[0001]本発明は、異常検知方法及び異常検知プログラムに関する。
[0002]近年、物理マシンにおいて生成したコンテナや仮想マシン（ＶＭ：Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）等の貸し出しを行うクラウドサービスの提供が行われている。
[0003]具体的に、クラウドサービスの提供を行う事業者（以下、単にクラウド事業者とも呼ぶ）は、例えば、情報処理システムの構築を行う利用者（以下、単にクラウド利用者とも呼ぶ）に対して仮想マシンやコンテナ（以下、仮想マシン等とも呼ぶ）の貸し出しを行う。そして、クラウド利用者は、クラウド事業者から借り受けた仮想マシン等において構築した情報処理システムを稼働させることによって、例えば、サービスを利用する利用者（以下、サービス利用者とも呼ぶ）に対して各種サービスの提供を行う。
[0004]ここで、上記のようなクラウドサービスの提供が行われる場合、クラウド事業者は、安定的なサービスの提供を行う観点から、例えば、仮想マシン等がパケットの送受信を行う際に用いる仮想インフラについての監視を行う。
[0005]具体的に、クラウド事業者は、例えば、正常な振る舞いから逸脱した振る舞いを異常として検知するアノマリ検知を行うことによって、仮想インフラにおいて発生した異常の検知を行う（例えば、特許文献１参照）。
[0006]国際公開第２０１９／１４２３３１号
[0007]上記のような仮想インフラについてのアノマリ検知を行う場合、受信スレッドが動作する情報処理装置（以下、単に情報処理装置とも呼ぶ）は、例えば、正常な状態における受信スレッドの挙動と、情報処理装置（自装置）に搭載された物理ネットワークインタフェースカード（以下、物理ＮＩＣとも呼ぶ）において発生したパケットロス数との相関関係（以下、単に相関関係とも呼ぶ）を予め学習する。そして、情報処理装置は、例えば、現在の相関関係が予め学習した相関関係の範囲から逸脱していると判定した場合、受信スレッドにおいて異常が発生しているものと判定する。
[0008]ここで、情報処理装置に搭載された物理ＮＩＣがマルチキューに対応する物理ＮＩＣ（マルチキュー対応ＮＩＣ）である場合、情報処理装置は、例えば、各キューに対応する受信スレッドごとにアノマリ検知を行うことが好ましい。
[0009]しかしながら、受信スレッドや物理ＮＩＣから取得可能な情報には、受信スレッドごとのアノマリ検知を行うために必要な全ての情報が含まれていない。そのため、情報処理装置は、情報処理装置に搭載された物理ＮＩＣがマルチキュー対応ＮＩＣである場合、受信スレッドにおける異常検知を精度良く行うことができない。
[0010]そこで、一つの側面では、本発明は、マルチキューに対応する物理ＮＩＣが用いられている場合であっても受信スレッドの異常の検知を精度良く行うことを可能とする異常検知方法及び異常検知プログラムを提供することを目的とする。
[0011]実施の形態の一態様では、パケットの受信を行う複数のプロセスのそれぞれが待機状態にあった第１時間、または、前記複数のプロセスが受信を行うパケットが格納された複数のキューのそれぞれにおけるパケットの到着頻度に基づいて、前記複数のキューのそれぞれにおけるパケットロスの発生度合いを算出し、算出した前記発生度合いに基づいて、前記複数のキューを有する通信装置において発生したパケットロス数を前記複数のキューのそれぞれに分配し、前記複数のプロセスごとに、各プロセスにおける動作状態と、前記複数のキューのうちの各プロセスに対応するキューに分配した前記パケットロス数との対応関係に基づいて、前記複数のプロセスのそれぞれにおける異常発生の有無を判定する、処理をコンピュータに実行させる。
[0012]一つの側面によれば、マルチキューに対応する物理ＮＩＣが用いられている場合であっても受信スレッドの異常の検知を精度良く行うことを可能とする。
[0013]図１は、情報処理システム１０の構成について説明する図である。 図２は、情報処理装置１の構成の具体例について説明する図である。 図３は、受信スレッド１２のアノマリ検知の具体例について説明する図である。 図４は、受信スレッド１２のそれぞれについてのアノマリ検知を行う場合の具体例を説明する図である。 図５は、情報処理装置１のハードウエア構成を説明する図である。 図６は、情報処理装置１の機能のブロック図である。 図７は、第１の実施の形態における異常検知処理の概略を説明するフローチャート図である。 図８は、第１の実施の形態における異常検知処理の詳細を説明するフローチャート図である。 図９は、第１の実施の形態における異常検知処理の詳細を説明するフローチャート図である。 図１０は、第１の実施の形態における異常検知処理の詳細を説明するフローチャート図である。 図１１は、合計待機時間情報１３１、回数情報１３２及び平均待機時間情報１３３の具体例について説明する図である。 図１２は、第１の実施の形態における異常検知処理の詳細を説明する図である。 図１３は、実行時間情報１３４及び到着数情報１３５の具体例について説明する図である。 図１４は、到着頻度情報１３６の具体例を説明する図である。 図１５は、第１の実施の形態における異常検知処理の詳細を説明する図である。 図１６は、発生度合情報１３７の具体例について説明する図である。 図１７は、第１の実施の形態における異常検知処理の詳細を説明する図である。 図１８は、合計ロス数情報１３８及びロス数情報１３９の具体例を説明する図である。
[0014]［情報処理システムの構成］ 初めに、情報処理システム１０の構成について説明を行う。図１は、情報処理システム１０の構成について説明する図である。
