JP7816492B2

JP7816492B2 - 監視サーバ装置、システム、方法、及びプログラム

Info

Publication number: JP7816492B2
Application number: JP2024509564A
Authority: JP
Inventors: 祥文堀江
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2022-03-24
Filing date: 2022-03-24
Publication date: 2026-02-18
Anticipated expiration: 2042-03-24
Also published as: WO2023181241A1; US20250217482A1; JPWO2023181241A1

Description

本発明は、監視サーバ装置、システム、方法、及びプログラムに関する。

システムの異常を監視する技術では、主にセンサ情報、イベント情報、ログ情報、トレース情報等の監視情報を収集（取得）している。例えば、特許文献１では、設備の運転時間などの稼動情報と、設備に付加した複数センサの出力信号（センサ情報）とを用いて設備の異常検知を行う方法が開示されている。また、特許文献２では、プログラムの動作に関するトレースログ（ログ情報）を取得してシステムの状態を監視する方法が開示されている。また、特許文献３では、被デバッグプログラムの実行中に発生したイベントに関する情報（イベント情報）を取得してシステムの状態を監視する方法が開示されている。さらに、特許文献４では、システムのカーネル空間のトレース情報（カーネルトレース情報）を収集してシステムの状態を監視する方法が開示されている。

国際公開第２０１３／２４６１３号特開２００９－２３７６１０号特開２００１－３４５０３号特開２０００－７６０９５号

以下の分析は、本願発明者により与えられる。

しかしながら、特許文献１～３のように稼動情報、センサ情報、ログ情報、イベント情報を収集（取得）してシステムの状態を監視する方法では、システムの性能の監視が主であり、カーネルやハードウェアに近い箇所の故障、システム改ざん、サイバー攻撃等のカーネルレベルの動的監視は困難である。また、特許文献４のようにカーネル空間のトレース情報を収集してシステムの状態を監視する方法では、ＣＰＵ（Central Processing Unit）の例外処理を使用するため、処理負荷（オーバヘッド）が大きく、システムに影響を与えずに監視できるプローブポイントの数には限界があり、システムの定常的な動作を行うことは困難である。特に、ＯＴ（Operational Technology）系システムでは、ＩＴ（Information Technology）系システムと比較して長期間運用されることが多く、装置自体が古くＣＰＵの処理性能に余力が少ないため、処理負荷が大きいカーネルレベルの動的監視を定常的に行うことが困難である。

本発明の主な課題は、システムの定常的な動作を確保しつつ、カーネルレベルの動的監視を行うことに貢献することができる監視サーバ装置、システム、方法、プログラムを提供することである。

第１の視点に係る監視サーバ装置は、運用時に、監視対象装置のカーネルトレース情報以外の所定のログを収集して、予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施するように構成された運用部を備える。

第２の視点に係る監視システムは、監視対象装置と、管理端末と、前記第１の視点に係る監視サーバ装置と、を備える。

第３の視点に係る監視方法は、ハードウェア資源を用いて監視対象装置の動作を監視する監視方法であって、運用時に、監視対象装置のカーネルトレース情報以外の所定のログを収集して、予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施するステップを含む。

第４の視点に係るプログラムは、監視対象装置の動作を監視する処理をハードウェア資源に実行させるプログラムであって、運用時に、監視対象装置のカーネルトレース情報以外の所定のログを収集して、予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施する処理を前記ハードウェア資源に実行させる。

なお、プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。また、本開示では、コンピュータプログラム製品として具現することも可能である。プログラムは、コンピュータ装置に入力装置又は外部から通信インタフェイスを介して入力され、記憶装置に記憶されて、プロセッサを所定のステップないし処理に従って駆動させ、必要に応じ中間状態を含めその処理結果を段階毎に表示装置を介して表示することができ、あるいは通信インタフェイスを介して、外部と交信することができる。そのためのコンピュータ装置は、一例として、典型的には互いにバスによって接続可能なプロセッサ、記憶装置、入力装置、通信インタフェイス、及び必要に応じ表示装置を備える。

前記第１～４の視点によれば、システムの定常的な動作を確保しつつ、カーネルレベルの動的監視を行うことに貢献することができる。

実施形態１に係る監視システムの構成を模式的に示したブロック図である。実施形態１に係る監視システムの監視対象装置の構成の一例を模式的に示したブロック図である。実施形態１に係る監視システムにおけるカーネルトレース情報の取得を模式的に示したイメージ図である。実施形態１に係る監視システムにおける監視サーバ装置のモデル作成モードの際に収集したログから特徴量を抽出したときの一例を模式的に示したイメージ図である。実施形態１に係る監視システムにおける監視サーバ装置のモデル作成モードの際に閾値を設定するときの一例を模式的に示したイメージ図である。実施形態１に係る監視システムにおける監視サーバ装置の運用モードの際に収集したログから特徴量を抽出して異常が発生したときの一例を模式的に示したイメージ図である。実施形態１に係る監視システムにおける監視サーバ装置のモデル作成モードのときの動作を模式的に示したフローチャートである。実施形態１に係る監視システムにおける監視サーバ装置の運用モードのときの動作を模式的に示したフローチャートである。実施形態１に係る監視システムをＯＴ系システムに適用した場合の構成の一例を模式的に示したブロック図である。実施形態１に係る監視システムをＯＴ系システムに適用した場合のモデル作成モードのときの動作を模式的に示したシーケンスチャートである。実施形態１に係る監視システムをＯＴ系システムに適用した場合の運用モードのときの動作を模式的に示したシーケンスチャートである。実施形態２に係る監視サーバ装置の構成を模式的に示したブロック図である。ハードウェア資源の構成を模式的に示したブロック図である。

