みなさん、こんにちは。技術系の記事を担当しています、瀬口です。
今回は、EasyBlocks SyslogシリーズのWeb UIで行うログ検索(フィルタリング)にかかる時間についてご紹介します。
EasyBlocks Syslogシリーズを運用するうえで、
ログを検索したとき、結果が表示されるまでどのくらい時間がかかるの…？
早く検索するには、どの項目を絞ればいいの…？
といったご質問をいただくことがあります。
トラブル発生時は、大量のログの中から必要なログをいかに早く見つけられるかが重要です。そのため、どのような条件で検索すると、どのくらい時間がかかるのかを事前に把握しておくことが大切です。
本記事では、Web UIのログ表示画面にて、検索時間に影響する4つの項目のうち、どの項目が影響しやすいのかを計測し、その結果をまとめました。
はじめに
EasyBlocks Syslogシリーズは、ネットワーク機器やサーバーから送られてくるログ(Syslog)を受信・保存するアプライアンスです。保存したログはWeb UIの「ログ表示」画面から閲覧でき、フィルタ機能を使うと、ホスト名やPriorityなどの条件に合致したログだけを表示できます。また、ログは月ごとの「ログテーブル」に分けて保存されており、検索時には対象のログテーブルを複数選択できます。
ただし、日々たまり続けるログの中から目的のログを探す場合、検索にかかる時間は、検索条件やログの量などによって変わります。
そこで今回は、次の4つの項目を1つずつ変えながら検索時間を計測し、どの項目が影響しやすいのかを確認しました。
- フィルタの条件数：検索時に指定する条件の数
- 表示検索上限：1回の検索で取得するログの最大件数
- ログテーブル数：検索対象にするログテーブル(月ごとに保存されたログ)の数
- 表示件数：検索結果を1ページに表示する件数
▼ フィルタ機能についてはコチラ ▼
検証するモデル
今回は、以下のモデルでログの検索時間を計測しました。
EasyBlocks Syslog 120G：バージョン 1.2.2
保存されているログの期間・件数・容量は以下のとおりです。
| ログテーブル数 | 保存期間 | 保存ログ件数 | 合計ログ容量 |
|---|---|---|---|
| 52か月(4年4か月) | 2022年7月～2026年10月 | 約2.4億件 | 約49,583MB |
検証方法
今回検証する4つの項目は、Web UIの「ログ表示」画面の以下の箇所で設定します。
①フィルタの条件数 ②表示検索上限 ③ログテーブル数 ④表示件数
検証する項目と基準値
どの項目が検索時間に影響しやすいかを判断するため、基準となる設定を1つ決め、そこから1項目だけを変えて計測しています。なお、基準の設定は、ログ表示画面を開いたときの初期値と同じです。
| 項目 | 基準の設定 | 検証する設定値 |
|---|---|---|
| ①フィルタの条件数 | 0(条件なし) | 0／1／2／3／4 |
| ②表示検索上限 | 10,000件 | 100件／1,000件／10,000件／100,000件／500,000件 |
| ③ログテーブル数 | 1か月(2026年10月) | 1か月／3か月／6か月／12か月(1年)／24か月(2年)／52か月(4年4か月) |
| ④表示件数 | 25件 | 25件／50件／100件／500件／1,000件 |
各検証では、最も短い検索時間と最も長い検索時間の差を変化幅として比べ、変化幅が大きい項目ほど「検索時間に影響しやすい」と判断します。
フィルタ条件の内容
フィルタの条件数ごとの内容は以下のとおりです。条件数を増やす際は、上から順に追加しています。
| 条件数 | 指定する条件 |
|---|---|
| 0 | なし(全件検索) |
| 1 | ホスト名(サーバー1台) |
| 2 | ＋Facility(daemon) |
| 3 | ＋Priority(emerg、alert、crit、err) |
| 4 | ＋メッセージ文字列(“Failed”を含む) |
※検索する期間はログテーブル(月)の選択で変えるため、フィルタの条件には日時を含めていません。
ログテーブルの件数と容量
ログテーブル数について、対象期間ごとに保存されているログ件数および合計ログ容量はそれぞれ以下のとおりです。
| ログテーブル数 | 対象 | 保存ログ件数 | 合計ログ容量 |
|---|---|---|---|
| 1か月 | 2026年10月 | 約210万件 | 約608MB |
| 3か月 | 2026年8月～10月 | 約990万件 | 約2,727MB |
| 6か月 | 2026年5月～10月 | 約2,000万件 | 約5,372MB |
| 12か月(1年)※1 | 2025年11月～2026年10月 | 約1.4億件 | 約23,155MB |
| 24か月(2年) | 2024年11月～2026年10月 | 約1.9億件 | 約35,740MB |
