对比文件名称：CA2450602A1 / WO2011091259A2
目标专利名称：150监视物联网设备健康状况的方法、装置、设备和存储介质CN107409073B
本次调用的模型名称：深度分析对比文件公开内容
### 特征比对表格
| 技术特征描述及公开性判断 | 对比文件原文引用 | 公开性论述 |
| **技术特征A**：在本地IoT网络中的第一节点处为与所述本地IoT网络中的第二节点相关联的正常行为建模 《直接公开》 | [0027] “Each mobile node is responsible for monitoring the behaviour of its adjacent nodes, establishing a normal behaviour model for each of its adjacent nodes, detecting anomalous behaviour of any of its adjacent nodes and responding to detected anomalous behaviour.” （每个移动节点负责监视其相邻节点的行为，为其每个相邻节点建立正常行为模型，检测其任何相邻节点的异常行为，并对检测到的异常行为作出响应。） | 对比文件明确公开了移动节点（第一节点）为其他相邻节点（第二节点）建立正常行为模型。该内容在对比文件中起到核心作用，用于后续的异常行为检测，与目标专利中为特定节点建模正常行为的作用相同。因此，本领域技术人员能够毫无疑义地得出该技术方案。 |
| **技术特征B**：其中，所述第一节点是配置成进行行为分析的分析者节点，所述第二节点是配置成观察本地行为的观察者节点，所述第一节点和所述第二节点是所述本地IoT网络中的不同IoT设备 《隐含公开》 | [0001] “The present invention relates generally to wireless communications networks and, more particularly, to systems and methods for detecting malicious nodes in wireless communications networks.” （本发明总体上涉及无线通信网络，更具体地，涉及用于检测无线通信网络中的恶意节点的系统和方法。）<br>[0027] “Each mobile node is responsible for monitoring the behaviour of its adjacent nodes...” （每个移动节点负责监视其相邻节点的行为...）<br>[0049] “...the mobile node establishes a normal behaviour model for that particular adjacent node.” （…移动节点为该特定相邻节点建立正常行为模型。） | 对比文件描述了无线通信网络中的节点，这些节点可以被视为广义的物联网（IoT）设备。移动节点负责监视和分析其他节点的行为，这隐含了其扮演“分析者节点”的角色。被监视的相邻节点是行为的来源，其行为被观察和分析，隐含了其扮演“观察者节点”的角色。根据[0027]，移动节点和相邻节点是不同的实体（“its adjacent nodes”）。因此，本领域技术人员能够合理推断出，在无线通信网络（可视为一种本地IoT网络）中，存在不同的节点分别承担分析（第一节点）和观察（第二节点）的角色。 |
| **技术特征C**：在所述第一节点处通过所述本地IoT网络接收与在所述第二节点处观察到的一个或多个行为相关的行为信息 《隐含公开》 | [0027] “Each mobile node is responsible for monitoring the behaviour of its adjacent nodes...” （每个移动节点负责监视其相邻节点的行为...）<br>[0049] “...the mobile node monitors the behaviour of its adjacent nodes by monitoring the communications that each adjacent node has with other nodes in the network.” （…移动节点通过监视每个相邻节点与网络中其他节点的通信来监视其相邻节点的行为。） | 对比文件明确公开了第一节点（移动节点）通过监视第二节点（相邻节点）在网络中的通信来收集行为信息。这相当于第一节点通过无线通信网络（可视为本地IoT网络）接收与第二节点行为相关的信息。虽然“接收”一词未被直接使用，但“监视（monitoring）”通信必然包含接收并获取这些通信信息的过程。因此，本领域技术人员能够合理推断出第一节点通过本地网络接收第二节点的行为信息。 |
| **技术特征D**：在所述第一节点处分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息 《直接公开》 | [0027] “Each mobile node is responsible for ... detecting anomalous behaviour of any of its adjacent nodes...” （每个移动节点负责…检测其任何相邻节点的异常行为…）<br>[0049] “...the mobile node monitors the behaviour of its adjacent nodes... and analyses the monitored communications to detect anomalous behaviour.” （…移动节点监视其相邻节点的行为…并分析被监视的通信以检测异常行为。） | 对比文件直接且明确地公开了第一节点（移动节点）对从第二节点（相邻节点）收集到的行为信息（被监视的通信）进行分析，以检测异常行为。该分析动作在对比文件中是检测恶意节点的关键步骤，与目标专利中分析行为信息的作用相同。 |
