# 
## はじめに

Splunkでデータ分析を始める際、SPL（Splunk Processing Language）の文法理解が重要です。本記事では、実務で頻繁に使用するindex検索とデータ処理の文法を、実例を交えて解説します。

## 対象読者
- Splunkを使い始めたエンジニア
- ダッシュボード構築を担当する方
- ログ分析・可視化業務に携わる方

---

## 1. 基本構文：indexからのデータ取得

### 基本形
```spl
index=<インデックス名>

実務例

index=web_logs sourcetype=access_combined
| head 100

ポイント:

index= で対象データソースを指定
sourcetype= でログの種類を絞り込み
パイプライン | で処理を連結

2. 時間範囲の指定（Time Range）

相対時間

index=main earliest=-24h latest=now

絶対時間

index=main earliest="01/15/2026:00:00:00" latest="01/15/2026:23:59:59"

よく使う時間指定

earliest=-1d@d latest=@d          # 昨日1日分
earliest=-7d@d latest=@d          # 過去7日間
earliest=-1h@h latest=now         # 直近1時間

@記号の意味: 時間の切り捨て（例：@d = その日の00:00:00）

3. フィールド検索とフィルタリング

完全一致検索

index=app_logs status=200
index=app_logs user="yukiko.ishiguro@example.com"

部分一致検索

index=app_logs error=*timeout*
index=app_logs url="*/api/*"

複数条件（AND/OR/NOT）

# AND条件（スペース区切りまたはAND）
index=main status=500 method=POST

# OR条件
index=main (status=500 OR status=502 OR status=503)

# NOT条件
index=main status=200 NOT user=admin

4. 統計コマンド（Stats Commands）

stats - 基本集計

index=web_logs 
| stats count by status

出力例:

status | count
200    | 15234
404    | 823
500    | 45

よく使う統計関数

index=web_logs 
| stats 
    count as total_requests,
    avg(response_time) as avg_time,
    max(response_time) as max_time,
    min(response_time) as min_time,
    sum(bytes) as total_bytes
    by host

timechart - 時系列グラフ

index=web_logs 
| timechart span=1h count by status

5. データ変換と加工

eval - フィールド計算

index=app_logs 
| eval response_time_ms=response_time*1000
| eval status_category=case(
    status>=200 AND status<300, "Success",
    status>=400 AND status<500, "Client Error",
    status>=500, "Server Error",
    1=1, "Other"
)

rex - 正規表現で抽出

index=web_logs 
| rex field=url "\/api\/(?<api_version>v\d+)\/(?<endpoint>\w+)"

where - 条件フィルタ

index=app_logs 
| stats avg(response_time) as avg_time by endpoint
| where avg_time > 1.0

6. テーブル整形とソート

table - 表示フィールド選択

index=web_logs 
| table _time, host, status, url, response_time

sort - ソート

index=app_logs 
| stats count by user
| sort -count          # 降順（-をつける）
| head 10              # 上位10件

rename - フィールド名変更

index=web_logs 
| stats count as リクエスト数, avg(response_time) as 平均応答時間

7. 実務でよく使うパターン集

パターン1: エラー率の監視

index=app_logs 
| stats 
    count as total,
    count(eval(status>=500)) as errors
| eval error_rate=round(errors/total*100, 2)

パターン2: トップN抽出

index=web_logs 
| stats count by url
| sort -count
| head 20
| rename url as "アクセスURL", count as "アクセス数"

パターン3: 時間帯別の傾向分析

index=app_logs 
| eval hour=strftime(_time, "%H")
| stats 
    avg(response_time) as avg_response,
    count as requests
    by hour
| sort hour

パターン4: 異常検知（閾値超え）

index=system_logs 
| stats avg(cpu_usage) as avg_cpu by host
| where avg_cpu > 80
| eval alert_level=case(
    avg_cpu>90, "Critical",
    avg_cpu>80, "Warning"
)

8. パフォーマンス最適化のコツ

✅ Good Practice

# 1. 早い段階でデータを絞り込む
index=main sourcetype=access earliest=-1h
| search status=500
| stats count by host

# 2. フィールドを明示的に指定
index=main 
| fields _time, host, status, response_time
| stats avg(response_time) by host

❌ Bad Practice

# 全データを取得してから絞り込み（遅い）
index=main 
| stats count by sourcetype, status, host
| search status=500

最適化ポイント:

index= と時間範囲を必ず指定
早い段階で不要なフィールドを除外
fields コマンドで必要なフィールドのみ選択
統計処理の前にフィルタリング

9. デバッグとトラブルシューティング

データの存在確認

| tstats count where index=main by index, sourcetype

フィールド一覧の確認

index=main 
| head 1
| fields *

サンプルデータの確認

index=main earliest=-5m
| head 10
| table _time, _raw

10. よく使うショートカット・Tips

時間指定の短縮形

-5m = 5分前
-1h = 1時間前
-1d = 1日前
-1w = 1週間前
-1mon = 1ヶ月前

ワイルドカード活用

index=prod_*           # prod_で始まる全インデックス
sourcetype=*:access    # :accessで終わる全ソースタイプ

サブサーチ（Subsearch）

index=main
    [search index=error_logs | return user]
| stats count by user

まとめ

Splunk SPLの実務活用ポイント:

基本構文の徹底: index= → フィルタ → 統計 → 整形の流れ
パフォーマンス意識: 早期絞り込みとフィールド選択
再利用可能な検索: よく使うパターンをテンプレート化
ダッシュボード連携: 検索結果をパネルに活用

参考資料

執筆者: Python Engineer
Splunkダッシュボード構築、データ可視化、エンジニア教育コンテンツ作成を専門としています。

#Splunk #SPL #ログ分析 #データ可視化 #ダッシュボード