以下、実施形態について図面を参照しつつ説明する。なお、本出願において図面参照符号を付している場合は、それらは、専ら理解を助けるためのものであり、図示の態様に限定することを意図するものではない。また、下記の実施形態は、あくまで例示であり、本発明を限定するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。さらに、本願開示に示す回路図、ブロック図、内部構成図、接続図などにおいて、明示は省略するが、入力ポート及び出力ポートが各接続線の入力端及び出力端のそれぞれに存在する。入出力インタフェイスも同様である。プログラムはコンピュータ装置を介して実行され、コンピュータ装置は、例えば、プロセッサ、記憶装置、入力装置、通信インタフェイス、及び必要に応じ表示装置を備え、コンピュータ装置は、通信インタフェイスを介して装置内又は外部の機器（コンピュータを含む）と、有線、無線を問わず、交信可能に構成される。

［実施形態１］
実施形態１に係る監視システムについて図面を用いて説明する。図１は、実施形態１に係る監視システムの構成を模式的に示したブロック図である。図２は、実施形態１に係る監視システムの監視対象装置の構成の一例を模式的に示したブロック図である。図３は、実施形態１に係る監視システムにおけるカーネルトレース情報の取得を模式的に示したイメージ図である。図４は、実施形態１に係る監視システムにおける監視サーバ装置のモデル作成モードの際に収集したログから特徴量を抽出したときの一例を模式的に示したイメージ図である。図５は、実施形態１に係る監視システムにおける監視サーバ装置のモデル作成モードの際に閾値を設定するときの一例を模式的に示したイメージ図である。図６は、実施形態１に係る監視システムにおける監視サーバ装置の運用モードの際に収集したログから特徴量を抽出して異常が発生したときの一例を模式的に示したイメージ図である。

監視システム１は、監視対象装置５０Ａ～５０Ｎを監視するシステムである（図１参照）。監視システム１は、定常的な動作や処理を繰り返す工場、社会インフラ等におけるＯＴ系システムに適用することができる。監視システム１は、監視サーバ装置１０と、管理端末４０と、監視対象装置５０Ａ～５０Ｎと、ネットワーク８０と、を備える。

監視サーバ装置１０は、監視対象装置５０Ａ～５０Ｎから収集した所定のログに基づいて異常が有るか否かを判断し、異常が発生したときに監視対象装置５０Ａ～５０Ｎの細部の挙動を監視するサーバ装置である（図１参照）。監視サーバ装置１０には、例えば、プロセッサ、メモリ、ネットワークインタフェイス等を含むコンピュータを備えるサーバ装置を用いることができる。監視サーバ装置１０は、ネットワーク８０と通信可能に接続されている。監視サーバ装置１０は、システムの時刻と同期させる機能を有する。監視サーバ装置１０は、通信部１１と、記憶部１２と、制御部１３と、を備える。

通信部１１は、情報の通信（有線通信又は無線通信）を行う機能部である（図１参照）。通信部１１は、ネットワーク８０と通信可能に接続されている。通信部１１は、制御部１３の制御により、通信を行う。通信部１１は、情報を管理端末４０や監視対象装置５０Ａ～５０Ｎに送信することができる。通信部１１は、管理端末４０や監視対象装置５０Ａ～５０Ｎからの情報を受信することができる。

記憶部１２は、情報を記憶する機能部である（図１参照）。記憶部１２は、制御部１３の制御により、情報の書き込み、読み出しを行う。記憶部１２は、プログラム、ツール、収集したログ、作成したモデル等を記憶する。

制御部１３は、通信部１１及び記憶部１２を制御する機能部である（図１参照）。制御部１３には、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processor Unit）等のプロセッサを用いることができる。制御部１３は、記憶部１２に記憶された所定のプログラムやツールを実行することにより、プログラムやツールに記述された所定の情報処理を行うことができる。制御部１３は、記憶部１２に記憶された所定のプログラムやツールを実行することにより、仮想的に、モデル作成部２０と、運用部３０と、を備えた構成とすることができる。

モデル作成部２０は、運用前に、監視対象装置５０Ａ～５０Ｎの各種のログを収集して、統計解析手法により、監視対象装置５０Ａ～５０Ｎが定常か異常かの判断に用いるモデルを作成する機能部である（図１参照）。モデル作成部２０は、収集した各種のログを用いて機械学習によってモデルを作成することができ、必要に応じて管理者が管理端末４０を用いて操作することによってモデルを修正することができる。モデルには、監視対象装置５０Ａ～５０Ｎ間の不変的な関係性（インバリアント）に関するモデルを用いてもよい。モデル作成部２０は、ログ収集部２１と、モデル生成部２２と、を備える。

ログ収集部２１は、監視対象装置５０Ａ～５０Ｎから各種のログを収集する機能部である（図１参照）。ログ収集部２１は、管理端末４０からのモデル作成指示を受信すると、モデル作成モードを開始し、監視対象装置５０Ａ～５０Ｎにログ設定情報を送信する。ここで、ログ設定情報は、例えば、監視対象装置５０Ａ～５０Ｎのカーネル実行パスの所定の位置にプローブポイントを設定するための情報を含むものとすることができる。ログ収集部２１は、ログ設定情報を受信した各監視対象装置５０Ａ～５０Ｎからの各種のログを収集する。各種のログは、カーネルトレース情報を含むとともに、監視対象装置５０Ａ～５０Ｎのセンサ情報、性能（メトリクス）情報、イベント情報（イベントログ；内部処理、外部インタフェイス等のデータ）等のデータを含むことができる。さらに、収集した各種のログは、送信元の監視対象装置５０Ａ～５０Ｎに応じて優先順位や、資産ベース分析のリスク値や、資産ベース分析の要対策箇所を予め設定してもよい。ログ収集部２１は、収集した各種のログの数が所定数以上（ログ収集開始から所定期間以上でも可）であるか否かを判断する。

モデル生成部２２は、ログ収集部２１で収集した各種のログに基づいて、統計解析手法により監視対象装置５０Ａ～５０Ｎが定常か異常かの判断に用いるモデルを作成する機能部である（図１参照）。モデル生成部２２は、ログ収集部２１で収集した各種のログに基づいて特徴量を抽出する。ここで、抽出する特徴量として、例えば、ログがイベント情報であれば、アプリケーションログ（Ｓｙｓｌｏｇ等）やシステムログのような特定ログ要素、ログレベル毎に合算したログ件数が挙げられ、ログが性能情報であればポーリング（定期収集）やクリッピング（閾値）のような特定ログ要素が挙げられる。

