ユニバーサルフォワーダー（UF）は、インデクサーへのデータ転送を処理します。TCP経由で継続的かつ大量のsyslogストリームを監視している場合、UFはファイルの終端（EOF）状態を検出できない可能性があります。EOF状態は通常、複数のインデクサー間で負荷分散をトリガーするために必要です。この結果、UFは単一のインデクサーにデータを継続的に送信し、負荷分散が不均一になる可能性があります。
この問題を解決するため、Splunkはoutputs.conf設定ファイルにforceTimebasedAutoLB設定を提供しています。
この設定を有効にすると、EOF検出の有無に関わらず、UFは一定時間間隔でインデクサーを切り替えることができます。これにより、syslogのような連続データストリームが存在するシナリオでも、複数のインデクサー間でデータがよりバランスよく分散されます。
参照：
outputs.conf を使用して転送を設定する - Splunk ドキュメント