对比文件名称：2015-01-07_发明公开_CN104272788A 在移动计算装置中传达行为信息
目标专利名称：150监视物联网设备健康状况的方法、装置、设备和存储介质CN107409073B
本次调用的模型名称：GPT-4
特征比对表格：
| 技术特征描述以及公开性判断结果 | 对比文件原文引用 | 公开性论述 |
| **技术特征A**：在本地IoT网络中的第一节点处为与所述本地IoT网络中的第二节点相关联的正常行为建模 | [0071] 网络服务器116可将数据/行为模型发送到移动装置102，移动装置102可接收及使用所述数据/行为模型以鉴别可疑或性能降级的移动装置行为、软件应用程序、进程等等。 | **《隐含公开》** 对比文件公开了移动装置102可以从网络服务器116接收“数据/行为模型”，该模型用于鉴别可疑或性能降级的移动装置行为（参见[0071]）。建立和使用一个模型来区分正常（良性）和异常（非良性、性能降级）行为，其本质就是在为“正常行为建模”。虽然对比文件中的模型可能来自云端服务器而非本地节点建立，且建模对象是移动装置自身的行为而非另一节点（第二节点）的行为，但“为正常行为建模”这一上位概念已被公开。本领域技术人员可以理解，行为模型的来源（本地建立或远程获取）和具体应用对象（自身或他设备）是具体实现方式的区别。在隐含公开的宽松判断标准下，对比文件公开了“使用模型来定义正常行为”这一核心思想，因此该特征被隐含公开。 |
| **技术特征B**：其中，所述第一节点是配置成进行行为分析的分析者节点，所述第二节点是配置成观察本地行为的观察者节点，所述第一节点和所述第二节点是所述本地IoT网络中的不同IoT设备 | [0080] 行为观测器模块202可经配置以检测或协调在移动装置的各种级别/模块处的应用程序编程接口(API)，且从经检测API收集行为信息。...行为分析器模块204可从行为观测器模块202接收观测、比较经接收信息（即，观测）与从外部上下文信息模块接收的上下文信息，且鉴别正促成（或很可能会促成）装置随着时间的降级或可以其它方式在装置上造成问题的与经接收观测相关联的子系统、进程及/或应用程序。 | **《隐含公开》** 对比文件明确公开了在同一移动装置（可视为一个计算节点）内，存在“行为观测器模块202”（配置成观察本地行为）和“行为分析器模块204”（配置成进行行为分析）两个功能模块（参见[0080]）。这两个模块在功能上分别对应于“观察者节点”和“分析者节点”的角色。虽然对比文件描述的是同一设备内的模块划分，而目标专利要求的是不同IoT设备之间的角色划分，但“观察”与“分析”功能分离并由不同实体执行的核心架构思想已被公开。本领域技术人员基于对比文件的教导，为了资源优化（例如将分析任务卸载到能力更强的设备），完全有可能推理出将观察和分析功能分配到网络内不同设备上的分布式架构。因此，该特征被隐含公开。 |
| **技术特征C**：在所述第一节点处通过所述本地IoT网络接收与在所述第二节点处观察到的一个或多个行为相关的行为信息 | [0080] 行为分析器模块204可从行为观测器模块202接收观测... | **《直接公开》** 对比文件直接且明确地公开了行为分析器模块（相当于第一节点/分析者节点）从行为观测器模块（相当于第二节点/观察者节点）接收观测（即行为信息）（参见[0080]）。虽然该接收过程发生在同一设备内部（通过内存写入、函数调用等），而非明确通过“本地IoT网络”，但“接收行为信息”这一动作本身已被毫无疑义地公开。通信媒介（内部总线 vs 网络）是实现方式的差异。因此，该特征被直接公开。 |
| **技术特征D**：在所述第一节点处分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息 | [0080] ...行为分析器模块204可从行为观测器模块202接收观测...且鉴别正促成（或很可能会促成）装置随着时间的降级或可以其它方式在装置上造成问题的与经接收观测相关联的子系统、进程及/或应用程序。 | **《直接公开》** 对比文件明确公开了行为分析器模块204接收观测信息并进行“鉴别”操作（参见[0080]）。该“鉴别”过程必然包含对接收到的行为信息进行分析，以判断其是否可能导致问题。这直接对应于“分析行为信息”的技术特征。因此，该特征被直接公开。 |