モデル生成部２２は、抽出された特徴量のうちカーネル動作と相関が強い特徴量（変数）に絞り込む相関分析（次元削減）を行う。ここで、初回の相関分析ではカーネル動作と相関が最も強い特徴量に絞り込み、モデルの検証で問題がある場合の相関分析では前回に絞り込んだ特徴量の次にカーネル動作と相関が強い特徴量に絞り込むことができる。絞り込んだ特徴量の時間変化を表すと図４のように表すことができる。図４では時間窓ごとに１つの周期となっており、時間窓内では分、時（時間帯）、日（営業日（月～金）／休業日（土日））、週、月（繁忙期／閑散期）単位で区切ることができる。

モデル生成部２２は、収集した各種のログのうちカーネルトレース情報を目的変数とし、かつ、絞り込んだ特徴量に係るログを説明変数とした多変量解析（異常度の算出）を行う。ここで、多変量解析では、ｋ近傍法（下記数式１参照）を用いて異常度を算出するようにしてもよい。モデル生成部２２は、多変量解析によって算出された異常度を時間変化で表したモデル（図５の閾値設定を除く部分参照）を構築する。

［数式１］（ｋ近傍法）

モデル生成部２２は、構築されたモデルに異常度の閾値を設定（精度がないと判断された場合は閾値を変更）する。ここで、閾値は、モデルの定常状態から逸脱したシステムの予兆動作を検出するために用いられる。また、閾値設定又は変更については、図５のように閾値のラインが異常検知部分のピークを通るように設定又は変更することができる。なお、構築されたモデルにおいて異常検知部分になるようなピークがない場合はモデルの最大ピークよりも上の位置（最大ピークの値と閾値との差が予め設定された数値範囲内の位置）に閾値のラインが設定される。

モデル生成部２２は、閾値が設定又は変更されたモデルを検証する。ここで、モデルの検証では、例えば、予め正常データと異常データが混在したデータセットを用意して、正常データと異常データに対する正しい判断のサンプル数が予め設定された所定数以上であり、かつ、モデルの最大ピークの値と閾値との差が予め設定された数値範囲内にあることを評価することによって検証することができる。モデル生成部２２は、検証の結果、問題がない（正しい判断のサンプル数が予め設定された所定数以上である）か否かを判断する。モデル生成部２２は、検証の結果、問題がない場合、精度がある（モデルのピークの値と閾値との差が予め設定された数値範囲内にある）か否かを判断する。モデル生成部２２は、精度がある場合、管理端末４０に、モデルの作成が完了したことを知らせる作成完了通知を送信する。

運用部３０は、運用時に、監視対象装置５０Ａ～５０Ｎのカーネルトレース情報以外の所定のログを収集して、モデル作成部２０で作成されたモデルを用いて監視対象装置５０Ａ～５０Ｎの異常を監視し、異常が発生したときに、異常の影響範囲にある監視対象装置５０Ａ～５０Ｎにおけるカーネル空間に絞り込んで動的監視を実施する機能部である（図１参照）。カーネル空間の動的監視には、例えば、ＳｙｓｔｅｍＴａｐ（Ｋｐｒｏｂｅｓ）、ＬＫＭ（Loadable Kernel module）、ｐｅｒｆ（Performance analysis tools for Linux（登録商標））、ｆｔｒａｃｅ、ｅＢＰＦ（Extended Berkeley Packet Filter）、ＬＫＳＴ（Linux（登録商標） Kernel State Tracer）、Ｖｚｅｔ等のカーネルトレースツールを用いることができる。カーネル空間の動的監視では、例えば、マルウェア、プロセス改ざん等のシステムの意図しないカーネル空間へのアクセス（システムコール等）等を監視することが挙げられる。運用部３０は、ログ収集部３１と、ログ解析部３２と、カーネル調査部３３と、を備える。

ログ収集部３１は、監視対象装置５０Ａ～５０Ｎの所定のログを収集する機能部である（図１参照）。所定のログには、カーネルトレース情報は含まれない。また、所定のログは、モデル生成部２２の相関分析で絞り込んだカーネル動作と相関が強い特徴量を含むログとすることができる。

ログ解析部３２は、モデル作成部２０で作成されたモデルを用いて、収集した所定のログに異常が有るか否かを解析する機能部である（図１参照）。ログ解析部３２は、収集した所定のログの特徴量を抽出して異常度を算出する。ログ解析部３２は、異常度（例えば、図６の異常データ参照）が、モデル作成部２０で作成されたモデルに設定された閾値以上であるか否かを判断する。

カーネル調査部３３は、所定のログに異常が有ると判断されたときに、異常が有る所定のログの発信元の監視対象装置５０Ａ～５０Ｎに対してカーネル調査を実施する機能部である（図１参照）。カーネル調査部３３は、モデル作成部２０で作成されたモデルに設定された閾値以上の異常度に係る特徴量を含むログの発信元（監視対象装置５０Ａ～５０Ｎのいずれか）に基づいて、異常状態の影響範囲を推定する。異常状態の影響範囲には、例えば、モデル作成部２０のログ収集部２１で収集した各種のログ（カーネルトレース情報を含む）を用いて推定することができる。

カーネル調査部３３は、推定された異常状態の影響範囲に基づいて調査スクリプトを生成する。調査スクリプトの生成では、推定された異常状態の影響範囲から、カーネルトレース情報を取得するプローブポイント及びタイミングを絞り込んで、調査スクリプトを生成する。例えば、監視対象とするログ（カーネルトレース情報）の記載ルール、あるいは既存ログフォーマットからの抽出ルールを予め定義しておく。異常検知の際には、調査対象ログのフォーマットから特定のログ要素を抽出する。調査対象とする関数、システムコール（プローブポイント）、プロセス、プロセスのバックトレース等を絞り込むため、調査対象ごとに用意したスクリプトテンプレートに、抽出したログ要素をパラメータ・変数等として反映する。また、調査スクリプトの生成には、カーネルトレースツール（ＳｙｓｔｅｍＴａｐ等）のＬＫＭ（Loadable Kernel module）を使用することができ、既存システムを入れ替えることなくカーネル空間のトレース機能の追加が可能となる。カーネル調査部３３は、生成された調査スクリプトを、推定された異常状態の影響範囲にある監視対象装置５０Ａ～５０Ｎに送信する。

