クエリの記述方法

　Log Parserを使うためには、「クエリ」の書き方をマスターする必要があります。ほとんどの方がクエリと聞くとSQLを思い起こされるのではないでしょうか。実は、Log Parserのクエリは、SQLに非常によく似ています。そのため、SQLの基本を知っている人であれば、簡単にクエリを書けるようになるでしょう。

クエリを構成する要素

　クエリを構成する主な要素は次のようになります。

SELECT 列名 FROM リソース
WHERE 抽出条件
ORDER BY 並び順

　SQLに似ていることが分かるかと思います。それでは、さきほど実行した例1と例2を見ながら、クエリについて理解していきましょう。

表示するデータの指定（SELECT）

　ログを抽出するには「SELECT 列名」という形式で記述します。もし、すべての列を取得したい場合は、「SELECT *」とアスタリスクで指定することもできます。例1では、ファイルシステム（-i:FS）を参照しているため、PathやSizeといった列名が利用できることに注目してください。

LogParser -i:FS -o:NAT "SELECT Path,Size FROM log*.* ORDER BY Size DESC"

　ファイルシステムの場合に利用できる列名は次のようになります。

　他の入力形式の場合、PathやSizeは利用できません。これは、参照する入力形式によって、利用できる列の定義が異なるためです。次に、例2のクエリを見てみましょう。

LogParser -i:EVT -o:CSV "SELECT TOP 10 TimeGenerated,EventID INTO
 eventlog.txt FROM SYSTEM WHERE EventID IN (6005;6006) ORDER BY
 TimeGenerated DESC"

　例2では、イベントログ（-i:EVT）を参照しているため、TimeGeneratedやEventIDといった列名が利用できることに注目してください。イベントログで利用できる列名は次のようになります。

列のデータ型

　また、データ型があることも確認しておいてください。Log Parserでは、次の5つのデータ型が用意されています。

　今は、それほど意識する必要はありませんが、後ほど紹介する「WHERE句の条件」や「関数」で、このデータ型を意識する必要があります。

ヘルプの利用方法

　入力形式ごとに異なる列名を調べるには、［スタート］メニューの［プログラム］-［Log Parser 2.2］-［Log Parser 2.2 Documentation］からヘルプを起動します。ヘルプの目次を［リファレンス］－［入力形式］－［（入力形式名）］－［フィールド］とたどることで、利用できる列名と説明を見ることができます。

　この日本語ヘルプの説明は非常に充実していますので、ぜひ目を通すようにしてください。また、コマンドプロンプトから「LogParser -h -i:入力形式」というヘルプコマンドを実行することで、簡単な概要を表示させることもできます。

上位n件を表示（TOP）

　なお、SELECTの後には、例2の「SELECT TOP 10 TimeGenerated,EventID FROM SYSTEM …」のように、列名の前に「TOP 数字」と書くこともできます。この場合は、クエリ実行結果の最初の10件だけを抽出することができます。

リソースの指定（FROM）

　SQLの場合、FROMの後にはテーブル名を書きますが、Log Parserの場合には、リソース名を書く必要があります。FROMの後に書ける項目は、入力形式によって異なってきます。

　例えば、例1のファイルシステムの場合は「FROM log*.*」のようにファイル名を指定しています。

　例2のイベントログの場合は「FROM SYSTEM」のようにイベントログの名前を指定しています。

　FROMの後に書ける項目もヘルプから調べます。目次を［リファレンス］－［入力形式］－［（入力形式名）］－［From-Entity構文］とたどることで、指定できるFROM句の内容を知ることができます。

条件の指定（WHERE）

　ログの検索は、特定の条件でフィルタリングしてから抽出することが一般的です。この条件の指定には、WHERE句を使用します。WHERE句は「WHERE 列名 式 値」という形式で記述します。利用できる式には次の種類があります。

　NOTを付加（NOT BETWEEN／NOT IN／NOT LIKE）して否定の意味にすることもできます。

　例2では、イベントログのIDを指定するためにWHERE句を指定しました。

LogParser -i:EVT -o:CSV "SELECT TOP 10 TimeGenerated,EventID INTO
 eventlog.txt FROM SYSTEM WHERE EventID IN (6005;6006) ORDER BY
 TimeGenerated DESC"

　注意点として、Log ParserではINを「IN (A;B)」とセミコロンで記述します。SQLのように「IN (A,B)」と書いて実行した場合にはエラーメッセージが表示されます。

定数の使用

　EventID列のデータ型がINTEGERなので「WHERE EventID IN (6005;6006)」と書いていますが、もしSTRING型の場合には、IN('6005';'6006')のようにシングルクォーテーションを付けることになります。

　SQLと同様に、文字列の定数にはシングルクォーテーションが必要です。

ORDER BY

　データを並べ替える場合には、ORDER句を利用します。「ORDER BY 列... DESC(ASC)」という形式で、並べ替えに利用する列とソート順（ASCの場合は昇順／DESCの場合は降順）を指定します。ASC／DESCの指定を省略した場合はデフォルトでASCとなります。

LogParser -i:FS -o:NAT "SELECT Path,Size FROM log*.* ORDER BY Size DESC"

　ただし、Log Parserでは全列で1つのソート順しか指定できません（SQLのように各列に昇順・降順を指定することはできません）のでご注意ください。