2 解决方案

查看elasticsearch日志索引，定位占用大的日志索引名（下图是个示例，其占用空间较小）

# curl http://es地址:es端口/_cat/indices?v -u 用户名:密码

找到索引名后，查看该索引前对应的es数据，根据className关键字对索引前100个类名进行分组并统计分析出现的次数

# curl -H "Accept: application/json" -H "Content-type: application/json" -XPOST -d '{"query": {"match_all": {}},"aggs": {"per_count": {"terms": {"size":100,"field": "className.keyword"}}},"size": 0}' http://es地址:es端口/索引名/_search -u 用户名:密码

返回数据是一个json格式内容，可以用在线json工具转换一下方便查阅。上图看到key为kd.bos.rabbitmq.RabbitmqFactory的className出现最多，327122次

然后我们查看这个key对应的相关日志内容：

# curl -XPOST "http://es地址:es端口/索引名/_search" -u 用户名:密码 -H 'Content-Type: application/json' -d '{"size": 0,"query": {"match": {"className": "苍穹className类名"}},"aggs": {"na