カーネル調査部３３は、調査スクリプトを受信した監視対象装置５０Ａ～５０Ｎからのカーネルトレース情報を受信する。カーネル調査部３３は、受信したカーネルトレース情報を管理端末４０に送信する。カーネル調査部３３は、管理端末４０からの停止指示を受信したか否かを判断する。カーネル調査部３３は、管理端末４０からの停止指示を受信すると、調査スクリプトを受信した監視対象装置５０Ａ～５０Ｎに停止指示を送信する。

管理端末４０は、監視システム１の管理者が使用する端末である（図１参照）。管理端末４０は、ネットワーク８０に通信（有線通信、無線通信）可能に接続されている。管理端末４０として、例えば、パーソナルコンピュータ、タブレット端末、スマートフォン等を用いることができる。管理端末４０は、管理者の操作により監視サーバ装置１０にモデル作成指示や運用開始指示を送信することができる。管理端末４０は、監視サーバ装置１０からの作成完了通知、カーネルトレース情報、装置停止通知を受信して表示することができる。

監視対象装置５０（５０Ａ～５０Ｎ）は、監視対象となる各種の装置である（図１、図２参照）。監視対象装置５０として、例えば、スイッチ、ルータ等のネットワーク機器、ファイアウォール、ＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）等のセキュリティ機器、ＳＣＡＤＡ（Supervisory Control And Data Acquisition）サーバ、ＰＬＣ（Programmable Logic Controller）、制御端末等を用いることができる。監視対象装置５０は、ネットワーク８０に通信（有線通信、無線通信）可能に接続されている。監視対象装置５０は、システムの時刻と同期させる機能を有する。監視対象装置５０は、ハードウェア６０として、プロセッサ５１、メモリ５２、ネットワークインタフェイス５３、及び、各種デバイス５４（例えば、センサ、カメラ、表示装置、入力装置、出力装置等）を備えたものとすることができる。監視対象装置５０は、各種のアプリケーション５６Ａ～５６Ｍを備えており、ハードウェア６０とアプリケーション５６Ａ～５６Ｍとの間の処理や機能を担うカーネル５５を備える。なお、監視対象装置５０Ａ～５０Ｎは、まとめて監視対象装置群７０と呼ぶことがある。

監視対象装置５０Ａ～５０Ｎは、モデル作成モードの際、監視サーバ装置１０からのログ設定情報を受信すると、ログ設定情報に従って監視対象装置５０Ａ～５０Ｎ自身の各種のログを読み出して監視サーバ装置１０に送信するように設定する。設定後、監視対象装置５０Ａ～５０Ｎは、監視対象装置５０Ａ～５０Ｎ自身の各種のログ（カーネルトレース情報を含む）を読み出して監視サーバ装置１０に送信する。

監視対象装置５０Ａ～５０Ｎは、運用モードの際、監視対象装置５０Ａ～５０Ｎ自身の所定のログ（カーネルトレース情報を除く）を読み出して監視サーバ装置１０に送信する。監視対象装置５０Ａ～５０Ｎは、監視サーバ装置１０からの調査スクリプトを受信すると、当該調査スクリプトに基づいて、監視対象装置５０Ａ～５０Ｎのカーネル実行パスの所定の位置にプローブポイントを設定し、当該プローブポイントからカーネルトレース情報を取得して監視サーバ装置１０に送信する。監視対象装置５０Ａ～５０Ｎは、監視サーバ装置１０からの停止指示を受信すると自身の動作を停止する。

ネットワーク８０は、監視サーバ装置１０と管理端末４０と監視対象装置５０、５０Ａ～５０Ｎとの間を通信可能に接続する有線又は無線の通信網である。ネットワーク８０には、ＬＡＮ（Local Area Network）を用いることができるが、その他、ＰＡＮ（Personal Area Network）、ＭＡＮ（Metropolitan Area Network）、ＷＡＮ（Wide Area Network）、ＧＡＮ（Global Area Network）等の通信網を用いてもよい。

実施形態１に係る監視システムにおける監視サーバ装置の動作について説明する。

最初に、監視サーバ装置のモデル作成モードのときの動作について図面を用いて説明する。図７は、実施形態１に係る監視システムにおける監視サーバ装置のモデル作成モードのときの動作を模式的に示したフローチャートである。なお、監視システムの構成については、図１を参照されたい。

まず、監視サーバ装置１０の制御部１３のモデル作成部２０のログ収集部２１は、管理端末４０からのモデル作成指示を受信すると、モデル作成モードを開始し、監視対象装置５０Ａ～５０Ｎにログ設定情報を送信する（ステップＡ１）。ここで、ログ設定情報は、例えば、監視対象装置５０Ａ～５０Ｎのカーネル実行パスの所定の位置にプローブポイントを設定するための情報を含むものとすることができる。また、監視対象装置５０Ａ～５０Ｎは、ログ設定情報を受信すると、ログ設定情報に従って監視対象装置５０Ａ～５０Ｎ自身の各種のログを読み出して監視サーバ装置１０に送信するように設定し、設定後、監視対象装置５０Ａ～５０Ｎ自身の各種のログを読み出して監視サーバ装置１０に送信することになる。

ステップＡ１の後、又は、ログ数が所定数未満の場合（ステップＡ３のＮＯ）、ログ収集部２１は、各監視対象装置５０Ａ～５０Ｎからの各種のログを収集する（ステップＡ２）。各種のログは、カーネルトレース情報を含むとともに、監視対象装置５０Ａ～５０Ｎのセンサ情報、性能（メトリクス）情報、イベント情報（イベントログ；内部処理、外部インタフェイス等のデータ）等のデータを含むことができる。

