ログ管理ツールの選び方：保存、検索、運用コストを比較する

ログ管理ツールは、試用中には安く見えても、本番では維持が難しくなることがあります。数サービス、短い保持期間、一人の検索で済んだ環境に、突発的な書き込み、監査用の長期保存、未知のエラー検索、障害対応中の同時アクセスが加わるためです。

請求額は問題の一部です。保存単価が低くても、パーサーやシャードの修復、システム間の trace ID コピーに時間を使えば負担は残ります。反対に、安定した収集経路と明確な検索要件があるチームは、機能一覧を増やすためだけに移行する必要はありません。

本稿では、統合プラットフォーム、自社運用の構成、商用 SaaS、クラウドのログサービスを比較します。発行者の Guance も候補の一つです。公式資料に基づく仕組みと評価条件の整理であり、設定のない費用試算やベンダーの性能数値を同条件の実測とは扱いません。

ログ監視ツールとして選ぶ場合は、保存や検索に加えて、どの異常を検出し、誰が通知を受け、どの証拠から対応を始めるかまで評価対象にします。

収集、保存、検索を別々に定義する

集めた後の処理まで確認します。 ホスト、コンテナ、アプリケーション、データベース、ネットワーク機器、クラウドサービスのログを棚卸しし、形式、平均・ピーク量、転送方法、失敗後の再送を記録します。解析、フィールド抽出、型変換、マスキング、フィルタをどこで実行するかにより、機密情報がすでにネットワーク、バッファー、永続領域を通過しているかが変わります。中央のマスキング設定だけでは、原文が送信されなかったとは証明できません。

容量は測定します。 Elasticsearch や列指向エンジンに共通の圧縮率はありません。イベントサイズ、値の繰り返し、マッピング、索引、レプリカ、作業領域で変わります。同じフィールド、保持、冗長性で、元データ、索引、アーカイブを分けて記録します。構成と料金単位のない「100 TB の月額」は、購入予算には使えません。

検索は具体的な要求にします。 リクエスト ID の一点検索、知らないエラー文、デプロイ別集計、一か月の監査検索ではアクセス方法が違います。時間範囲、同時実行数、許容遅延を決め、ログからトレース、リソース、ユーザーセッションへ進めるかを確認します。共通プラットフォームでも、識別子、時刻、権限が欠ければ文脈はつながりません。

ログイン、アクセス、クラウド監査の記録はセキュリティ検知を、注文 ID、API、エラーコードは業務分析を支えます。ただし、フィールドとアクセス制御が整っていることが前提です。非構造化テキストを増やすだけでは機能は完成しません。AI に調査させる場合も、許可された元イベントと説明の根拠を確認できる必要があります。

四つの運用形態を比較する

Guance：収集と調査を同じ流れで扱う

DataKit がデータを収集し、Pipeline で解析、抽出、型変換、フィルタなどを行い、プラットフォームで検索・通知・他の信号との関連付けを行います。保存単価だけでなく、チームが維持する構成要素と手作業がどう変わるかで評価します。DataKit と Pipeline の説明をもとに、正常入力、形式の誤り、ルールを通らない経路、バッファー再送を試します。

GuanceDB は保存とクエリの基盤です。構成説明は設計を理解する資料であって、自社データの容量削減や検索高速化の測定結果ではありません。取り込み率、実際のクエリ、同時アクセスで検証します。

共通ラベルと trace ID でログ、トレース、メトリクス、RUM をつなぐ場合、処理後も ID が残るか、遷移先にアクセスできるか、時間範囲と絞り込みが保たれるかを確認します。一体化は接続作業を減らし得ますが、正しい計装を代替しません。

セキュリティ検知、イベント処理、DataFlux Func、Webhook で応答処理を構成することもできます。外部操作には対象 API、権限、失敗処理が必要です。AI 調査では引用、時間範囲、フィルタ、権限を検証し、すべての実行操作で人による承認が必須になるとは限りません。必要な権限と承認モードを確認します。Agent Teams のタスクは確認先の一つです。操作を止めることと変更を元に戻すことも別です。

