内存使用率情况模块将设备的内存使用率与为模块配置的限值进行对比，并在使用率超过该级别时发出警报。模块监控来自受管设备和 FMC 本身的数据。

内存使用率的两个可配置阈值（严重和警告）可设置为已用内存的百分比。当超过这些阈值时，系统将生成具有指定严重性级别的运行状况警报。但是，运行状况警报系统不会以准确的方式计算这些阈值。

使用高内存设备时，某些进程预计会使用比低内存占用的设备更大的总系统内存百分比。设计的目的是尽可能多地使用物理内存，同时为辅助进程留出少量可用内存。

比较两台设备，一台有 32 GB 内存，一台有 4 GB 内存。在具有 32 GB 内存的设备中，5％ 内存 (1.6GB) 是比具有 4 GB 内存的设备（4GB 的 5％ = 200MB）留给辅助进程更大的内存值。

为了说明某些进程使用系统内存的百分比较高，FMC 会计算总内存以包括总物理内存和总交换内存。因此，用户配置的阈值输入的强制内存阈值可能会导致运行状况事件，其中事件的“值”列与为确定超出阈值而输入的值不匹配。

下表显示用户输入阈值和强制阈值的示例，具体取决于安装的系统内存。

注	此表中的值为示例。您可以使用此信息外推与此处显示的已安装 RAM 不匹配的设备的阈值，也可以联系 Cisco TAC 进行更精确的阈值计算。

硬盘使用状况模块将受管设备的硬盘驱动器和恶意软件存储包中的磁盘使用率与为该模块配置的限值进行对比，并在使用率超过为模块配置的百分比时发出警报。基于模块阈值，当系统删除过多的监控磁盘使用类别的文件，或者当这些类别以外的磁盘使用率达到过高级别时，该模块也发出警报。

本主题介绍磁盘使用状况运行状况模块生成的两个运行状况警报的症状和故障排除指南：

• 频繁事件消耗

• 未处理事件消耗

磁盘管理器进程管理设备的磁盘使用情况。磁盘管理器监控的每种文件类型都分配有一个孤岛。根据系统上可用的磁盘空间量，磁盘管理器会为每个孤岛计算高水位线（HWM）和低水位线（LWM）。

要显示系统每个部分（包括孤岛、低水位线和高水位线）的磁盘使用情况详细信息，使用 show disk-manager 命令。

运行状况警报格式

当 管理中心 上的运行状况监控进程运行时（每 5 分钟一次或触发手动运行）时，磁盘使用情况模块会查看diskmanager.log文件，如果满足正确的条件，则会触发相应的运行状况警报。

这些运行状况警报的结构如下：

• <SILO NAME>的频繁消耗

• 来自 <SILO NAME>的未处理事件的消耗

例如，

• 频繁消耗低优先级事件

• 来自低优先级事件中的未处理事件的消耗

任何孤岛都可能会生成 <SILO NAME>频繁消耗 运行状况警报。但是，最常见的是与事件相关的警报。在事件孤岛中，通常会看到 低优先级事件 ，因为这些类型的事件是由设备更频繁地生成的。

频繁消耗 <SILO NAME> 当与事件相关的孤岛相关联时，事件的严重性级别为警告 ，因为事件将排队发送到 管理中心。对于与事件无关的孤岛（例如 备份 孤岛），警报的严重性级别为 严重 ，因为此信息会丢失。

重要	只有事件孤岛会生成 来自 <SILO NAME>的未处理事件的消耗 运行状况警报。此警报的严重性级别始终为 严重 。

除警报外，其他症状还包括：

• 管理中心 用户界面上的速度缓慢

• 事件丢失

常见故障排除场景

频繁消耗<SILO NAME> 事件是由于在孤岛中输入的数据过多而导致的。在这种情况下，磁盘管理器会在最后 5 分钟间隔内至少两次清除（清除）该文件。在事件类型孤岛中，这通常是由该事件类型的过多日志记录导致的。