次に、ログ収集部２１は、収集した各種のログの数が所定数以上（ログ収集開始から所定期間以上でも可）であるか否かを判断する（ステップＡ３）。各種のログの数が所定数未満の場合（ステップＡ３のＮＯ）、ステップＡ２に戻る。

ログ数が所定数以上の場合（ステップＡ３のＹＥＳ）、又は、モデルの検証で問題がある場合（ステップＡ１０のＮＯ）、モデル作成部２０のモデル生成部２２は、収集した各種のログに基づいて特徴量を抽出する（ステップＡ４）。

次に、モデル生成部２２は、抽出された特徴量のうちカーネル動作と相関が強い特徴量（変数）に絞り込む相関分析（次元削減）を行う（ステップＡ５）。

次に、モデル生成部２２は、収集した各種のログのうちカーネルトレース情報を目的変数とし、かつ、絞り込んだ特徴量に係るログを説明変数とした多変量解析（異常度の算出）を行う（ステップＡ６）。多変量解析では、ｋ近傍法を用いて異常度を算出することができる。

次に、モデル生成部２２は、多変量解析によって算出された異常度を時間変化で表したモデル（例えば、図５の閾値設定を除く部分参照）を構築する（ステップＡ７）。

ステップＡ７の後、又は、精度がない場合（ステップＡ１１のＮＯ）、モデル生成部２２は、構築されたモデルに異常度の閾値を設定（精度がない場合は閾値を変更）する（ステップＡ８）。

次に、モデル生成部２２は、閾値が設定又は変更されたモデルを検証する（ステップＡ９）。モデルの検証では、例えば、予め正常データと異常データが混在したデータセットを用意して、正常データと異常データに対する正しい判断のサンプル数が予め設定された所定数以上であり、かつ、モデルの最大ピークの値と閾値との差が予め設定された数値範囲内にあることを評価することによって検証することができる。

次に、モデル生成部２２は、検証の結果、問題がない（正しい判断のサンプル数が予め設定された所定数以上である）か否かを判断する（ステップＡ１０）。問題がある場合（ステップＡ１０のＮＯ）、ステップＡ４に戻る。

問題がない場合（ステップＡ１０のＹＥＳ）、モデル生成部２２は、検証の結果、精度がある（モデルのピークの値と閾値との差が予め設定された数値範囲内にある）か否かを判断する（ステップＡ１１）。精度がない場合（ステップＡ１１のＮＯ）、ステップＡ８に戻る。

精度がある場合（ステップＡ１１のＹＥＳ）、モデル生成部２２は、管理端末４０に、モデルの作成が完了したことを知らせる作成完了通知を送信し（ステップＡ１２）、その後、終了する。なお、管理端末４０が作成完了通知を受信すると作成完了通知を表示して、モデルの作成が完了したことを管理者は確認することができる。

次に、監視サーバ装置の運用モードのときの動作について図面を用いて説明する。図８は、実施形態１に係る監視システムにおける監視サーバ装置の運用モードのときの動作を模式的に示したフローチャートである。なお、監視システムの構成については、図１を参照されたい。

まず、又は、異常がない場合（ステップＢ３のＮＯ）、若しくは、停止指示を受信していない場合（ステップＢ９のＮＯ）、監視サーバ装置１０の制御部１３の運用部３０のログ収集部３１は、管理端末４０からの運用開始指示を受信すると、運用モードを開始し、監視対象装置５０Ａ～５０Ｎから所定のログを収集する（ステップＢ１）。なお、ここで収集される所定のログには、カーネルトレース情報は含まれない。また、収集される所定のログは、ステップＡ５の相関分析で絞り込まれたカーネル動作と相関が強い特徴量を含むログとすることができる。

次に、運用部３０のログ解析部３２は、収集した所定のログから特徴量を抽出して所定の数式（例えば、ｋ近傍法の数式）を用いて異常度を算出する（ステップＢ２）。

次に、運用部３０のログ解析部３２は、算出された異常度がモデル（モデル作成部２０で作成されたモデル）の閾値以上であるか否かを判断する（ステップＢ３）。異常がない場合（ステップＢ３のＮＯ）、ステップＢ１に戻る。

異常がある場合（ステップＢ３のＹＥＳ）、運用部３０のカーネル調査部３３は、異常度に係る特徴量を含むログの発信元（監視対象装置５０Ａ～５０Ｎのいずれか）に基づいて、異常状態の影響範囲を推定する（ステップＢ４）。なお、異常状態の影響範囲には、例えば、ステップＡ２で収集した各種のログ（カーネルトレース情報を含む）を用いて推定することができる。

次に、カーネル調査部３３は、推定された異常状態の影響範囲に基づいて調査スクリプトを生成する（ステップＢ５）。

次に、カーネル調査部３３は、生成された調査スクリプトを、推定された異常状態の影響範囲に該当する監視対象装置５０Ａ～５０Ｎに送信する（ステップＢ６）。

なお、該当する監視対象装置５０Ａ～５０Ｎが調査スクリプトを受信すると、当該調査スクリプトに基づいて、監視対象装置５０Ａ～５０Ｎのカーネル実行パスの所定の位置にプローブポイントを設定し、当該プローブポイントからカーネルトレース情報を取得して監視サーバ装置１０に送信することになる。プローブポイントの設定の際、既存のオペレーションプログラムには手を加えない。

次に、カーネル調査部３３は、調査スクリプトを受信した監視対象装置５０Ａ～５０Ｎからのカーネルトレース情報を受信する（ステップＢ７）。

次に、カーネル調査部３３は、受信したカーネルトレース情報を管理端末４０に送信する（ステップＢ８）。なお、管理端末４０はカーネルトレース情報を受信すると当該カーネルトレース情報を表示して管理者がカーネルに異常があるか否かを確認することになる。管理者がカーネルに異常があると判断したときは、管理者の操作により管理端末４０から停止指示を監視サーバ装置１０に送信することになる。

