内に完了する必要があります。 検索の数および検索内の固有値が大きすぎる場合、集計の処理に必要な時間が 60 秒を超える可能性があります。 問題が発生したときの期間の列が、時系列グラフおよびレポートから欠落する可能性があります。
この問題が発生してもデータは欠落しません。 生のデータ、イベント、およびフローは、ディスクに書き込まれたままです。 格納されているデータから生成されるデータ・セットである集計が不完全になるのみです。
ユーザーの対応
- 不完全な集計の頻度
- 集計の失敗が日に 1、2 回の場合、欠落の原因は、大規模な検索、データ圧縮のサイクル、またはデータ・バックアップによって増大したシステム負荷である可能性があります。
失敗が頻繁ではない場合は無視してかまいません。 失敗が日に複数回、常時発生する場合、詳しく調べることが必要な場合があります。
- 高いシステム負荷
- 他のプロセスが多くのシステム・リソースを使用する場合、増大したシステム負荷により、集計が遅くなる場合があります。 システム負荷が増大した原因を調べて、可能な場合はその原因に対応してください。
例えば、完了までに長時間かかる大規模なデータ検索中に集計の失敗が発生した場合、保存済み検索のサイズを削減することで、アキュムレーターでの欠落を防止できる可能性があります。
- アキュムレーターの大規模な要求
- アキュムレーター間隔が定期的に欠落する場合、ワークロードを削減することが必要な可能性があります。
アキュムレーターのワークロードは、集計の数とそれらの集計内の固有オブジェクトの数によって決まります。 集計内の固有オブジェクトの数は、検索に適用されるグループ化の基準パラメーターおよびフィルターによって変わります。
例えば、サービスの集約を行う検索で、ローカル・ネットワーク階層項目 (DMZ 領域など) を使用してデータをフィルターに掛けます。 IP アドレスによるグループ化によって、最大 200 個の固有オブジェクトが含まれる検索になる可能性があります。 検索に宛先ポートを追加し、各サーバーがさまざまなポートで 5 個から 10 個のサービスをホストする場合、
destination.ip + destination.portの新しい集計では、固有オブジェクトの数が 2000 に増大する可能性があります。 集計に送信元 IP アドレスを追加するときに、各サービスにヒットするリモート IP アドレスが何千個もある場合、集約ビューは、何十万個もの固有値を持つ可能性があります。 この検索では、アキュムレーターへの要求が多大になります。アキュムレーターへの要求が最も高い集約ビューを確認するには、次のようにします。- 「管理」 タブで、 「集約された Data Management」をクリックします。
- 「書き込まれたデータ」列をクリックして、降順にソートし、 最大のビューを表示します。
- 最大になっている各集約のビジネス・ケースを調べて、それらがまだ必要であるかどうかを検討します。