参考:https://docs.splunk.com/Documentation/Forwarder/8.2.1/Forwarder/Configureloadbalancing

説明
https://docs.splunk.com/Documentation/Splunk/latest/Data/Configureeventlinebreaking 属性: SHOULD_LINEMERGE = [true|false] 説明: true に設定すると、Splunk プラットフォームは、次のセクションで説明する設定に基づいて、複数の入力行を 1 つのイベントに結合します。

説明
https://docs.splunk.com/Documentation/Splunk/8.1.1/Indexer/HowSplunkstoresindexes さらなる条件が満たされると（例えば、インデックスがウォームバケットの最大数に達する）、インデクサーはウォームバケットをその経過時間に基づいてコールドバケットにロールオーバーし始めます。常に最も古いウォームバケットがコールドバケットにロールオーバーされます。このようにして、バケットは経過時間とともにコールドバケットにロールオーバーされ続けます。コールドバケットは、ホットバケットやウォームバケットとは異なる場所に保存されます。コールドバケットをより安価なストレージに保存するように、場所を設定することもできます。