次に、カーネル調査部３３は、停止指示を受信したか否かを判断する（ステップＢ９）。停止指示を受信していない場合（ステップＢ９のＮＯ）、ステップＢ１に戻る。

停止指示を受信した場合（ステップＢ９のＹＥＳ）、カーネル調査部３３は、調査スクリプトを受信した監視対象装置５０Ａ～５０Ｎに停止指示を送信し（ステップＢ１０）、その後、終了する。なお、該当する監視対象装置５０Ａ～５０Ｎが停止指示を受信すると動作を停止する。

以上のような監視システムは、図９のようなＯＴ系システムに適用することができる。図９では、監視対象装置群７０は、ネットワーク機器、操作端末、ＳＣＡＤＡ（Supervisory Control And Data Acquisition）サーバ、及び、複数のＰＬＣ（Programmable Logic Controller）となる。

図９のようなＯＴ系システムにおいて、監視サーバ装置１０は、管理端末４０からのモデル作成指示を受信すると（図１０のステップＣ１）、モデル作成モードを開始し、ログ設定情報をネットワーク機器及びＳＣＡＤＡサーバに送信する（図１０のステップＣ２）。ＳＣＡＤＡサーバは、ログ設定情報を受信すると、当該ログ設定情報を操作端末及びＰＬＣに送信する。これにより、操作端末及びＰＬＣは、ＳＣＡＤＡサーバを介してログを監視サーバ装置１０に送信し、ＳＣＡＤＡサーバ及びネットワーク機器もログを監視サーバ装置１０に送信する。監視サーバ装置１０は、ネットワーク機器、ＳＣＡＤＡサーバ、操作端末及びＰＬＣからの各ログを収集し（図１０のステップＣ３）、収集したログ数が予め設定された所定数以上であるか否かを判断する（図１０のステップＣ４）。ログ数が予め設定された所定数未満の場合、監視サーバ装置１０は、ステップＣ３のログの収集を行う。ログ数が予め設定された所定数以上の場合、監視サーバ装置１０は、モデルを作成し（ステップＣ５）、モデルの作成が完了すると作成完了通知を管理端末４０に送信し（ステップＣ６）、その後、モデル作成モードを終了する。

モデル作成モード終了後、監視サーバ装置１０は、管理端末４０からの運用開始指示を受信すると（図１１のステップＤ１）、ネットワーク機器、ＳＣＡＤＡサーバ、操作端末及びＰＬＣからの各ログ（カーネルトレース情報を除く）を収集する（図１１のステップＤ２）。操作端末及びＰＬＣの各ログはＳＣＡＤＡサーバを介して監視サーバ装置１０に送信され、ＳＣＡＤＡサーバ及びネットワーク機器の各ログは監視サーバ装置１０に送信される。監視サーバ装置１０は、収集したログを解析して（図１１のステップＤ３）、異常があるか否かを判定し（図１１のステップＤ４）、異常が無い場合はステップＤ２に戻り、異常が有る場合は調査スクリプトを生成する（図１１のステップＤ５）。ＰＬＣで異常が発生したと推定されると、監視サーバ装置１０は、生成された調査スクリプトを、ＳＣＡＤＡサーバを介してＰＬＣに送信する（図１１のステップＤ６）。ＰＬＣは、調査スクリプトを受信すると当該調査スクリプトに基づいてカーネルトレース情報を監視サーバ装置１０に送信し、監視サーバ装置１０は、ＰＬＣからのカーネルトレース情報を受信し（図１１のステップＤ７）、当該カーネルトレース情報を管理端末４０に送信する（図１１のステップＤ８）。管理端末４０でカーネルトレース情報を受信して表示することで管理者は異常が発生しているか否かを判断し、異常が発生している場合は管理端末４０から停止指示を送信し、異常がない場合は放置する。監視サーバ装置１０は、管理端末４０からの停止指示が有るか否かを判断し（図１１のステップＤ９）、停止指示が有る場合は停止指示を、ＳＣＡＤＡサーバを介してＰＬＣに送信し（図１１のステップＤ１０）、停止指示が無い場合はステップＤ２に戻る。

実施形態１によれば、運用時に監視対象装置５０Ａ～５０Ｎのログ（カーネルトレース情報を除く）を収集して異常を監視し、異常が発生したときに異常が有る監視対象装置５０Ａ～５０Ｎのカーネルトレース情報を取得して参照できるようにしているので、システムの定常的な動作を確保しつつ、カーネルレベルの動的監視を行うことに貢献することができる。すなわち、異常が発生したときにトレースするカーネルのプローブポイント及びタイミングのそれぞれを絞り込んで動的監視を行うことにより、ＣＰＵの処理負荷を軽減してシステムの定常的な動作を保証しつつ、カーネルやハードウェアに近い箇所の故障、原因究明、サイバー攻撃、システム改ざん等のセキュリティ対策を行うことができる。

［実施形態２］
実施形態２に係る監視サーバ装置について図面を用いて説明する。図１２は、実施形態２に係る監視サーバ装置の構成を模式的に示したブロック図である。

監視サーバ装置１０は、監視対象装置５０Ａ～５０Ｎを監視する装置である。監視サーバ装置１０は、運用時の監視対象装置５０Ａ～５０Ｎを監視する運用部３０を備える。運用部３０は、監視対象装置５０Ａ～５０Ｎのカーネルトレース情報以外の所定のログを収集する。運用部３０は、予め作成されたモデルを用いて監視対象装置５０Ａ～５０Ｎの異常を監視する。運用部３０は、異常が発生したときに、異常がある監視対象装置５０Ａ～５０Ｎにおけるカーネル空間に絞り込んで動的監視を実施する。

実施形態２によれば、運用時に監視対象装置５０Ａ～５０Ｎのログ（カーネルトレース情報を除く）を収集して異常を監視し、異常が発生したときに異常が有る監視対象装置５０Ａ～５０Ｎのカーネルトレース情報を取得しているので、システムの定常的な動作を確保しつつ、カーネルレベルの動的監視を行うことに貢献することができる。

なお、実施形態１、２に係る監視サーバ装置、管理端末は、いわゆるハードウェア資源（情報処理装置、コンピュータ）により構成することができ、図１３に例示する構成を備えたものを用いることができる。例えば、ハードウェア資源１００は、内部バス１０４により相互に接続される、プロセッサ１０１、メモリ１０２、ネットワークインタフェイス１０３等を備える。