[0015]図１に示す情報処理システム１０は、情報処理装置１と、クラウド事業者が必要な情報の入力等を行う操作端末２とを有する。操作端末２は、インターネット等のネットワークＮＷを介して情報処理装置１とアクセスが可能である。
[0016]情報処理装置１では、例えば、クラウド事業者が管理する１以上の物理マシンであって、クラウド利用者に貸し出しを行う仮想マシン等（図示しない）が動作する。そして、クラウド利用者は、クラウド事業者から借り受けた仮想マシン等を用いることによって、サービス事業者に対して各種サービスの提供を行う。
[0017]また、情報処理装置１は、クラウドサービスの安定的な提供を行う観点から、アノマリ検知を行うことによって仮想インフラについての監視を行う。具体的に、情報処理装置１は、例えば、アノマリ検知を行うことによって受信スレッドの挙動についての監視を行う。以下、情報処理装置１の構成の具体例について説明を行う。
[0018]［情報処理装置の構成の具体例］ 図２は、情報処理装置１の構成の具体例について説明する図である。
[0019]図２に示す例において、情報処理装置１に取り付けられた物理ＮＩＣ１３は、パケットを格納するＲＩＮＧバッファであるキュー１４ａ、１４ｂ及び１４ｃ（以下、これらを総称してキュー１４とも呼ぶ）を有する。
[0020]また、物理ＮＩＣ１３では、外部（例えば、ネットワークＮＷ）から送信されたパケットを受信する処理である受信処理１４ｄと、受信処理１４ｄにおいて受信したパケットの振り分けを行う振分処理１４ｅとが実行される。さらに、物理ＮＩＣ１３では、振分処理１４ｅにおいて振り分けられたパケットをキュー１４ａ、１４ｂ及び１４ｃのそれぞれに格納するエンキュー処理１４ｆ、１４ｇ及び１４ｈが実行される。なお、図２に示す例において、エンキュー処理１４ｆは、キュー１４ａにパケットを格納する処理であり、エンキュー処理１４ｇは、キュー１４ｂにパケットを格納する処理であり、エンキュー処理１４ｈは、キュー１４ｃにパケットを格納する処理である。
[0021]また、図２に示す例において、情報処理装置１におけるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）１１では、キュー１４ａ、１４ｂ及び１４ｃに格納されたパケットを取り出して宛先の仮想マシン等に転送するプロセスである受信スレッド１２ａ、１２ｂ及び１２ｃ（以下、これらを総称して受信スレッド１２とも呼ぶ）が動作する。図２に示す例において、受信スレッド１２ａは、キュー１４ａに格納されたパケットを取り出し、受信スレッド１２ｂは、キュー１４ｂに格納されたパケットを取り出し、受信スレッド１２ｃは、キュー１４ｃに格納されたパケットを取り出す。
[0022]すなわち、図２に示す物理ＮＩＣ１３は、３つのキューを有するマルチキュー対応ＮＩＣである。そのため、情報処理装置１は、この場合、ＯＳ１１において受信スレッド１２ａ、１２ｂ及び１２ｃを並行して動作させることによって、外部から送信されたパケットの受信に伴う処理を高速に行う。
[0023]ここで、情報処理装置１は、上記のようにマルチキュー対応ＮＩＣである物理ＮＩＣ１３を有する場合、受信スレッド１２に対して行うアノマリ検知を受信スレッド１２ごとに行うことが好ましい。以下、受信スレッド１２のアノマリ検知の具体例について説明を行う。
[0024]［受信スレッドのアノマリ検知の具体例］ 図３及び図４は、受信スレッド１２のアノマリ検知の具体例について説明する図である。具体的に、図３は、受信スレッド１２の全体としてのアノマリ検知を行う場合の具体例を説明する図であり、図４は、受信スレッド１２のそれぞれについてのアノマリ検知を行う場合の具体例を説明する図である。
[0025]図３等に示すグラフは、横軸がパケットロス数を示し、縦軸が受信スレッド１２の挙動を示す値を示している。また、図３等に示す例において、直線ＣＣは、正常な状態における受信スレッド１２の挙動と物理ＮＩＣ１３におけるパケットロス数との相関関係の学習によって特定された直線である。さらに、図３等に示す例において、直線ＣＣａは、相関関係が正常であると判断できる範囲の上限を示す直線であり、直線ＣＣｂは、相関関係が正常であると判断できる範囲の下限を示す直線である。
[0026]具体的に、図３に示す例において、受信スレッド１２の全体として挙動を示す値（各受信スレッド１２についての挙動を示す値の合算値）と物理ＮＩＣ１３の全体において発生したパケットロス数とに対応する点Ｐ１２は、直線ＣＣａと直線ＣＣｂとの間の領域に含まれている。そのため、情報処理装置１は、この場合、受信スレッド１２において異常が発生していないものと判定する。
[0027]一方、図４に示す例において、受信スレッド１２ａの挙動を示す値とキュー１４ａにおいて発生したパケットロス数とに対応する点Ｐ１２ａと、受信スレッド１２ｃの挙動を示す値とキュー１４ｃにおいて発生したパケットロス数とに対応する点Ｐ１２ｃとは、直線ＣＣａと直線ＣＣｂとの間の領域に含まれているが、受信スレッド１２ｂの挙動を示す値とキュー１４ｂにおいて発生したパケットロス数とに対応する点Ｐ１２ｂは、直線ＣＣａと直線ＣＣｂとの間の領域に含まれていない。そのため、情報処理装置１は、この場合、受信スレッド１２ｂにおいて異常が発生しているものと判定する。
[0028]すなわち、図３で説明したように、受信スレッド１２の全体としてのアノマリ検知を行う場合、受信スレッド１２の一部において発生している異常の検知ができない可能性がある。そのため、情報処理装置１は、図２に示すようにマルチキュー対応ＮＩＣである物理ＮＩＣ１３を有する場合、受信スレッド１２の全体としてのアノマリ検知を行うよりも、受信スレッド１２ごとにアノマリ検知を行う方が好ましい。
