システムの安定稼働を維持するために、ログの監視は欠かすことのできない重要な作業です。
特に障害の発生時や新しいアプリケーションをデプロイした直後などは、リアルタイムで出力されるログを確認し、異常がないかを即座に判断する必要があります。
Linux環境において、この「ログのリアルタイム追跡」を最も手軽に、かつ強力に実現してくれるのが tail コマンドの -f オプションです。
本記事では、エンジニアが現場で頻繁に使用する tail -f の基本的な使い方から、実戦で役立つ高度なフィルタリング技術、ログローテーションへの対応方法までを詳しく解説します。
tail -f コマンドの基本概念と使い方
tail コマンドは、本来ファイルの後方（末尾）部分を表示するためのプログラムです。
通常はファイルの最後の10行を表示して終了しますが、-f オプションを付与することで、ファイルの更新を監視し続けるモードに切り替わります。
基本的な構文
最もシンプルな使い方は、対象となるログファイルのパスを引数に指定して実行する方法です。
# アクセスログをリアルタイムで表示する
tail -f /var/log/nginx/access.logこのコマンドを実行すると、ターミナルの画面が待機状態になり、ファイルに新しい行が追加されるたびにその内容が逐次表示されます。
監視を終了してプロンプトに戻りたい場合は、キーボードの Ctrl + C を押下します。
表示する行数の初期値を調整する
デフォルトでは直近の10行が表示された後に追跡が始まりますが、これでは過去の文脈を把握するのに不十分な場合があります。
そのような時は、-n オプションを併用して、最初に表示する行数を指定します。
# 直近の100行を表示してから追跡を開始する
tail -n 100 -f /var/log/syslog逆に、過去のログは一切不要で、コマンド実行後に出力されたものだけを見たい場合は -n 0 を指定すると良いでしょう。
ログローテーションに対応する -F オプションの重要性
運用環境のサーバーでは、ログファイルのサイズが肥大化するのを防ぐために「ログローテーション」が行われます。
これは、現在書き込んでいるログファイルを別の名前にリネームし、新しく空のログファイルを作成する仕組みです。
通常の -f オプションを使用している場合、ファイルがリネームされると監視が停止してしまいます。
これは、-f オプションがファイルの名前ではなく「iノード（ファイルの識別番号）」を追跡しているためです。
-f と -F の違い
ローテーションが発生しても監視を継続したい場合は、大文字の -F オプションを使用することが推奨されます。
-F オプションは「ファイル名」を基準に監視を行い、ファイルが作り直されたことを検知すると、自動的に新しいファイルを開き直してくれます。
| オプション | 監視対象 | ローテーション時の挙動 |
|---|---|---|
-f | ファイル記述子（iノード） | 追跡が止まる |
-F | ファイル名 | 自動で再オープンし、追跡を継続する |
実務においては、いつローテーションが発生するか予測しづらいため、常に tail -F を使う癖をつけておくと安全です。
特定のキーワードで出力をフィルタリングする
大規模なシステムやトラフィックの多いWebサーバーでは、ログの出力速度が非常に速く、画面を目視で追うのが困難な場合があります。
必要な情報だけを抽出するために、tail コマンドの結果を grep コマンドにパイプで渡す手法が一般的です。
grep を使ったエラー抽出
例えば、「ERROR」という文字列が含まれる行だけを表示したい場合は、以下のように記述します。
# エラーログだけをリアルタイムで抜き出す
tail -F /var/log/app/application.log | grep "ERROR"バッファリング問題の解消
tail と grep を組み合わせた際、ログが出力されているはずなのに画面に何も表示されないという現象が発生することがあります。
これは、標準出力の「バッファリング」機能が原因です。
GNU版の grep を使用している場合は、--line-buffered オプションを付加することで、1行ごとに即座に出力されるようになります。
# バッファリングを無効化してリアルタイム性を確保する
tail -F /var/log/app/application.log | grep --line-buffered "ERROR"複数のキーワードを除外する
逆に、頻出する特定のノイズ（ヘルスチェックのアクセスなど）を除外したい場合は、grep -v を利用します。
# HealthCheck という文字を含む行を除外して表示する
tail -F access.log | grep -v "HealthCheck"複数のログファイルを同時に監視する
マイクロサービス構成や、Webサーバーとデータベースサーバーの両方の挙動を同時に確認したい場合もあります。
tail -f は複数のファイルを引数として受け取ることが可能です。
# nginx と apache のログを同時に監視する
tail -f /var/log/nginx/error.log /var/log/apache2/error.log複数のファイルを監視している場合、ログが出力されるたびに「どのファイルの出力か」を示すヘッダーが表示されます。
==> /var/log/nginx/error.log <==
2026/05/10 12:00:01 [error] ...