なお、図１３に示す構成は、ハードウェア資源１００のハードウェア構成を限定する趣旨ではない。ハードウェア資源１００は、図示しないハードウェア（例えば、入出力インタフェイス）を含んでもよい。あるいは、装置に含まれるプロセッサ１０１等のユニットの数も図１３の例示に限定する趣旨ではなく、例えば、複数のプロセッサ１０１がハードウェア資源１００に含まれていてもよい。プロセッサ１０１には、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processor Unit）、ＧＰＵ（Graphics Processing Unit）等を用いることができる。

メモリ１０２には、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等を用いることができる。

ネットワークインタフェイス１０３には、例えば、ＬＡＮ（Local Area Network）カード、ネットワークアダプタ、ネットワークインタフェイスカード等を用いることができる。

ハードウェア資源１００の機能は、上述の処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ１０２に格納されたプログラムをプロセッサ１０１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能は、何らかのハードウェアにおいてソフトウェアが実行されることによって実現できればよい。

上記実施形態の一部または全部は以下の付記のようにも記載され得るが、以下には限られない。

［付記１］
運用時に、監視対象装置のカーネルトレース情報以外の所定のログを収集して、予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施するように構成された運用部を備える、監視サーバ装置。
［付記２］
前記運用部は、
前記監視対象装置の前記カーネルトレース情報以外の前記所定のログを収集するように構成されたログ収集部と、
前記モデルを用いて前記所定のログに異常が有るか否かを解析するように構成されたログ解析部と、
前記所定のログのいずれかに異常が有ると判断されたときに、異常が有る前記所定のログの発信元の前記監視対象装置に対してカーネル調査を実施するように構成されたカーネル調査部と、
を備える、
付記１記載の監視サーバ装置。
［付記３］
前記ログ解析部は、前記所定のログから特徴量を抽出して所定の数式を用いて異常度を算出し、前記異常度が前記モデルに設定された閾値以上であるか否かを判断するように構成されている、
付記２記載の監視サーバ装置。
［付記４］
前記カーネル調査部は、前記閾値以上の前記異常度に係る前記特徴量を含む前記所定のログの発信元に基づいて異常状態の影響範囲を推定し、前記異常状態の影響範囲に基づいて調査スクリプトを生成し、前記調査スクリプトを前記異常状態の影響範囲にある前記監視対象装置に送信し、前記調査スクリプトを受信した前記監視対象装置からのカーネルトレース情報を受信するように構成されている、
付記３記載の監視サーバ装置。
［付記５］
前記カーネル調査部は、さらに、前記カーネルトレース情報を管理端末に送信し、前記管理端末からの停止指示を受信したか否かを判断し、前記停止指示を受信すると、前記調査スクリプトを受信した前記監視対象装置に停止指示を送信するように構成されている、
付記４記載の監視サーバ装置。
［付記６］
運用前に、前記監視対象装置のカーネルトレース情報を含む各種のログを収集して、統計解析手法により、前記監視対象装置が定常か異常かの判断に用いるモデルを作成するように構成されたモデル作成部をさらに備え、
前記予め作成されたモデルは、前記モデル作成部で作成されたモデルである、
付記１乃至５のいずれか一に記載の監視サーバ装置。
［付記７］
前記モデル作成部は、
前記監視対象装置からの前記カーネルトレース情報を含む前記各種のログを収集するように構成されたログ収集部と、
前記各種のログに基づいて、統計解析手法により前記モデルを生成するように構成されたモデル生成部と、
を備える、
付記６記載の監視サーバ装置。
［付記８］
前記ログ収集部は、前記監視対象装置にログ設定情報を送信し、前記ログ設定情報を受信した前記監視対象装置からの前記カーネルトレース情報を含む前記各種のログを収集し、前記各種のログの数が所定数以上又はログ収集開始から所定期間以上であるか否かを判断するように構成されている、
付記７記載の監視サーバ装置。
［付記９］
前記モデル生成部は、前記各種のログに基づいて特徴量を抽出し、前記特徴量のうちカーネル動作と相関が強い特徴量に絞り込む相関分析を行い、前記各種のログのうちカーネルトレース情報を目的変数とし、かつ、絞り込んだ前記特徴量に係るログを説明変数とした多変量解析を行って異常度を算出し、前記異常度を時間変化で表したモデルを構築し、前記モデルに前記異常度の閾値を設定するように構成されている、
付記７又は８記載の監視サーバ装置。
［付記１０］
前記モデル生成部は、さらに、前記閾値が設定された前記モデルを、予め正常データと異常データが混在したデータセットを用意して、前記正常データと前記異常データに対する正しい判断のサンプル数が予め設定された所定数以上であり、かつ、前記モデルの最大ピークの値と閾値との差が予め設定された数値範囲内にあることを評価することによって検証するように構成されている、
付記９記載の監視サーバ装置。
［付記１１］
監視対象装置と、
管理端末と、
付記１乃至１０のいずれか一に記載の監視サーバ装置と、
を備える、監視システム。
［付記１２］
ハードウェア資源を用いて監視対象装置の動作を監視する監視方法であって、
運用時に、監視対象装置のカーネルトレース情報以外の所定のログを収集して、予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施するステップを含む、監視方法。
［付記１３］
監視対象装置の動作を監視する処理をハードウェア資源に実行させるプログラムであって、
運用時に、監視対象装置のカーネルトレース情報以外の所定のログを収集して、予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施する処理を前記ハードウェア資源に実行させる、プログラム。

なお、上記の特許文献の各開示は、本書に引用をもって繰り込み記載されているものとし、必要に応じて本発明の基礎ないし一部として用いることが出来るものとする。本発明の全開示（特許請求の範囲及び図面を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせないし選択（必要により不選択）が可能である。すなわち、本発明は、請求の範囲及び図面を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。また、本願に記載の数値及び数値範囲については、明記がなくともその任意の中間値、下位数値、及び、小範囲が記載されているものとみなされる。さらに、上記引用した文献の各開示事項は、必要に応じ、本願発明の趣旨に則り、本願発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれる（属する）ものと、みなされる。