[0029]しかしながら、ＯＳ１１や物理ＮＩＣ１３から取得可能な情報には、受信スレッド１２ごとのアノマリ検知を行うために必要な全ての情報が含まれていない。具体的に、情報処理装置１は、例えば、キュー１４のそれぞれにおいて発生したパケットロス数を取得することができない。
[0030]そのため、情報処理装置１は、受信スレッド１２ごとのアノマリ検知を行うことができず、受信スレッド１２における異常検知を精度良く行うことができない場合がある。
[0031]そこで、本実施の形態における情報処理装置１は、複数の受信スレッド１２のそれぞれが待機状態にあった時間（以下、第１時間とも呼ぶ）、または、複数の受信スレッド１２が受信を行うパケットが格納された複数のキュー１４のそれぞれにおけるパケットの到着頻度に基づいて、複数のキュー１４のそれぞれにおけるパケットロスの発生度合い（パケットロスの発生し易さ）を算出する。
[0032]そして、情報処理装置１は、算出した発生度合いに基づいて、複数のキュー１４が動作する物理ＮＩＣ１３において発生したパケットロス数を複数のキュー１４のそれぞれに分配する。
[0033]その後、情報処理装置１は、複数の受信スレッド１２ごとに、各受信スレッド１２における動作状態と、複数のキュー１４のうちの各プロセスに対応するキュー１４に分配したパケットロス数との対応関係に基づいて、複数の受信スレッド１２における異常発生の有無を判定する。
[0034]すなわち、本実施の形態における情報処理装置１は、ＯＳ１１や物理ＮＩＣ１３から取得可能な情報から、各キュー１４において発生したパケットロス数を推測する。具体的に、情報処理装置１は、例えば、ＯＳ１１から取得可能な情報と、物理ＮＩＣ１３から取得可能な情報とを組み合わることによって、各キュー１４において発生したパケットロス数の推測を行う。そして、情報処理装置１は、各キュー１４におけるパケットロス数の推測値を用いることによって、受信スレッド１２ごとにアノマリ検知を行う。
[0035]これにより、本実施の形態における情報処理装置１は、マルチキューに対応する物理ＮＩＣ１３が用いられている場合であっても、アノマリ検知を受信スレッド１２ごとに行うことが可能になる。そのため、情報処理装置１は、受信スレッド１２における異常検知を精度良く行うことが可能になる。
[0036]［情報処理システムのハードウエア構成］ 次に、情報処理システム１０のハードウエア構成について説明する。図５は、情報処理装置１のハードウエア構成を説明する図である。
[0037]情報処理装置１は、図５に示すように、プロセッサであるＣＰＵ１０１と、メモリ１０２と、通信装置１０３と、記憶媒体１０４とを有する。各部は、バス１０５を介して互いに接続される。
[0038]記憶媒体１０４は、例えば、受信スレッド１２ごとにアノマリ検知を行う処理（以下、異常検知処理とも呼ぶ）を行うためのプログラム１１０を記憶するプログラム格納領域（図示しない）を有する。また、記憶媒体１０４は、例えば、異常検知処理を行う際に用いられる情報を記憶する情報格納領域１３０を有する。なお、記憶媒体１０４は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）であってよい。
[0039]ＣＰＵ１０１は、記憶媒体１０４からメモリ１０２にロードされたプログラム１１０を実行して異常検知処理を行う。
[0040]また、通信装置１０３は、例えば、ネットワークＮＷを介して操作端末２との通信を行う。
[0041]［情報処理システムの機能］ 次に、情報処理システム１０の機能について説明を行う。図６は、情報処理装置１の機能のブロック図である。
[0042]情報処理装置１は、図６に示すように、例えば、ＣＰＵ１０１やメモリ１０２等のハードウエアとプログラム１１０とが有機的に協働することにより、情報取得部１１１と、度合算出部１１２と、ロス数分配部１１３と、条件判定部１１４と、情報出力部１１５とを含む各種機能を実現する。
[0043]また、情報処理装置１は、例えば、図６に示すように、合計待機時間情報１３１と、回数情報１３２と、平均待機時間情報１３３と、実行時間情報１３４と、到着数情報１３５と、到着頻度情報１３６と、発生度合情報１３７と、合計ロス数情報１３８と、ロス数情報１３９と、判定結果情報１４０とを情報格納領域１３０に記憶する。
[0044]情報取得部１１１は、ＯＳ１１（受信スレッド１２のそれぞれ）から、所定時間内において受信スレッド１２のそれぞれが待機状態にあった時間の合計時間を示す合計待機時間情報１３１を取得する。所定時間は、例えば、３分等の時間であってよい。
[0045]また、情報取得部１１１は、ＯＳ１１（受信スレッド１２のそれぞれ）から、所定期間内において受信スレッド１２のそれぞれが実行状態から待機状態に切替えられた回数を示す回数情報１３２を取得する。
[0046]また、情報取得部１１１は、ＯＳ１１（受信スレッド１２のそれぞれ）から、所定期間内において受信スレッド１２のそれぞれが実行状態にあった実行時間（以下、第２時間とも呼ぶ）を示す実行時間情報１３４を取得する。
[0047]また、情報取得部１１１は、物理ＮＩＣ１３から、情報処理装置１の外部から物理ＮＩＣ１３に到着したパケットの総数を示す到着数情報１３５を取得する。
[0048]また、情報取得部１１１は、物理ＮＩＣ１３から、物理ＮＩＣ１３において発生したパケットロス数を示す合計ロス数情報１３８を取得する。
[0049]度合算出部１１２は、受信スレッド１２ごとに、各受信スレッド１２に対応する合計待機時間情報１３１が示す合計時間を、各受信スレッド１２に対応する回数情報１３２が示す回数で除算することによって算出された平均待機時間情報１３３を取得する。すなわち、平均待機時間情報１３３は、各受信スレッド１２が実行状態から待機状態に切り替わった場合における待機時間の平均時間を示す情報である。