マネージド型とプライベート配備の選択では、地域、バックアップ、管理者アクセス、外部呼び出し、機能範囲を個別に確認します。地域選択はコンプライアンス評価への入力であり、適合の自動証明ではありません。ログが複数クラウド、セキュリティ分析、アプリケーション診断を支える場合の候補とし、実際に廃止できる旧構成まで含めて費用を判断します。

自社運用：構成を選び、運用責任も引き受ける

Elasticsearch、Loki、ClickHouse は同じ問題を同じ方法で解く製品ではありません。

Elasticsearch、Logstash、Kibana は検索中心の構成です。マッピング、シャード、ヒープ、レプリカ、ライフサイクルは書き込みと検索の両方に影響します。費用が増えたときは、エンジン交換より先に マッピング と保持方針を見直せる場合があります。採用する配布物と機能のライセンスも確認します。Elastic が一部のソースに AGPLv3 の選択を追加したことは、すべての配布物と機能が同一ライセンスという意味ではありません。公式 FAQが基準になります。

Loki は主にラベルを索引化し、本文をチャンクとして保存します。本文のフィルタリングは可能です。安定したラベルで範囲を狭めてから検索する設計で、高カーディナリティのラベルはストリーム数と運用負荷を増やします。長い時間範囲の広い本文検索は多くのデータをスキャンする可能性があります。公式概要を確認し、通常時と障害時のクエリを試します。

ClickHouse は構造化ログ、特に選択した列の集計の基盤になります。結果はスキーマ、ソート、パーティション、バージョンごとの索引機能に依存します。未知の文字列を探す障害調査は別に検証します。集計のベンチマークだけでは検索体験を代表できません。収集、権限、通知、画面、更新、復旧を組み合わせてサービスにする仕事も残ります。

容量、更新、復旧、利用者支援を担う基盤チームがあるなら、自社運用は合理的です。他社の圧縮率や加速値は実験の着想になっても、自社の容量計画にはなりません。

商用 SaaS：運用を購入し、課金の境界を読む

Datadog Logs、Splunk、Sumo Logic、Elastic Cloud などはバックエンドの運用を減らしますが、課金方式は製品とプランで異なります。すべてを「取り込み＋索引」の同じ構造にまとめたり、GB 単価から月額全体を推定したりはできません。

Datadog では取り込み量と索引化イベント数、保持期間などを区別します。50 GB でも、短いイベントと長いスタックトレースではイベント数が違います。索引対象から外しても、設定したアーカイブなどに残る場合がありますが、索引画面からすぐ検索できるとは限りません。復元の遅延と費用も含め、公式価格の地域・保持・契約条件と合わせます。計算途中の丸めを避け、最後に丸めます。

Elastic Cloud Hosted と Serverless は異なる料金モデルです。価格説明を予定する構成に対応させます。マネージド化しても、データモデル、権限、保持、費用の管理は残ります。

データの所在、外部移動、監督上の要件は、業種、法域、契約で検証します。特定業種では SaaS が常に使えない、あるいは地域を選べばすべて満たす、といった一般化はできません。

クラウドのログサービス：既存の収集と ID を活かす

SLS、CloudWatch Logs、Azure Monitor Logs、CLS は、自社クラウドのリソースや ID 管理と結び付いています。対応するコレクター、API、連携により外部データも収集できます。複数クラウドへの適性は、ネットワーク、認証情報、アカウント間クエリ、データ移動費で判断します。

処理の位置に注意します。SLS のデータ変換ジョブは、元の Logstore に保存されたデータを読み、変換して別の Logstore に書き込みます。この経路では、原文が一度も保存されなかったとは証明できません。永続化前のマスキングが必要なら、より前の収集・取り込み処理を選び、原ファイル、バッファー、例外の送信先も確認します。

認証タイムスタンプとイベントの受理可能な時刻範囲も別です。時計のずれで署名に失敗したからといって、過去に発生したログがすべて書けないとは限りません。対象 API の仕様で確認します。