| 52か月(4年4か月)※2 | 2022年7月～2026年10月 | 約2.4億件 | 約49,583MB |
※1：12か月(1年)は、6か月と比べてログ件数が大きく増加している一方、ログ容量の増加は件数ほどではありません。これは、2025年11月〜2026年4月の期間にログ件数が多く、かつ1件あたりのログサイズが他の期間より小さかったことが原因と考えられます。
※2：52か月(4年4か月)は、本体に保存されているすべてのログテーブルを対象にした検索です。
計測手順
計測は次の手順で行います。
- ログ表示画面で、フィルタの条件、表示検索上限、検索対象のログテーブル、表示件数を設定します。
- ブラウザ(Chrome)の開発者ツールで「ネットワーク」タブを開いた状態で、
「適用」ボタンを押した時刻を検索開始時刻とします。 - 検索の通信にかかった「時間(Time)」を検索時間として記録します。
画面に検索結果が表示されるまでのタイムラグ(ブラウザでの描画時間)は含まれていないため、実際に画面に表示されるまでの時間は、記録した値よりわずかに長い場合があります。
ただし、今回の検証では、体感で大きな差はありませんでした。
今回の検証は、検証時点で保存されていたログ件数・ログの内容での結果です。
保存されているログの量や、検索と同時に受信しているログの量、ネットワーク環境などによっては、今回の結果と異なる場合があります。
検証結果
基準の設定では、約0.5秒で検索結果が表示されました。
4つの項目のうち、検索時間に最も影響したのは表示検索上限であり、設定によって最大約9.4秒の差が出ました。各項目ごとの結果は以下のとおりです。
検証①：フィルタの条件数
| 条件数 | 検索時間 | 合致件数 |
|---|---|---|
| 0(条件なし・基準) | 約0.50秒 | 10,000件 |
| 1(ホスト名) | 約0.63秒 | 10,000件 |
| 2(＋Facility) | 約0.98秒 | 10,000件 |
| 3(＋Priority) | 約0.45秒 | 7件 |
| 4(＋メッセージ文字列) | 約0.38秒 | 6件 |
条件を増やしても検索時間は1秒未満に収まり、Priority・メッセージ文字列まで指定すると、条件なし(約0.50秒)よりも短い約0.38秒となりました。
なお、メッセージ文字列について、組み合わせる条件を変えて追加で計測したところ、以下のとおりとなりました。
| 指定した条件 | 検索時間 |
|---|---|
| メッセージ文字列のみ | 約9.6秒 |
| ホスト名＋メッセージ文字列 | 約13秒 |
| Facility＋メッセージ文字列 | 約0.91秒 |
| Priority＋メッセージ文字列 | 約0.51秒 |
メッセージ文字列のみでは約9.6秒かかりましたが、FacilityやPriorityと組み合わせると約0.5～0.9秒と、大幅に短くなりました。一方、ホスト名と組み合わせた場合は約13秒と、メッセージ文字列のみよりも長くなっています。
この結果から、PriorityやFacilityでの絞り込みは速く、ホスト名やメッセージ文字列での検索は時間がかかりやすい傾向が見られました。メッセージ文字列で検索する場合は、PriorityやFacilityとあわせて絞り込んでおくと効率的です。
検証②：表示検索上限
| 表示検索上限 | 検索時間 |
|---|---|
| 100件 | 約0.27秒 |
| 1,000件 | 約0.29秒 |
| 10,000件(基準) | 約0.50秒 |
| 100,000件 | 約2.4秒 |
| 500,000件 | 約9.7秒 |
表示検索上限を100件から10,000件に上げても、検索時間は約0.27秒から約0.50秒と、1秒未満に収まりました。
一方で、100,000件では約2.4秒、500,000件では約9.7秒と、上限を大きくするほど検索時間が大きく伸びています。100件と500,000件では、約36倍の差です。
検証③：ログテーブル数
| ログテーブル数 | 検索時間 |
|---|---|
| 1か月(基準) | 約0.50秒 |
| 3か月 | 約0.59秒 |
| 6か月 | 約0.68秒 |
| 12か月(1年) | 約0.85秒 |
| 24か月(2年) | 約2.5秒 |
| 52か月(4年4か月) | 約3.2秒 |
ログテーブル数を1か月から12か月(1年)に増やしても、検索時間は約0.50秒から約0.85秒と、約0.35秒の増加にとどまりました。
一方で、24か月(2年)では約2.5秒、52か月(4年4か月)では約3.2秒と、1年を超えたあたりから検索時間が大きく伸び、1か月の約6倍になりました。それでも、約4年分・約2.4億件のログを対象にしても、約3秒で検索結果が表示されました。
検証④：表示件数
| 表示件数 | 検索時間 |
|---|---|
| 25件(基準) | 約0.50秒 |
| 50件 | 約0.52秒 |
