elasticsearch/kibana错误"数据太大,[@timestamp]的数据会大于限制

Question

在我的测试ELK群集上,我在尝试查看上周的数据时遇到以下错误.

Data too large, data for [@timestamp] would be larger than limit

关于分片失败的警告似乎是误导性的,因为elasticsearch监视工具kopf并head显示所有分片都正常工作,弹性簇是绿色的.

在此输入图像描述

用于弹性搜索的google组中的一个用户建议增加内存.我已将3个节点增加到8GB,每个节点有4.7GB堆,但问题还在继续.我每天产生大约5GB到25GB的数据,保留30天.

Answer 1

清除缓存可以缓解症状.

清除单个索引

curl -XPOST 'http://localhost:9200/twitter/_cache/clear'

清除多个指标

curl -XPOST 'http://localhost:9200/kimchy,elasticsearch/_cache/clear'

curl -XPOST 'http://localhost:9200/_cache/clear'

或者由IRC中的用户建议.这个似乎是最好的.

curl -XPOST 'http://localhost:9200/_cache/clear' -d '{ "fielddata": "true" }'

Answer 2

问题是 ES_JAVA_OPTS 给 Elasticsearch 的内存。

尝试提供更多内存：ES_JAVA_OPTS="-Xmx2g -Xms2g"。

Answer 3

该_cacheAPI 还支持通过普通的 URI 查询参数有针对性地清除线程池的字段数据、请求等。

原型，请参阅占位符<cache type>：

$ curl -XPOST \
    -H "Content-Type: application/json" \
    'http://localhost:9200/_cache/clear?<cache type>=true'

$ curl -XPOST \
    -H "Content-Type: application/json" \
    'http://localhost:9200/_cache/clear?fielddata=true'

$ curl -XPOST \
    -H "Content-Type: application/json" \
    'http://localhost:9200/_cache/clear?request=true'

注意：您还可以定位特定索引，替换下面的位置<index>：

$ curl -XPOST \
    -H "Content-Type: application/json" \
    'http://localhost:9200/<index>/_cache/clear?request=true'