数据升级

概述

EventLog Analyzer处理的所有实时可搜索日志均存储于开源搜索引擎Elasticsearch（ES）中，该组件亦称为搜索节点。日志处理及搜索准备过程称为索引。所有索引数据均存储于Elasticsearch数据搜索中。

自12040版本起，EventLog Analyzer采用Elasticsearch 5.6.4版本存储所有数据。但该版本即将升级至ES 6.5.4。ES虽具备向后兼容性，但仅限于单个版本；因此所有Build 12040之前的EventLog Analyzer安装版本均需升级，因其使用ES 2版本。这使得所有旧版本必须进行升级（更准确地说应为重新索引）。

重新索引是指将数据从源索引提取并导入目标索引的过程。由于ES 2索引与ES 6.5.4不兼容，我们将把ES 2创建的源索引（适用于12040之前的版本）重新索引到目标索引ES 5.6.4，以确保其与ES 6.5.4兼容。

重新索引步骤如下：

注意：所有版本高于12040的EventLog Analyzer安装无需重新索引，因其已包含升级版本。

前提条件

• 至少需要20GB磁盘空间，或满足[1倍最大索引大小]或[3倍最大归档大小]，且Elasticsearch节点需额外保留5GB空间。若磁盘空间低于上述规格，索引重建将失败，系统将按此处所述方式发送通知。

数据升级（重新索引）

数据升级（重新索引）是资源密集型操作。建议设置为非工作时间自动启动。若用户不介意高资源消耗，也可随时强制启动。

重新索引的操作方式如下：

• 自动重新索引

  重新索引过程将在非工作时间自动触发。EventLog Analyzer将根据用户预先设置的工作时间配置识别非工作时段。

  

• 强制重新索引

  用户可通过点击通知中的"立即开始"链接强制执行重新索引。操作后，重新索引过程将立即启动。

  

升级状态

• 已完成 通知标签页将显示"已完成索引计数"（如下图所示）。此处64/66代表"已完成计数/总计数"，表示66个索引中有64个已成功更新。

  

• 升级失败 索引升级有时会失败，这些索引将在通知选项卡中显示为"升级失败"状态。当前升级队列完成后，这些索引将自动更新。若未自动更新，也可通过点击下图所示的"执行操作"通知手动触发更新。

  

  有时失败也可能由空间限制导致。若出现此情况，将弹出如下通知：

  

  点击"采取行动"后，用户将获得两个选项：一是重试重新索引，二是跳过这些索引（若重试失败次数过多）。 此处跳过索引意味着这些索引将不再被重新索引/升级，且相关数据将在升级完成后永久删除。因此用户务必确认跳过的数据并非必需。

  

若上述方法均无法解决您的问题且您担心数据丢失，请联系EventLog Analyzer团队：iam-support@manageengine.cn。