==> /var/log/apache2/error.log <==
[Sun May 10 12:00:05 2026] [error] ...もしファイル名を表示させたくない場合は、-q (quiet) オプションを使用します。
逆に常にファイル名を表示させたい場合は -v (verbose) オプションを使用してください。
実用的な応用テクニック
基本操作をマスターした後は、さらに効率を高めるための応用テクニックを活用しましょう。
出力結果に色を付けて視認性を高める
白黒のターミナル画面で大量のログを追うのは疲労の原因となります。
grep の --color オプションを応用することで、特定のキーワードだけを目立たせることができます。
# ERROR を赤色、WARN を黄色でハイライトする（正規表現を利用）
tail -F app.log | grep -E --color=always "ERROR|WARN|$"上記の例では、行末を示す $ にもマッチさせることで、キーワードがない行も表示しつつ、特定の文字だけを色付けしています。
ネットワーク経由でリモートサーバーのログを見る
SSH越しに tail を実行することで、ローカルマシンのターミナルから直接リモートサーバーのログを監視できます。
# リモートサーバーのログをローカルで閲覧する
ssh user@remote-server "tail -F /var/log/nginx/access.log"この方法は、複数のサーバーにログインして回る手間を省けるため、トラブルシューティングの迅速化に寄与します。
AWKを組み合わせて特定の列だけを抽出する
ログのフォーマットが固定されている場合、awk コマンドを使って特定の項目だけを整形して表示すると便利です。
# アクセスログから「IPアドレス」と「リクエストURL」だけを抜き出す
tail -F access.log | awk '{print $1, $7}'これにより、画面上の情報密度が下がり、本当に必要な変化に気づきやすくなります。
tail 以外の選択肢：より高度な監視のために
tail -f は非常に強力ですが、状況によっては他のツールの方が適している場合もあります。
less コマンドの監視モード
実は less コマンドでも、リアルタイム監視が可能です。
less +F filename と実行すると、tail -f と同様の動作になります。
less の利点は、途中で Ctrl + C を押すことで監視を一時中断し、そのまま通常の less モードとして過去のログを検索したりスクロールしたりできる点にあります。
再度 Shift + F を押せば、再びリアルタイム監視モードに戻ることができます。
multitail による画面分割監視
より多くのログファイルを整理して監視したい場合は、multitail という専用ツールの導入を検討してください。
ターミナル画面を上下左右に分割し、それぞれのウィンドウで異なるログファイルを追跡することができます。
また、正規表現に基づいた色付け機能が標準で備わっているため、視覚的な情報把握能力が飛躍的に向上します。
まとめ
tail -f コマンドは、Linux環境におけるログ監視の原点であり、最も信頼できるツールの一つです。
単にファイルを表示するだけでなく、ローテーションに対応する -F オプションや、grep によるフィルタリングを組み合わせることで、その真価を発揮します。
今回ご紹介した各種テクニックを、日々の運用保守やデバッグ作業にぜひ取り入れてみてください。
ログを制する者はシステムを制すると言われるほど、ログからの情報は貴重な手がかりとなります。
効率的な監視手法を身につけることで、トラブルへの対応スピードは確実に向上するはずです。