ログモニター
ログモニター (Log Monitor) とは、ログの検索クエリに一致したログを時間窓で集計し、その件数や値をしきい値と比べて通知する Datadog のモニター種別のこと。評価の対象はインデックスに入ったログだけで、除外フィルターで落としたログは数に入らない。
概要
ログモニターは、Log Explorer と同じ検索クエリを条件にして、一致したログの件数、属性の一意な値の数、またはメジャーの集計値をしきい値と比較するモニターです。タグやファセットで最大 4 次元にグループ分けでき、グループごとに独立して通知することもできます。気にするのは、特定のエラーが一定時間に何件を超えたら鳴らすかを決めるとき、そしてログが来なくなったこと自体を検知したいときです。対象はインデックス済みのログだけなので、除外フィルターや日次クォータで索引に入らなかったログは、どれだけ流れていても数えられません。
ログ検索クエリの結果をしきい値と比べるモニター
ログモニター (Log Monitor) とは、ログの検索クエリに一致したログを一定の時間窓で集計し、その結果をしきい値と比べて通知するモニターの種別です。公式ドキュメントは、指定した種類のログが一定期間に利用者の定めたしきい値を超えたときに知らせるモニター、と説明しています。時間窓の上限は 2 日、既定の作成上限はアカウントあたり 1,000 個です (2026 年 9 月時点・出典: Log Monitor)。クエリは Log Explorer の検索と同じ書き方で、画面上部のグラフが入力に合わせて更新されるため、条件を書きながら過去の件数を目で確かめられます。「特定のエラーが 5 分に 10 件を超えたら鳴らす」という要件は、このモニターの最も素直な使い方です。
件数、種類数、大きさの 3 通りを数える
数える対象は 3 通りあり、クエリの下でどれを選ぶかで比べるものが変わります (2026 年 9 月時点・出典: Log Monitor)。
| 選び方 | しきい値と比べる値 | 向く問い |
|---|---|---|
| 件数 (属性もメジャーも選ばない) | 時間窓の中で一致したログの数 | エラーログが 5 分に 10 件を超えたか |
| ファセットまたは属性 | その属性の一意な値の数 | エラーに遭った利用者 (user.email) は何人か |
| メジャー | 数値ファセットの集計値。集計は min / avg / sum / median / pc75 / pc90 / pc95 / pc98 / pc99 / max から選ぶ | 処理時間の p95 がしきい値を超えたか |
属性はどれでも使えますが、入力補完に出るのはファセットだけです。件数と一意な値の数の違いは実務で大きく、同じ利用者が 100 回失敗しても件数は 100、一意数は 1 です。影響を人数で見たいなら属性、量で見たいなら件数を選びます。Flex Logs のログは対象外で、Standard のインデックスに入ったログだけが使えます。
グループ分けで通知の粒度が決まる - 上位値の上限
クエリの結果はタグや属性、最大 4 つのファセットでグループ分けできます。グループの上限は次元の数で変わり、1 つなら上位 1,000 値、2 つなら各 30 値 (最大 900 組)、3 つなら各 10 値 (最大 1,000 組)、4 つなら各 5 値 (最大 625 組) です。既定の上位値は各 10 で、4 つ目だけ 5 です (2026 年 9 月時点・出典: Log Monitor)。複数の次元があるときは 1 つ目の次元で上位を決め、その中で 2 つ目の上位を決める、という順で絞られます。グループごとに独立して評価し通知する Multi Alert と、全体を 1 つにまとめる Simple Alert の使い分けはモニターの項で扱っています。上限を超えたグループは評価に入らないため、数の多いサービスを個別に見張るなら、クエリで対象を絞ってから分ける方が確実です。
評価されるのはインデックス済みのログだけ
ログモニターが見るのはインデックスに入ったログだけです (2026 年 9 月時点・出典: Log Monitor)。パイプラインを通ったあと、除外フィルターで落ちたログはインデックスに入らないため、Live Tail に見えていてもモニターの数には入りません。
- ログが届き、パイプラインで加工される
- インデックスフィルターと除外フィルターを通る。落ちた分はここで対象外になる
- インデックスに入ったログだけが評価の時間窓 (最長 2 日) に入る
- 件数、一意な値の数、またはメジャーの集計値をしきい値と比べる
- 条件を満たしたグループごとに通知し、ログサンプルを添えられる
この構造から 2 つの注意が出ます。1 つは、除外率 90% で落としているログを件数で見張ると、実際の 10 分の 1 しか数えられないことです。もう 1 つは、ログインデックスの日次クォータに達して索引に入らなくなったログも、同じ理由で数に入らないことです。件数のしきい値は、除外とクォータの設定を確かめた上で決めます。
0 件をどう扱うか - No Data と below 1
一致するログが時間窓に 1 件も無いとき、ログモニターは NO DATA の状態になります (2026 年 9 月時点・出典: Log Monitor)。「ログが来なくなったこと」自体を知りたいなら、条件を below 1 にします。グループ分けをしている場合の below 条件は、あるグループにログがあってその件数がしきい値未満のとき、または全てのグループでログが 0 件のときに限って鳴ります。特定のグループだけログが止まった場合には鳴らない、というのが読み違えやすい点です。あるサービスの沈黙を捉えたいなら、クエリでそのサービスに絞った below 1 のモニターを別に作ります。欠損の状態そのものの扱いは No Data の項で扱っています。
通知にログの中身を差し込む
通知には、条件を満たしたときのログの中身を添えられます。グループ分けなしの件数モニターなら最大 10 件のログサンプルを添えられます。グループ分けありの Simple Alert なら最大 10 個のファセット値やメジャー値、というように構成ごとに添えられるものが決まっています (2026 年 9 月時点・出典: Log Monitor)。対応する通知先は Slack、Jira、Webhook、Microsoft Teams、PagerDuty、メールで、復旧通知にはサンプルが付きません。メッセージを持たないログはサンプルに含まれません。ログの属性値を本文に差し込むにはテンプレート変数を使います。受け手が通知だけで「どのホストの、どのエラーか」を掴めるかは、この差し込みで決まります。アラートの設計と合わせて、モニターのしきい値より先に「誰が何を見て動くか」を決めておきます。