[0050]また、度合算出部１１２は、受信スレッド１２ごとに、各受信スレッドに対応する実行時間情報１３４が示す実行時間を、全ての受信スレッド１２に対応する実行時間情報１３４が示す実行時間の合計値で除算することによって算出された割合を取得する。そして、度合算出部１１２は、キュー１４ごとに、各キュー１４に対応する受信スレッド１２の割合と、到着数情報１３５が示すパケットの総数との積を、各キュー１４におけるパケットの到着頻度を示す到着頻度情報１３６として取得する。
[0051]また、度合算出部１１２は、キュー１４ごとに、各キュー１４に対応する受信スレッド１２についての平均待機時間情報１３３が示す平均時間、または、各キュー１４における到着頻度情報１３６が示す到着頻度に基づいて、各キュー１４におけるパケットロスの発生度合い（パケットロスの発生し易さ）を示す発生度合情報１３７として取得する。
[0052]具体的に、度合算出部１１２は、例えば、キュー１４ごとに、各キュー１４に対応する受信スレッド１２についての平均待機時間情報１３３が示す平均時間と、各キュー１４における到着頻度情報１３６が示す到着頻度との積を、各キュー１４におけるパケットロスの発生度合いを示す発生度合情報１３７として取得する。
[0053]ロス数分配部１１３は、キュー１４ごとに、各キュー１４に対応する発生度合情報１３７が示す発生度合いを、全てのキュー１４に対応する発生度合情報１３７が示す発生度合いの合計値で除算することによって算出された割合を取得する。そして、ロス数分配部１１３は、キュー１４ごとに、各キュー１４に対応する割合と、合計ロス数情報１３８が示すパケットロス数との積を、各キュー１４に対応するパケットロス数（パケットロス数の推測値）を示すロス数情報１３９として取得する。
[0054]条件判定部１１４は、受信スレッド１２ごとに、各受信スレッド１２における動作状態と、各受信スレッド１２に対応するキュー１４のパケットロス数（ロス数情報１３９に対応するパケットロス数）との対応関係に基づいて、各受信スレッド１２における異常発生の有無を判定する。
[0055]情報出力部１１５は、例えば、条件判定部１１４によって行われた判定の結果を示す判定結果情報１４０を操作端末２に出力する。
[0056]なお、情報取得部１１１、度合算出部１１２、ロス数分配部１１３、条件判定部１１４及び情報出力部１１５のそれぞれは、ＯＳ１１の機能であってもよいし、ＯＳ１１上において動作するアプリケーションの機能であってもよい。
[0057]［第１の実施の形態の概略］ 次に、第１の実施の形態の概略について説明する。図７は、第１の実施の形態における異常検知処理の概略を説明するフローチャート図である。
[0058]情報処理装置１は、図７に示すように、異常検知タイミングになるまで待機する（Ｓ１０１のＮＯ）。異常検知タイミングは、例えば、事業者が異常検知処理を行う旨の情報を情報処理装置１に入力したタイミングであってよい。また、異常検知タイミングは、例えば、１０分等の所定時間ごとであってもよい。
[0059]そして、異常検知タイミングになった場合（Ｓ１０１のＹＥＳ）、情報処理装置１は、複数の受信スレッド１２のそれぞれが待機状態にあった時間、または、複数の受信スレッド１２のそれぞれが受信を行うパケットが格納された複数のキュー１４のそれぞれにおけるパケットの到着頻度に基づいて、複数のキュー１４のそれぞれにおけるパケットロスの発生度合いを算出する（Ｓ１０２）。
[0060]続いて、情報処理装置１は、Ｓ１０２の処理で算出した発生度合いに基づいて、複数のキュー１４が動作する物理ＮＩＣ１３において発生したパケットロス数を複数のキュー１４のそれぞれに分配する（Ｓ１０３）。
[0061]その後、情報処理装置１は、複数の受信スレッド１２のそれぞれについて、各受信スレッド１２における動作状態と、各受信スレッド１２に対応するキュー１４のパケットロス数との対応関係が所定の条件を満たすか否かを判定する（Ｓ１０４）。
[0062]すなわち、本実施の形態における情報処理装置１は、ＯＳ１１や物理ＮＩＣ１３から取得可能な情報から、各キュー１４において発生したパケットロス数を推測する。具体的に、情報処理装置１は、例えば、ＯＳ１１から取得可能な情報と、物理ＮＩＣ１３から取得可能な情報とを組み合わることによって、各キュー１４において発生したパケットロス数の推測を行う。そして、情報処理装置１は、各キュー１４におけるパケットロス数の推測値を用いることによって、受信スレッド１２ごとにアノマリ検知を行う。
[0063]これにより、本実施の形態における情報処理装置１は、マルチキューに対応する物理ＮＩＣ１３が用いられている場合であっても、アノマリ検知を受信スレッド１２ごとに行うことが可能になる。そのため、情報処理装置１は、受信スレッド１２における異常検知を精度良く行うことが可能になる。
[0064]［第１の実施の形態の詳細］ 次に、第１の実施の形態の詳細について説明する。図８から図１０は、第１の実施の形態における異常検知処理の詳細を説明するフローチャート図である。また、図１１から図１８は、第１の実施の形態における異常検知処理の詳細を説明する図である。
[0065]なお、以下、受信スレッド１２の全てについて異常検知を行う場合について説明を行うが、受信スレッド１２のうちのいずれか（例えば、事業者によって指定された受信スレッド１２）についてのみ異常検知を行うものであってもよい。
[0066]情報処理装置１の情報取得部１１１は、図８に示すように、異常検知タイミングになるまで待機する（Ｓ１１のＮＯ）。