| **技术特征E**：在所述第一节点处将所分析的行为信息与关联于所述第二节点的所建模的正常行为进行比较以确定在所述第二节点处观察到的所述一个或多个行为是正常的还是异常的 | [0080] ...比较经接收信息（即，观测）与从外部上下文信息模块接收的上下文信息，且鉴别... | **《直接公开》** 对比文件公开了行为分析器模块204将接收到的观测信息与“上下文信息”进行比较以进行鉴别（参见[0080]）。结合[0071]中提到的“数据/行为模型”，以及全文关于确定行为是“良性”（正常）还是“非良性/性能降级”（异常）的反复描述（例如摘要、[0100]），可以确定，这里的比较实质上是将当前行为信息与预期的正常行为模型（或基线）进行比较。例如，[0100]提到“分析及/或分类经收集行为信息、产生行为矢量、基于行为矢量...且确定特定移动装置行为、软件应用程序或进程是良性、可疑、恶意还是性能降级”。这明确公开了通过比较来确定行为正常与否。因此，该特征被直接公开。 |
| **技术特征F**：以及响应于基于所述比较确定在所述第二节点处观察到的所述行为信息指示了异常状况，触发一个或多个执行者来矫正所述第二节点处的行为异常， | [0080] ...当行为分析器模块204确定行为、软件应用程序或进程恶意或性能降级时，行为分析器模块204可通知致动器模块208，致动器模块208可执行各种动作或操作以校正被确定为恶意或性能降级的移动装置行为... | **《直接公开》** 对比文件明确公开了在行为分析器模块确定行为是“恶意或性能降级”（即异常状况）时，会通知“致动器模块208”（相当于一个或多个执行者），该模块执行校正动作以矫正行为异常（参见[0080]）。这完整地公开了“检测异常-触发执行者矫正”的技术方案。因此，该特征被直接公开。 |
| **技术特征G**：其中，所述一个或多个执行者被提供有用于辅助矫正一项或多项行为异常的技术。 | [0080] ...致动器模块208可执行各种动作或操作以校正被确定为恶意或性能降级的移动装置行为... | **《隐含公开》** 对比文件公开了致动器模块208执行“各种动作或操作”以进行校正（参见[0080]）。隐含了该模块具备执行这些矫正动作所需的技术或能力。[0157]进一步说明致动请求可包含“适合于使移动装置通知用户、阻止进程、终止进程”的命令，这些命令代表了具体的矫正技术。虽然未穷举所有技术，但“提供技术以辅助矫正”这一概念已被对比文件部分公开。本领域技术人员可以合理推断，执行矫正功能的模块必然被赋予了相应的技术手段。因此，该特征被隐含公开。 |
| **技术特征H**：其中，分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息进一步包括：从所述行为信息中提取一个或多个行为向量，其中所述行为信息表示n个行为特征并且所述一个或多个行为向量将所述n个行为特征映射到n维空间中。 | [0100] ...产生行为矢量...；[0400] ...行为矢量产生器410可接收相关信息且产生描述特定进程、应用程序或子系统的行为的行为矢量。在一方面中，行为矢量产生器410可产生行为矢量，使得特定进程、应用程序或子系统的每一高级别行为是所述行为矢量的元素。 | **《直接公开》** 对比文件明确且多次提及“行为矢量”（即行为向量）的概念。其中，行为矢量产生器410被描述为产生行为矢量，且行为矢量的元素对应特定的高级别行为（即行为特征）（参见[0400]）。这直接公开了从行为信息中提取行为向量，并且该向量将多个行为特征映射到一个多维（n维）空间中的技术特征。因此，该特征被直接公开。 |
| **技术特征I**：进一步包括：为包括所述第一节点和所述第二节点的所述本地IoT网络建模 | 对比文件未公开相关内容。 | **《未被公开》** 对比文件的核心在于对单个移动计算装置（或其中进程、应用）的行为进行分析和建模（参见[0080], [0100]）。全文未提及为包含多个异构设备的“网络”建立模型的概念。目标专利中的“为本地IoT网络建模”涉及网络拓扑、设备间关系等整体环境状态，这与对比文件聚焦于单个设备内部行为的模型有本质区别。因此，该特征既未被直接公开，也未被隐含公开。 |