| 100件 | 約0.52秒 |
| 500件 | 約0.56秒 |
| 1,000件 | 約0.57秒 |
表示件数を25件から1,000件に増やしても、検索時間は約0.50秒から約0.57秒と、ほとんど変わりませんでした。
ただし、1件ごとのメッセージが長いログを表示する場合は、影響が大きくなることがあります。
実際に、メッセージの長いログだけが表示されるようにフィルタの条件(4つ)を設定し、計測したところ、表示件数25件では約0.18秒、1,000件では約4.0秒と、約22倍の差が出ました。
※フィルタの条件も設定しているため、この結果は表には含めていません。
検索時間に影響しやすい項目は？
| 項目 | 最短 | 最長 | 変化幅 | 影響の大きさ |
|---|---|---|---|---|
| フィルタの条件数 | 約0.38秒 | 約0.98秒 | 約0.60秒 | 小 |
| 表示検索上限 | 約0.27秒 | 約9.7秒 | 約9.4秒 | 大 |
| ログテーブル数 | 約0.50秒 | 約3.2秒 | 約2.7秒 | 中 |
| 表示件数 | 約0.50秒 | 約0.57秒 | 約0.07秒 | 小 |
※単独で指定した条件や、メッセージの長いログでの計測は含みません。
今回の検証から、表示検索上限の影響が最も大きく、次いでログテーブル数という結果になりました。
取り出す件数や調べるログの量が多いほど、時間がかかる傾向です。
一方、フィルタの条件数と表示件数の影響は小さく、いずれも1秒未満に収まりました。
このことから、検索時間を短くするには、影響が大きかった表示検索上限とログテーブル数を、必要な分だけに絞るのが効果的です。
追加検証からわかる注意点
検証①・④で追加計測した結果から、次のような注意点がわかりました。
- メッセージ文字列は単独で使わない：メッセージ文字列だけの検索は約9.6秒とかかりました。そのため、FacilityやPriorityのような別の条件とあわせて検索するのがおすすめです。
- メッセージの長いログの検索：表示件数1,000件では約4.0秒とかかるため、表示件数を少なめにするのがおすすめです。
検索時間を活かした障害対応と運用
ログの検索にかかる時間がわかると、障害対応や日々の運用の効率化に役立ちます。
今回の検証結果をふまえた、用途別のおすすめ設定は以下のとおりです。
| 用途 | ログテーブル | 表示検索上限 | フィルタの条件 | 表示件数 |
|---|---|---|---|---|
| 障害発生時の原因調査 | 1か月(当月) | 1,000件 | ホスト名＋Priority(err以上) | 25件(初期値) |
| 不正アクセスの確認 | 1か月(当月) | 1,000件 | Facility(authなど)＋メッセージ文字列(“Failed”など) | 25件(初期値) |
| 日次・週次の定期点検 | 1か月(当月) | 10,000件(初期値) | Priority(err以上) | 25件(初期値) |
| 監査・報告用のログ抽出 | 対象期間の月のみ | 必要な件数 | 報告に必要な条件 | 25件(初期値) |
設定のポイント
- 表示検索上限は1,000件程度から：100件と1,000件では検索時間がほぼ変わらないため、まずは1,000件で検索し、足りなければ増やしましょう。
- メッセージ文字列はFacilityやPriorityと組み合わせる：ホスト名との組み合わせでは速くならないため、FacilityやPriorityで絞ってから指定します。
- 期間は必要な月だけを選ぶ：1年を超える期間を対象にすると、検索時間が伸びやすくなります。
- メッセージの長いログは表示件数を少なめに：表示件数を増やすと、検索時間が大きく伸びる場合があります。
また、今回の検証では、表示検索上限を初期値の10,000件にした場合、約4年分のログを対象にしても約3秒で検索できました。ログを長く残しておきたい環境での、検索時間の目安としてご参考ください。
長期保存したログのバックアップ運用については、こちらの記事もあわせてご覧ください。
まとめ
今回は、EasyBlocks SyslogシリーズのWeb UIで行うログ検索について、フィルタの条件数・表示検索上限・ログテーブル数・表示件数を変えながら、検索時間を計測してご紹介しました。
要点をまとめると、以下のとおりです。
- 基準(初期値)の設定では、約0.5秒で検索結果が表示される。
- 検索時間への影響が最も大きいのは表示検索上限、次いでログテーブル数。
- フィルタの条件数と表示件数の影響は小さい。ただし、メッセージ文字列だけの検索や、メッセージの長いログの大量表示には時間がかかる。
- ログを検索する際には、各項目を必要な分だけに絞るのが、早く検索するコツ。
EasyBlocks Syslogシリーズの運用やログの活用方法についてご不明な点がございましたら、お気軽にお問い合わせください。
▼ 今回ご紹介した製品はコチラ ▼