[0067]そして、異常検知タイミングになった場合（Ｓ１１のＹＥＳ）、情報取得部１１１は、ＯＳ１１（複数の受信スレッド１２のそれぞれ）から、所定時間内において受信スレッド１２のそれぞれが待機状態にあった時間の合計時間を示す合計待機時間情報１３１を取得する（Ｓ１２）。
[0068]また、情報取得部１１１は、この場合、ＯＳ１１（複数の受信スレッド１２のそれぞれ）から、所定期間内において受信スレッド１２のそれぞれが実行状態から待機状態に切替えられた回数を示す回数情報１３２を取得する（Ｓ１３）。
[0069]また、情報取得部１１１は、この場合、ＯＳ１１（複数の受信スレッド１２のそれぞれ）から、所定期間内において受信スレッド１２のそれぞれが実行状態にあった実行時間を示す実行時間情報１３４を取得する（Ｓ１４）。
[0070]また、情報取得部１１１は、この場合、物理ＮＩＣ１３から、情報処理装置１の外部から物理ＮＩＣ１３に到着したパケットの総数を示す到着数情報１３５を取得する（Ｓ１５）。
[0071]さらに、情報取得部１１１は、この場合、物理ＮＩＣ１３から、物理ＮＩＣ１３におけるパケットロス数を示す合計ロス数情報１３８を取得する（Ｓ１６）。
[0072]そして、情報処理装置１の度合算出部１１２は、図９に示すように、複数の受信スレッド１２ごとに、Ｓ１２の処理で取得した合計待機時間情報１３１が示す合計時間を、Ｓ１３の処理で取得した回数情報１３２が示す回数で除算することによって、各受信スレッド１２が実行状態から待機状態に切り替わった場合における待機時間の平均時間を示す平均待機時間情報１３３を取得する（Ｓ２１）。以下、Ｓ２１の処理の具体例について説明を行う。
[0073]［Ｓ２１の処理の具体例］ 図１１は、合計待機時間情報１３１、回数情報１３２及び平均待機時間情報１３３の具体例について説明する図である。図１１（Ａ）は、合計待機時間情報１３１の具体例を説明する図であり、図１１（Ｂ）は、回数情報１３２の具体例を説明する図であり、図１１（Ｃ）は、平均待機時間情報１３３の具体例を説明する図である。なお、図１１（Ａ）及び（Ｂ）に示す合計待機時間情報１３１及び回数情報１３２は、受信スレッド１２のうちの１つについて取得した情報の具体例であり、図１１（Ｃ）に示す平均待機時間情報１３３は、受信スレッド１２のうちの１つについて算出した情報の具体例である。
[0074]具体的に、図１１（Ａ）に示す合計待機時間情報１３１には、「３．４３（ｍｓ）」が設定されており、図１１（Ｂ）に示す回数情報１３２には、「２．９（回）」が設定されている。
[0075]そのため、度合算出部１１２は、この場合、図１１（Ｃ）に示すように、「３．４３（ｍｓ）」を「２．９（回）」で除算することによって算出される「１．４４（ｍｓ）」を、平均待機時間情報１３３として取得する。
[0076]図９に戻り、度合算出部１１２は、Ｓ１４の処理で取得した実行時間情報１３４が示す実行時間の合計時間を算出する（Ｓ２２）。
[0077]そして、度合算出部１１２は、複数の受信スレッド１２ごとに、Ｓ１４の処理で取得した実行時間情報１３４が示す実行時間を、Ｓ２２の処理で算出した合計時間で除算することによって算出した割合を取得する（Ｓ２３）。
[0078]その後、度合算出部１１２は、複数のキュー１４ごとに、Ｓ２３の処理で取得した各キュー１４に対応する受信スレッド１２の割合と、Ｓ１５の処理で取得した到着数情報１３５が示すパケットの総数との積を、各キュー１４における到着頻度を示す到着頻度情報１３６として算出する（Ｓ２４）。
[0079]すなわち、実行時間が他の受信スレッド１２よりも長い受信スレッド１２は、他の受信スレッド１２よりも多くのパケットの処理を行っていると判断することが可能である。そのため、他の受信スレッド１２よりも多くのパケットの処理を行っている受信スレッド１２に対応するキュー１４には、他のキュー１４よりも多くのパケットが到着していると判断することが可能である。
[0080]具体的に、図１２に示すように、例えば、受信スレッド１２ａ、１２ｂ及び１２ｃのそれぞれの実行時間が「Ｗ １ 」、「Ｗ ２ 」及び「Ｗ ３ 」であって、かつ、「Ｗ ３ 」、「Ｗ ２ 」及び「Ｗ １ 」の順に長い時間に対応する場合、パケットの到着数の順序は、キュー１４ｃ、１４ｂ及び１４ａの順になる。
[0081]したがって、度合算出部１１２は、例えば、各キュー１４におけるパケットの到着数の比が各受信スレッド１２における実行時間の長さの比と等しくなるように、物理ＮＩＣ１３におけるパケットの到着数を各キュー１４に配分する。
[0082]具体的に、図１２に示すように、例えば、物理ＮＩＣ１３におけるパケットの到着数が「Ｎ（個）」である場合、度合算出部１１２は、キュー１４ａ、１４ｂ及び１４ｃのそれぞれにおけるパケットの到着数である「ｎ １ 」、「ｎ ２ 」及び「ｎ ３ 」の比が「Ｗ １ 」、「Ｗ ２ 」及び「Ｗ ３ 」の比と等しくなるように、「ｎ １ 」、「ｎ ２ 」及び「ｎ ３ 」のそれぞれを算出する。
[0083]これにより、度合算出部１１２は、各キュー１４におけるパケットの到着数を推測することが可能になる。
[0084]なお、度合算出部１１２は、Ｓ２３の処理で取得した各キュー１４に対応する受信スレッド１２の割合と、Ｓ１５の処理で取得した到着数情報１３５が示すパケットの総数との積を、Ｓ１２等の処理において用いた所定時間でさらに除算することによって、到着頻度情報１３６の算出を行うものであってもよい。以下、Ｓ２４の処理の具体例について説明を行う。
[0085]［Ｓ２４の処理の具体例］ 図１３は、実行時間情報１３４及び到着数情報１３５の具体例について説明する図である。図１３（Ａ）は、実行時間情報１３４の具体例を説明する図であり、図１３（Ｂ）は、到着数情報１３５の具体例を説明する図である。また、図１４は、到着頻度情報１３６の具体例を説明する図である。