在 来自 <SILO NAME>的未处理事件的消耗 运行状况警报，这也可能是事件处理路径中的瓶颈导致的。

这些磁盘使用率警报存在三个潜在瓶颈：

• 日志记录过多 - 威胁防御 上的事件处理程序进程超额订用（其读取速度比 Snort 写入的速度慢）。

• Sftunnel 瓶颈-事件接口不稳定或超订用。

• SFDataCorrelator 瓶颈 - 管理中心 和托管设备之间的数据传输通道超订用。

过多日志记录

此类运行状况警报的最常见原因之一是输入过多。从 show disk-manager 命令中收集的低水位线（LWM）和高水位线（HWM）之间的差异显示，该筒仓中有多少空间可用于从LWM（刚耗尽）到HWM值。如果事件频繁耗尽（有或没有未处理的事件），首先要检查的是日志记录配置。

• 检查重复日志记录-如果您查看 管理中心上的相关器 perfstats ，则可以识别重复日志记录场景：

  admin@FMC:~$ sudo perfstats -Cq < /var/sf/rna/correlator-stats/now

• 检查 ACP 的日志记录设置-检查访问控制策略（ACP）的日志记录设置。如果同时记录连接的“开始”和“结束”，则仅记录结束，因为它将包括记录开始时的所有内容，并减少事件数量。

  确保按照 连接日志记录最佳实践中所述的最佳实践。

通信瓶颈-Sftunnel

Sftunnel 负责 管理中心 和托管设备之间的加密通信。事件通过隧道发送到 管理中心。托管设备和 管理中心 之间的通信信道 (sftunnel) 中的连接问题和/或不稳定可能是由于：

• Sftunnel 关闭或不稳定（振荡）。

  确保 管理中心 和托管设备在其 TCP 端口 8305 上的管理接口之间具有可访问性。

  sftunnel 进程应稳定且不应意外重启。通过检查 /var/log/message 文件并搜索包含 sftunneld 字符串的消息来验证此项。

• Sftunnel 已超额订用。

  查看来自健康监控器的趋势数据，并查找 管理中心管理接口超订用的迹象，这可能是管理流量激增或持续超订用。

  作为 Firepower-eventing 的辅助管理接口使用。要使用此接口，您必须在 威胁防御 CLI 上使用 configure network management-interface 命令来配置其 IP 地址和其他参数。

通信瓶颈 - SFDataCorrelator

SFDataCorrelator 管理 管理中心 和托管设备之间的数据传输；在 管理中心上，它会分析系统创建的二进制文件以生成事件，连接数据和网络映射。第一步是查看 diskmanager.log 文件，了解要收集的重要信息，例如：

• 消耗的频率。

• 耗尽未处理事件的文件数。

• 发生未处理事件的情况。

每次磁盘管理器进程运行时，都会在其自己的日志文件（位于 [/ngfw]/var/log/diskmanager.log下）为每个不同的孤岛生成一个条目。从 diskmanager.log（CSV 格式）收集的信息可用于帮助缩小搜索范围。

额外故障排除步骤：

• 该 stats_unified.pl 命令可帮助您确定托管设备是否确实有一些数据需要发送到 管理中心。当托管设备和 管理中心 遇到连接问题时，可能会发生这种情况。受管设备将日志数据存储到硬盘驱动器上。

  admin@FMC:~$ sudo stats_unified.pl

• manage_proc.pl 命令可以在 管理中心 端重新配置相关器。

  root@FMC:~# manage_procs.pl

在联系 Cisco 技术支持中心 (TAC) 之前 。

强烈建议您在联系 Cisco TAC之前收集以下物品：

• 看到的运行状况警报的截图。

• 对从 管理中心生成的文件进行故障排除。

• 对从受影响的受管设备生成的文件进行故障排除。

  首次发现问题的日期和时间。

• 有关最近对策略所做的任何更改的信息（如果适用）。

  stats_unified.pl 命令的输出，如 通信瓶颈 - SFDataCorrelator中所述。

某些情况下，如果您的设备有问题，支持人员可能要求您提供故障排除文件以帮助诊断该问题。系统可以使用以特定功能区域为目标的信息生成故障排除文件，以及您可与支持人员合作检索的高级故障排除文件。您可以选择下表中列出的任何选项，为特定功能定制故障排除文件的内容。

请注意，在所报告的数据方面，某些选项重叠，但是无论您选择什么选项，故障排除文件都不会包含冗余备份。

内部电源故障(硬件故障、电涌等)或外部电源故障(未插线)可能导致系统不正常关闭或重新启动。这些情况可能导致数据损坏。

有关功能特定的故障排除技巧和技术，请参阅下表。