| **技术特征J**：以及基于在所述第二节点处观察到的所述行为信息，更新与所述本地IoT网络相关联的当前状态。 | 对比文件未公开相关内容。 | **《未被公开》** 如上所述，对比文件没有“本地IoT网络”及其“当前状态”的概念。其模型更新（如[0111]-[0113]）是针对单个设备的行为模型或分类器，而非一个网络的整体状态。因此，该特征既未被直接公开，也未被隐含公开。 |
| **技术特征K**：其中，为所述本地IoT网络建模包括：聚集与所述本地IoT网络中的每一IoT设备相关联的属性 | 对比文件未公开相关内容。 | **《未被公开》** 对比文件未涉及聚集网络中多个设备属性的操作。其关注的是单个移动装置内部的各种行为特征和属性。因此，该特征既未被直接公开，也未被隐含公开。 |
| **技术特征L**：构造与所述本地IoT网络相关联的拓扑 | 对比文件未公开相关内容。 | **《未被公开》** 对比文件完全没有提及设备网络的拓扑结构。因此，该特征既未被直接公开，也未被隐含公开。 |
| **技术特征M**：从与每一IoT设备相关联的制造商或者一个或多个仓储库获取与所述本地IoT网络中的每一IoT设备相关联的行为模型，所述一个或多个仓储库被配置成存储所述行为模型 | [0071] 网络服务器116可将数据/行为模型发送到移动装置102...；[0106] 在一方面中，移动装置可包含允许移动装置从第三方网络服务器下载数据/行为模型的行为API及/或客户端模块。 | **《隐含公开》** 对比文件公开了移动装置可以从网络服务器（第三方服务器，可视为一种仓储库）下载数据/行为模型（参见[0071], [0106]）。虽然对比文件中的模型可能是通用安全模型、功耗模型等，而目标专利中特指“与每一IoT设备相关联的行为模型”，且来源可能包括“制造商”，但“从外部仓储库获取行为模型”这一核心步骤已被公开。本领域技术人员可以合理推断，针对特定设备型号的、由制造商提供的行为模型，是这种外部获取模型的一种具体类型。因此，该特征被隐含公开。 |
| **技术特征N**：以及组合与所述本地IoT网络中的每一IoT设备相关联的所聚集的属性、与所述本地IoT网络相关联的所述拓扑以及与所述本地IoT网络中的每一IoT设备相关联的所述行为模型以便为所述本地IoT网络建模。 | 对比文件未公开相关内容。 | **《未被公开》** 对比文件没有公开“组合设备属性、网络拓扑和设备行为模型以进行网络建模”这一复杂过程。这是目标专利中构建整体网络环境模型的特有方法。因此，该特征既未被直接公开，也未被隐含公开。 |
| **技术特征O**：进一步包括：响应于确定在所述第二节点处观察到的所述一个或多个行为异常，通过所述第一节点向客户服务实体报告在所述第二节点处观察到的所述一个或多个行为。 | [0080] ...当行为分析器模块204确定行为、软件应用程序或进程可疑时，行为分析器模块204可经由行为API 214而通知合作伙伴客户端206模块。合作伙伴客户端206模块可格式化行为信息且将行为信息发送到网络服务器116及/或云服务或网络118中的组件以供进一步分析... | **《直接公开》** 对比文件公开了当分析器模块确定行为可疑（一种异常状况）时，可以通过合作伙伴客户端模块将行为信息发送到网络服务器（第三方服务器）（参见[0080]）。该网络服务器可以被视为一种“客户服务实体”（例如，防病毒合作伙伴、安全性合作伙伴等，参见[0063]）。这直接对应于“向客户服务实体报告异常行为”的技术特征。因此，该特征被直接公开。 |
| **技术特征P**：其中，所述一个或多个异常行为指示对所述第二节点或者包括所述第二节点的所述本地IoT网络的潜在恶意攻击。 | [0003] ...这种复杂性已产生使恶意软件、软件冲突、硬件故障及其它相似错误或现象负面地影响移动装置的长期且持续的性能及功率利用水平的新机会。；[0100] ...确定特定移动装置行为、软件应用程序或进程是良性、可疑、恶意还是性能降级。 | **《直接公开》** 对比文件明确将“恶意”行为（由恶意软件导致）作为需要检测和分类的一类异常行为（参见[0003], [0100]）。恶意软件攻击本身就是一种“潜在恶意攻击”。因此，检测到恶意行为即意味着指示了潜在恶意攻击。该特征被直接公开。 |