[0086]具体的に、図１３（Ａ）に示す実行時間情報１３４において、受信スレッド１２ａの実行時間を示す「実行時間１２ａ」には、「２２４（ｍｓ）」が設定されており、「実行時間１２ｂ」には、「２４８（ｍｓ）」が設定されており、「実行時間１２ｃ」には、「２２６（ｍｓ）」が設定されている。また、図１３（Ｂ）に示す到着数情報１３５には、「１３４８９０（個）」が設定されている。
[0087]そのため、度合算出部１１２は、Ｓ２２の処理において、受信スレッド１２ａの実行時間である「２２４（ｍｓ）」と、受信スレッド１２ｂの実行時間である「２４８（ｍｓ）」と、受信スレッド１２ｃの実行時間である「２２６（ｍｓ）」との合計である「６９８（ｍｓ）」を算出する。
[0088]そして、度合算出部１１２は、Ｓ２３及びＳ２４の処理において、例えば、受信スレッド１２ａの実行時間である「２４８（ｍｓ）」を、Ｓ２２の処理で算出した合計値である「６９８（ｍｓ）」で除算し、さらに、到着数情報１３５が示す「１３４８９０（個）」を乗算することによって算出した「４３２８８（個）」を、受信スレッド１２ａに対応するキュー１４ａの到着頻度として算出する。
[0089]その後、度合算出部１１２は、例えば、図１４に示すように、キュー１４ａの到着頻度を示す「到着頻度１４ａ」に「４３２８８（個）」を設定する。
[0090]図９に戻り、度合算出部１１２は、複数のキュー１４ごとに、Ｓ２１の処理で取得した各キュー１４に対応する受信スレッド１２の平均待機時間情報１３３が示す平均時間と、Ｓ２４の処理で算出した各キュー１４に対応する到着頻度情報１３６が示す到着頻度との積を、各キュー１４におけるパケットロスの発生度合いを示す発生度合情報１３７として算出する（Ｓ２５）。
[0091]すなわち、図１５に示すように、受信スレッド１２の状態が実行状態にある場合、キュー１４に格納されているパケットは、受信スレッド１２によって取り出される。そのため、キュー１４では、この場合、到着したパケットの蓄積が行われない。
[0092]一方、図１５に示すように、受信スレッド１２の状態が待機状態にある場合、キュー１４に格納されたパケットは、受信スレッド１２によって取り出されない。そのため、キュー１４では、この場合、到着したパケットが順次蓄積される。
[0093]そして、例えば、受信スレッド１２の状態が待機状態にある間において、キュー１４における許容量を超えるパケットが到着した場合、キュー１４では、新たに到着したパケットについてのパケットロスが発生する。
[0094]したがって、キュー１４におけるパケットロスは、受信スレッド１２の待機時間が長いほど発生し易いものと判断できる。また、キュー１４におけるパケットロスは、キュー１４におけるパケットの到着頻度（到着数）が高いほど発生し易いと判断できる。
[0095]そのため、度合算出部１１２は、例えば、各キュー１４に対応する平均待機時間情報１３３が示す平均時間と、各キュー１４に対応する到着頻度情報１３６が示す到着頻度との積を、各キューにおけるパケットロスの発生度合い（パケットロスの発生し易さ）として算出する。
[0096]これにより、度合算出部１１２は、ＯＳ１１や物理ＮＩＣ１３から十分な情報が取得できない場合であっても、各キュー１４におけるパケットロスの発生度合いを推測することが可能になる。以下、Ｓ２５の処理の具体例について説明を行う。
[0097]［Ｓ２５の処理の具体例］ 図１６は、発生度合情報１３７の具体例について説明する図である。
[0098]具体的に、図１１（Ｃ）に示す平均待機時間情報１３３には、「１．４４（ｍｓ）」が設定されている。また、図１４に示す到着頻度情報１３６において、「到着頻度１４ａ」には、「４３２８８（個）」が設定されている。
[0099]そのため、度合算出部１１２は、この場合、「１．４４（ｍｓ）」と「４３２８８（個）」とを乗算して算出した「６２３４４（個）」を、キュー１４ａにおけるパケットロスの発生度合いとして算出する。
[0100]その後、度合算出部１１２は、例えば、図１６に示すように、発生度合情報１３７のうち、キュー１４ａにおけるパケットロスの発生度合いを示す「発生度合１４ａ」に「６２３４４（個）」を設定する。
[0101]図１０に戻り、情報処理装置１のロス数分配部１１３は、Ｓ２５の処理で算出した発生度合情報１３７が示す発生度合いの合計値を算出する（Ｓ３１）。
[0102]具体的に、図１６に示す発生度合情報１３７には、「６２３４４（個）」、「６４１９２（個）」及び「４７４８２（個）」がそれぞれ設定されている。そのため、ロス数分配部１１３は、この場合、「６２３４４（個）」と「６４１９２（個）」と「４７４８２（個）」との合計である「１７４０１８（個）」を算出する。
[0103]そして、ロス数分配部１１３は、複数のキュー１４ごとに、Ｓ２５の処理で算出した各キュー１４の発生度合情報１３７が示す発生度合いを、Ｓ３１の処理で算出した合計値で除算することによって算出した割合を取得する（Ｓ３２）。
[0104]具体的に、図１６に示す発生度合情報１３７における「発生度合１４ａ」には、「６２３４４（個）」が設定されている。そのため、ロス数分配部１１３は、例えば、「６２３４４（個）」を「１７４０１８（個）」で除算して算出した「０．３５８」を、キュー１４ａに対応する割合として算出する。
[0105]続いて、ロス数分配部１１３は、複数のキュー１４ごとに、Ｓ３２の処理で算出した各キュー１４に対応する割合と、Ｓ１６の処理で取得した合計ロス数情報１３８が示すパケットロス数との積を、各キュー１４に対応するパケットロス数を示すロス数情報１３９として算出する（Ｓ３３）。