料金には取り込み、保存、スキャン、加工、エクスポート、通信が含まれる可能性があります。地域、ログ区分、購入方法を揃えて計算します。一つのクラウドにデータと応答処理が集まるチームは既存連携を活かしやすく、混在環境は追加の設定と搬送を明示的に計上します。

Guance と SLS を同じデータ経路で評価する

単一クラウドではネイティブ連携、混在環境では共通の調査経路が価値になる場合があります。どちらも機能数ではなく、実際の手順で確かめます。

機能と一緒に残る責任を比べる

三年間の試算には、通常の成長、持続するピーク、長時間停止、滞留データの回復を分けて入れます。最大ピークを一年中の時間に掛けると普段の利用を過大評価し、平均だけで容量を決めると必要な余裕を過小評価します。

判断を変えられる試用にする

1. 不正 JSON、多行、型の変化、秘密情報、異常時刻を入力し、成功先だけでなく失敗先も確認します。
2. フィールド、レプリカ、保持、アーカイブの条件を揃え、圧縮データ以外に索引と一時領域も測定します。
3. 書き込みを続けながら、ID 検索、未知エラー、集計、長期クエリを実行し、同時利用条件を記録します。
4. エラーログからトレースとリソースへ進み、人が文脈を作り直す箇所を記録します。
5. 権限、マスキング、監査、アーカイブ取得、削除を試します。機能があることと設定が要件に合うことは別です。
6. セキュリティ・業務分析でイベントを共用できるか、コピーや追加の分析費が必要かを確認します。
7. 移行後も配備、更新、バックアップ、支援が必要な構成要素をすべて列挙します。

店舗、工場、混在するデータセンターでは、断続的な接続、分散した責任、異なる形式が検索エンジンの限界より先に問題になる場合があります。有名な導入社名より、同じ制約を持つ運用条件を参考にします。

よくある選択の分かれ目

既存の ELK を変えるべきですか。 動作しているだけなら移行理由にはなりません。マッピング、ライフサイクル、収集ルールで問題を解けるかを先に見ます。必要なら限定ソースから始め、プロトコル、フィールド、配送、クエリを検証します。並行送信には明示的な経路と容量が必要です。

ClickHouse は本番ログ基盤になりますか。 周囲のサービスを構築・運用できることが条件です。分析クエリだけでなく、障害時の未知検索、認可、取り込み失敗、スキーマ変更、保持、画面、通知、復旧を試します。

SaaS の見積もりがずれる理由は。 バイト量だけで、イベント数、検索可能期間、セキュリティ分析、復元を計上していない場合があります。検索対象を減らしてアーカイブすると費用が下がることはあっても、証拠の取得速度は変わります。

クラウドのログサービスだけで足りますか。 必要なソース、クエリ、権限、応答が許容費用で成立するなら足ります。外部収集と地域間の挙動を設計に含めるなら、その経路を試します。

別の SIEM は必要ですか。 データ共用で解析の重複を減らせても、検出コンテンツ、脅威情報、ケース管理、応答連携は異なり得ます。共通保存だけでセキュリティチームの要件が満たされるとは判断しません。

長期保存をどう抑えますか。 頻繁な対話検索と低頻度の監査取得を分け、保存と復元の両方を計算します。どの階層でもアクセス、完全性、マスキング、削除は必要です。使う前に復元を試します。

AI 調査の合格条件は。 原因の分かる管理された故障で、引用イベント、フィルタ、権限、他のエンジニアによる検証を確認します。不完全・矛盾する証拠も与え、不確かさを表現するかを見ます。相関だけでは根本原因とはいえません。

収集処理と信号間の移動が保存以上に時間を使うなら、Guance ログ管理をワークフロー全体として評価できます。廃止できる構成と残る責任を比較してから、移行を決めてください。

資料と検証の範囲

2026 年 10 月 27 日に公式の仕組みと選択条件を再確認しました。本稿の試用手順は未実行で、性能、圧縮率、個別契約、適合性の実証を示すものではありません。

• DataKit・Pipeline・GuanceDB（中国語）
• Loki・Elastic のライセンス・料金
• Datadog 価格
• SLS データ変換
• Obsy Agent Teams のタスク