１監視システム
１０監視サーバ装置
１１通信部
１２記憶部
１３制御部
２０モデル作成部
２１ログ収集部
２２モデル生成部
３０運用部
３１ログ収集部
３２ログ解析部
３３カーネル調査部
４０管理端末
５０、５０Ａ～５０Ｎ監視対象装置
５１プロセッサ
５２メモリ
５３ネットワークインタフェイス
５４デバイス
５５カーネル
５６Ａ～５６Ｍアプリケーション
６０ハードウェア
７０監視対象装置群
８０ネットワーク
１００ハードウェア資源
１０１プロセッサ
１０２メモリ
１０３ネットワークインタフェイス
１０４内部バス

Claims

監視対象装置のカーネルトレース情報を含む所定のログを収集して、前記カーネルトレース情報を目的変数とする多変量解析を行ってカーネル動作の異常を検知する予め作成されたモデルを備え、
運用時に、前記所定のログのうち前記監視対象装置のセンサ情報、性能（メトリクス）情報、イベント情報、のいずれかのログを収集して、前記予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施するように構成された運用部を備える、監視サーバ装置。
前記運用部は、
前記監視対象装置のセンサ情報、性能（メトリクス）情報、イベント情報、のいずれかの前記所定のログを収集するように構成されたログ収集部と、
前記モデルを用いて前記所定のログに異常が有るか否かを解析するように構成されたログ解析部と、
前記所定のログのいずれかに異常が有ると判断されたときに、異常が有る前記所定のログの発信元の前記監視対象装置に対してカーネル調査を実施するように構成されたカーネル調査部と、
を備える、
請求項１記載の監視サーバ装置。
前記ログ解析部は、前記所定のログから特徴量を抽出して所定の数式を用いて異常度を算出し、前記異常度が前記モデルに設定された閾値以上であるか否かを判断するように構成されている、
請求項２記載の監視サーバ装置。
前記カーネル調査部は、前記閾値以上の前記異常度に係る前記特徴量を含む前記所定のログの発信元に基づいて異常状態の影響範囲を推定し、前記異常状態の影響範囲に基づいて調査スクリプトを生成し、前記調査スクリプトを前記異常状態の影響範囲にある前記監視対象装置に送信し、前記調査スクリプトを受信した前記監視対象装置からのカーネルトレース情報を受信するように構成されている、
請求項３記載の監視サーバ装置。
前記カーネル調査部は、さらに、前記カーネルトレース情報を管理端末に送信し、前記管理端末からの停止指示を受信したか否かを判断し、前記停止指示を受信すると、前記調査スクリプトを受信した前記監視対象装置に停止指示を送信するように構成されている、
請求項４記載の監視サーバ装置。
運用前に、前記監視対象装置のカーネルトレース情報を含む各種のログを収集して、統計解析手法により、前記監視対象装置が定常か異常かの判断に用いるモデルを作成するように構成されたモデル作成部をさらに備え、
前記予め作成されたモデルは、前記モデル作成部で作成されたモデルである、
請求項１乃至５のいずれか一に記載の監視サーバ装置。
前記モデル作成部は、
前記監視対象装置からの前記カーネルトレース情報を含む前記各種のログを収集するように構成されたログ収集部と、
前記各種のログに基づいて、統計解析手法により前記モデルを生成するように構成されたモデル生成部と、
を備える、
請求項６記載の監視サーバ装置。
前記ログ収集部は、前記監視対象装置にログ設定情報を送信し、前記ログ設定情報を受信した前記監視対象装置からの前記カーネルトレース情報を含む前記各種のログを収集し、前記各種のログの数が所定数以上又はログ収集開始から所定期間以上であるか否かを判断するように構成されている、
請求項７記載の監視サーバ装置。
前記モデル生成部は、前記各種のログに基づいて特徴量を抽出し、前記特徴量のうちカーネル動作と相関が強い特徴量に絞り込む相関分析を行い、前記各種のログのうちカーネルトレース情報を目的変数とし、かつ、絞り込んだ前記特徴量に係るログを説明変数とした多変量解析を行って異常度を算出し、前記異常度を時間変化で表したモデルを構築し、前記モデルに前記異常度の閾値を設定するように構成されている、
請求項７又は８記載の監視サーバ装置。
前記モデル生成部は、さらに、前記閾値が設定された前記モデルを、予め正常データと異常データが混在したデータセットを用意して、前記正常データと前記異常データに対する正しい判断のサンプル数が予め設定された所定数以上であり、かつ、前記モデルの最大ピークの値と閾値との差が予め設定された数値範囲内にあることを評価することによって検証するように構成されている、
請求項９記載の監視サーバ装置。
監視対象装置と、
管理端末と、
請求項１乃至１０のいずれか一に記載の監視サーバ装置と、
を備える、監視システム。
ハードウェア資源を用いて監視対象装置の動作を監視する監視方法であって、
前記ハードウェア資源が監視対象装置のカーネルトレース情報を含む所定のログを収集して、前記カーネルトレース情報を目的変数とする多変量解析を行ってカーネル動作の異常を検知するモデルを予め作成し、
運用時に、前記ハードウェア資源が前記所定のログのうち前記監視対象装置のセンサ情報、性能（メトリクス）情報、イベント情報、のいずれかのログを収集して、前記予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施するステップを含む、監視方法。
監視対象装置の動作を監視する処理をハードウェア資源に実行させるプログラムであって、
監視対象装置のカーネルトレース情報を含む所定のログを収集して、前記カーネルトレース情報を目的変数とする多変量解析を行ってカーネル動作の異常を検知するモデルを予め作成する処理と、
運用時に、前記所定のログのうち前記監視対象装置のセンサ情報、性能（メトリクス）情報、イベント情報、のいずれかのログを収集して、前記予め作成されたモデルを用いて前記監視対象装置の異常を監視し、異常が発生したときに、異常がある前記監視対象装置におけるカーネル空間に絞り込んで動的監視を実施する処理を前記ハードウェア資源に実行させる、プログラム。