[0106]すなわち、ロス数分配部１１３は、各キュー１４において発生したパケットロス数の比が各キュー１４におけるパケットロスの発生度合いの比と等しくなるように、物理ＮＩＣ１３において発生したパケットロス数を各キュー１４に配分する。
[0107]具体的に、図１７に示すように、例えば、各キュー１４におけるパケットロスの発生度合いである「ａ １ 」、「ａ ２ 」及び「ａ ３ 」の比と、各キュー１４において発生したパケットロス数である「ｍ １ 」、「ｍ ２ 」及び「ｍ ３ 」の比とが等しくなるように、「ｍ １ 」、「ｍ ２ 」及び「ｍ ３ 」のそれぞれを算出する。以下、Ｓ３３の処理の具体例について説明を行う。
[0108]［Ｓ３３の処理の具体例］ 図１８は、合計ロス数情報１３８及びロス数情報１３９の具体例を説明する図である。図１８（Ａ）は、合計ロス数情報１３８の具体例を説明する図であり、図１８（Ｂ）は、ロス数情報１３９の具体例を説明する図である。
[0109]具体的に、図１８（Ａ）に示す合計ロス数情報１３８には、「２４（個）」が設定されている。そのため、ロス数分配部１１３は、例えば、Ｓ３２の処理で取得した割合が「０．３５８」である場合、「２４（個）」と「０．３５８」とを乗算することによって算出した「８．６（個）」を、キュー１４ａにおいて発生したパケットロス数として算出（推測）する。
[0110]その後、情報処理装置１の条件判定部１１４は、複数の受信スレッド１２ごとに、Ｓ１４の処理で取得した実行時間情報１３４が示す実行時間と、Ｓ３３の処理で算出したロス数情報１３９が示すパケットロス数との対応関係が条件を満たすか否かについて判定する（Ｓ３４）。
[0111]具体的に、条件判定部１１４は、図４で説明したように、複数の受信スレッド１２ごとに、各受信スレッド１２の挙動を示す値（各受信スレッド１２に対応する実行時間情報１３４が示す実行時間）と、各受信スレッド１２に対応するキュー１４において発生したパケットロス数とに対応する点Ｐ１２ａ、１２ｂ及び１２ｃのそれぞれが、直線ＣＣａと直線ＣＣｂとの間の領域に含まれるか否かを判定する。
[0112]その結果、Ｓ１４の処理で取得した実行時間情報１３４が示す実行時間と、Ｓ３３の処理で算出したパケットロス数との対応関係が条件を満たす受信スレッド１２が存在すると判定した場合（Ｓ３５のＹＥＳ）、情報処理装置１の情報出力部１１５は、Ｓ３４の処理で条件を満たすと判定した受信スレッド１２において異常が発生していることを示す判定結果情報１４０を操作端末２に出力する（Ｓ３６）。
[0113]具体的に、図４に示すように、例えば、受信スレッド１２ｂに対応する点Ｐ１２ｂが直線ＣＣａと直線ＣＣｂとの間の領域に含まれていないと判定した場合、条件判定部１１４は、受信スレッド１２ｂにおいて異常が発生していると判定する。そして、情報出力部１１５は、この場合、受信スレッド１２ｂにおいて異常が発生していることを示す判定結果情報１４０を操作端末２に出力する。
[0114]一方、Ｓ１４の処理で取得した実行時間情報１３４が示す実行時間と、Ｓ３３の処理で算出したパケットロス数との対応関係が条件を満たす受信スレッド１２が存在しないと判定した場合（Ｓ３５のＹＥＳ）、情報出力部１１５は、Ｓ３６の処理を行わない。
[0115]このように、本実施の形態における情報処理装置１は、パケットの受信を行う複数の受信スレッド１２のそれぞれが待機状態にあった時間、または、複数の受信スレッド１２が受信を行うパケットが格納される複数のキュー１４のそれぞれにおけるパケットの到着頻度に基づいて、複数のキュー１４のそれぞれにおけるパケットロスの発生度合いを算出する。
[0116]そして、情報処理装置１は、算出した発生度合いに基づいて、複数のキュー１４が動作する物理ＮＩＣ１３において発生したパケットロス数を複数のキュー１４のそれぞれに分配する。
[0117]その後、情報処理装置１は、複数の受信スレッド１２ごとに、各受信スレッド１２における動作状態と、複数のキュー１４のうちの各プロセスに対応するキュー１４に分配したパケットロス数との対応関係に基づいて、複数の受信スレッド１２における異常発生の有無を判定する。
[0118]すなわち、本実施の形態における情報処理装置１は、ＯＳ１１や物理ＮＩＣ１３から取得可能な情報から、各キュー１４において発生したパケットロス数を推測する。具体的に、情報処理装置１は、例えば、ＯＳ１１から取得可能な情報と、物理ＮＩＣ１３から取得可能な情報とを組み合わることによって、各キュー１４において発生したパケットロス数の推測を行う。そして、情報処理装置１は、各キュー１４におけるパケットロス数の推測値を用いることによって、受信スレッド１２ごとにアノマリ検知を行う。
[0119]これにより、本実施の形態における情報処理装置１は、マルチキューに対応する物理ＮＩＣ１３が用いられている場合であっても、アノマリ検知を受信スレッド１２ごとに行うことが可能になる。そのため、情報処理装置１は、受信スレッド１２における異常検知を精度良く行うことが可能になる。
[0120]以上の実施の形態をまとめると、以下の付記のとおりである。
[0121]（付記１） パケットの受信を行う複数のプロセスのそれぞれが待機状態にあった第１時間、または、前記複数のプロセスが受信を行うパケットが格納された複数のキューのそれぞれにおけるパケットの到着頻度に基づいて、前記複数のキューのそれぞれにおけるパケットロスの発生度合いを算出し、 算出した前記発生度合いに基づいて、前記複数のキューを有する通信装置において発生したパケットロス数を前記複数のキューのそれぞれに分配し、 前記複数のプロセスごとに、各プロセスにおける動作状態と、前記複数のキューのうちの各プロセスに対応するキューに分配した前記パケットロス数との対応関係に基づいて、前記複数のプロセスのそれぞれにおける異常発生の有無を判定する、 処理をコンピュータに実行させることを特徴とする異常検知方法。