| **技术特征Q**：其中，所述一个或多个异常行为指示所述第二节点处的潜在故障或异常工作状况。 | [0003] ...硬件故障...；[0100] ...确定特定移动装置行为、软件应用程序或进程是良性、可疑、恶意还是性能降级。 | **《直接公开》** 对比文件明确将“硬件故障”和“性能降级”作为需要关注的负面状况（参见[0003], [0100]）。“性能降级”和“硬件故障”都属于“潜在故障或异常工作状况”。因此，该特征被直接公开。 |
| **技术特征R**：其中，所述第二节点包括被配置成观察所述一个或多个行为的一个或多个组件。 | [0080] 行为观测器模块202可经配置以检测或协调在移动装置的各种级别/模块处的应用程序编程接口(API)，且从经检测API收集行为信息。 | **《直接公开》** 对比文件明确公开了“行为观测器模块202”这一组件，其功能就是观测/收集移动装置的行为信息（参见[0080]）。这直接对应于第二节点包含观察组件的技术特征。因此，该特征被直接公开。 |
| **技术特征S**：其中，所述第二节点进一步包括发射机，所述发射机被配置成将表示所观察到的所述一个或多个行为的一个或多个行为特征发送到如下中的一者或多者：所述第一节点，或被配置成从所述第二节点接收所述一个或多个行为特征并将所述一个或多个行为特征中继给所述第一节点的第三节点。 | [0080] 行为观测器模块202...将经产生观测存储在存储器中...及/或将经产生观测发送（例如，经由存储器写入、函数调用等等）到行为分析器模块204。 | **《隐含公开》** 对比文件公开了行为观测器模块202将观测发送给行为分析器模块204（参见[0080]）。虽然发送方式描述为“存储器写入、函数调用”（即设备内部通信），但其中必然包含信息发送的功能单元（可广义理解为“发射机”）。目标专利中通过无线网络发送到另一设备，是分布式场景下的具体实现。在隐含公开的宽松标准下，对比文件公开了“观察模块向分析模块发送行为特征”这一核心信息流。至于是否存在“第三节点”进行中继，对比文件未提及，但该部分未被公开不影响对“发送到第一节点”这一主要部分的隐含公开判断。因此，该特征被部分隐含公开（发送到第一节点）。 |
| **技术特征T**：其中，包括所述第二节点的所述本地IoT网络进一步包括一个或多个节点，所述一个或多个节点被配置成监视所述第二节点通过所述本地IoT网络传送的消息并且根据在所述本地IoT网络上传送的所监视的消息将所述行为信息传送给所述第一节点。 | 对比文件未公开相关内容。 | **《未被公开》** 对比文件未描述通过监视网络流量（消息）来获取设备行为信息的技术。其行为信息主要通过在设备内部API层面观测获得。因此，该特征既未被直接公开，也未被隐含公开。 |
| **技术特征U**：其中，所述第二节点处观察到的所述一个或多个行为是正常还是异常进一步地基于总状态模型与正常状态的比较，所述总状态模型定义了当前状态，所述正常状态与所述本地IoT网络相关联。 | 对比文件未公开相关内容。 | **《未被公开》** 对比文件没有“总状态模型”或“与本地IoT网络相关联的正常状态”的概念。其比较是基于单个设备的行为模型或分类器。因此，该特征既未被直接公开，也未被隐含公开。 |
| **技术特征V**：进一步包括：响应于基于所述比较确定在所述第二节点处观察到的所述行为信息不是指示异常状况，应用机器学习来更新设备行为模型。 | [0112] 在一方面中，随着从移动装置接收新行为/分析报告，网络服务器可周期性地或连续地重新评估现有贫乏数据/行为模型，及/或基于以下各者而产生新或经更新贫乏数据/行为模型：历史信息...新信息；机器学习；上下文建模；... | **《隐含公开》** 对比文件公开了网络服务器可以基于机器学习等技术，利用从移动装置接收的行为报告来更新行为模型（参见[0112]）。虽然该更新动作由服务器执行，且触发条件未必明确是“确定行为不是异常”，但利用（包括正常行为在内的）行为数据进行机器学习以更新模型这一核心思想已被公开。本领域技术人员可以理解，用于定义正常行为的模型，其训练数据必然包含大量正常行为样本，因此模型更新过程自然会利用到被判定为“不是异常”的行为信息。因此，该特征被隐含公开。 |
<<<C>>><<<D>>><<<E>>><<<F>>><<<H>>><<<O>>><<<P>>><<<Q>>><<<R>>>
<<<a>>><<<b>>><<<g>>><<<m>>><<<s>>><<<v>>>