[0122]（付記２） 付記１において、 前記算出する処理では、 前記複数のプロセスのそれぞれから、所定期間内において各プロセスが待機状態にあった時間の合計値と、前記所定期間内において各プロセスが実行状態から待機状態に切替えられた回数とを取得し、 前記複数のプロセスごとに、各プロセスに対応する前記合計値を前記回数で除算することによって算出した時間を、各プロセスにおける前記第１時間として算出する、 ことを特徴とする異常検知方法。
[0123]（付記３） 付記１において、 前記算出する処理では、 前記複数のプロセスのそれぞれから、所定期間内において各プロセスが実行状態にあった第２時間を取得し、 前記通信装置から、前記通信装置に到着したパケットの総数を取得し、 前記複数のプロセスごとに、前記第２時間の合計値に対する各プロセスの前記第２時間の割合を算出し、 前記複数のキューごとに、前記複数のプロセスのうちの各キューに対応するプロセスの前記割合と前記パケットの総数との積を、各キューにおける前記到着頻度として算出する、 ことを特徴とする異常検知方法。
[0124]（付記４） 付記１において、 前記算出する処理では、前記複数のキューごとに、前記複数のプロセスのうちの各キューに対応するプロセスについての前記第１時間と、各キューにおける前記到着頻度との積を、各キューにおける前記発生度合いとして算出する、 ことを特徴とする異常検知方法。
[0125]（付記５） 付記１において、 前記通信装置は、物理ネットワークインタフェースカードである、 ことを特徴とする異常検知方法。
[0126]（付記６） 付記１において、 前記分配する処理では、 前記通信装置から前記パケットロス数を取得し、 前記複数のキューごとに、前記発生度合いの合計値に対する各キューの前記発生度合いの割合を算出し、 前記複数のキューごとに、各キューに対応する前記割合と前記パケットロス数との積を、各キューに対応するパケットロス数として算出する、 ことを特徴とする異常検知方法。
[0127]（付記７） 付記１において、 前記判定する処理では、前記複数のプロセスごとに、所定期間内において各プロセスが実行状態にあった時間と、前記複数のキューのうちの各プロセスに対応するキューに分配した前記パケットロス数との対応関係に基づいて、前記複数のプロセスのそれぞれにおける異常発生の有無を判定する、 ことを特徴とする異常検知方法。
[0128]（付記８） 付記１において、さらに、 前記複数のプロセスのうち、前記対応関係が異常発生を示すと判定したプロセスについての情報を出力する、 処理をコンピュータに実行させることを特徴とする異常検知方法。
[0129]（付記９） パケットの受信を行う複数のプロセスのそれぞれが待機状態にあった第１時間、または、前記複数のプロセスが受信を行うパケットが格納された複数のキューのそれぞれにおけるパケットの到着頻度に基づいて、前記複数のキューのそれぞれにおけるパケットロスの発生度合いを算出し、 算出した前記発生度合いに基づいて、前記複数のキューを有する通信装置において発生したパケットロス数を前記複数のキューのそれぞれに分配し、 前記複数のプロセスごとに、各プロセスにおける動作状態と、前記複数のキューのうちの各プロセスに対応するキューに分配した前記パケットロス数との対応関係に基づいて、前記複数のプロセスのそれぞれにおける異常発生の有無を判定する、 処理をコンピュータに実行させることを特徴とする異常検知プログラム。
[0130]（付記１０） 付記９において、 前記算出する処理では、 前記複数のプロセスのそれぞれから、所定期間内において各プロセスが待機状態にあった時間の合計値と、前記所定期間内において各プロセスが実行状態から待機状態に切替えられた回数とを取得し、 前記複数のプロセスごとに、各プロセスに対応する前記合計値を前記回数で除算することによって算出した時間を、各プロセスにおける前記第１時間として算出する、 ことを特徴とする異常検知プログラム。
[0131]（付記１１） 付記９において、 前記算出する処理では、 前記複数のプロセスのそれぞれから、所定期間内において各プロセスが実行状態にあった第２時間を取得し、 前記通信装置から、前記通信装置に到着したパケットの総数を取得し、 前記複数のプロセスごとに、前記第２時間の合計値に対する各プロセスの前記第２時間の割合を算出し、 前記複数のキューごとに、前記複数のプロセスのうちの各キューに対応するプロセスの前記割合と前記パケットの総数との積を、各キューにおける前記到着頻度として算出する、 ことを特徴とする異常検知プログラム。
[0132]（付記１２） 付記９において、 前記算出する処理では、前記複数のキューごとに、前記複数のプロセスのうちの各キューに対応するプロセスについての前記第１時間と、各キューにおける前記到着頻度との積を、各キューにおける前記発生度合いとして算出する、 ことを特徴とする異常検知プログラム。
[0133]（付記１３） 付記９において、 前記分配する処理では、 前記通信装置から前記パケットロス数を取得し、 前記複数のキューごとに、前記発生度合いの合計値に対する各キューの前記発生度合いの割合を算出し、 前記複数のキューごとに、各キューに対応する前記割合と前記パケットロス数との積を、各キューに対応するパケットロス数として算出する、 ことを特徴とする異常検知プログラム。
[0134]１：情報処理装置 ２：操作端末 １０：情報処理システム ＮＷ：ネットワーク