| **技术特征E**：在所述第一节点处将所分析的行为信息与关联于所述第二节点的所建模的正常行为进行比较以确定在所述第二节点处观察到的所述一个或多个行为是正常的还是异常的 《直接公开》 | [0027] “...establishing a normal behaviour model for each of its adjacent nodes, detecting anomalous behaviour of any of its adjacent nodes...” （…为其每个相邻节点建立正常行为模型，检测其任何相邻节点的异常行为…）<br>[0051] “If the behaviour is determined to be anomalous, then at step 560 the mobile node flags that adjacent node as a malicious node.” （如果行为被确定为异常，则在步骤560，移动节点将该相邻节点标记为恶意节点。） | 对比文件公开了建立正常行为模型并用于检测异常行为。检测异常行为的必然逻辑过程就是将当前观察和分析的行为信息与预先建立的正常行为模型进行比较。步骤560中“行为被确定为异常”正是比较后得出的结论。因此，对比文件实质上公开了“比较-确定”这一完整过程。 |
| **技术特征F**：以及响应于基于所述比较确定在所述第二节点处观察到的所述行为信息指示了异常状况，触发一个或多个执行者来矫正所述第二节点处的行为异常， 《隐含公开》 | [0051] “If the behaviour is determined to be anomalous, then at step 560 the mobile node flags that adjacent node as a malicious node.” （如果行为被确定为异常，则在步骤560，移动节点将该相邻节点标记为恶意节点。）<br>[0028] “Once a malicious node is detected, the mobile node that detected the malicious node may respond by isolating the malicious node and/or informing other nodes in the network about the malicious node.” （一旦检测到恶意节点，检测到该恶意节点的移动节点可以通过隔离该恶意节点和/或通知网络中的其他节点关于该恶意节点来响应。）<br>[0053] “The mobile node may also respond to detection of a malicious node by re-routing packets...” （移动节点还可以通过重新路由数据包来响应恶意节点的检测…） | 对比文件公开了在确定行为异常（即检测到恶意节点）后，移动节点会采取响应措施，例如隔离恶意节点、通知其他节点、重新路由数据包等。这些响应措施的目的是为了“矫正”由恶意节点造成的网络安全问题，即矫正网络中的“行为异常”（恶意行为）。虽然对比文件未使用“执行者”这一术语，但其描述的“响应（respond）”动作及具体措施（隔离、通知、重路由）在功能和目的上等同于触发某种实体或机制来矫正异常。因此，本领域技术人员能够合理推断出该技术特征。 |
| **技术特征G**：其中，所述一个或多个执行者被提供有用于辅助矫正一项或多项行为异常的技术。 《隐含公开》 | [0028] “...the mobile node that detected the malicious node may respond by isolating the malicious node and/or informing other nodes in the network about the malicious node.” （…检测到该恶意节点的移动节点可以通过隔离该恶意节点和/或通知网络中的其他节点关于该恶意节点来响应。）<br>[0053] “The mobile node may also respond to detection of a malicious node by re-routing packets...” （移动节点还可以通过重新路由数据包来响应恶意节点的检测…） | 如上所述，对比文件公开了具体的响应技术，如“隔离”、“通知”、“重新路由”。这些技术被提供给采取响应的移动节点（其自身可视为一个执行者）或网络中的其他节点（其他执行者），用于辅助矫正因恶意节点行为异常导致的问题。因此，该技术特征被对比文件隐含公开。 |
| **技术特征H**：其中，分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息进一步包括：从所述行为信息中提取一个或多个行为向量，其中所述行为信息表示n个行为特征并且所述一个或多个行为向量将所述n个行为特征映射到n维空间中。 《未公开》 | 无相应内容。 | 对比文件虽然公开了分析行为信息以检测异常，但并未描述如何具体表示和分析这些行为信息。目标专利中明确限定了使用“行为向量”将“n个行为特征”映射到“n维空间”这一特定的数学建模和分析方法。对比文件完全没有提及“行为向量”、“n维空间”或类似的概念。本领域技术人员无法从对比文件中毫无疑义地得出或合理推断出这一具体技术手段。 |
| **技术特征I**：进一步包括：为包括所述第一节点和所述第二节点的所述本地IoT网络建模 《未公开》 | 无相应内容。 | 对比文件的核心是单个移动节点对其相邻节点进行建模和监视，关注的是点对点或点对多点的行为关系。没有公开为整个本地网络（包括第一节点、第二节点及其他所有设备）建立一个整体的网络模型。目标专利中的网络建模是为了获得网络级别的状态视图，这与对比文件的技术思路不同。 |
| **技术特征J**：以及基于在所述第二节点处观察到的所述行为信息，更新与所述本地IoT网络相关联的当前状态。 《未公开》 | 无相应内容。 | 由于对比文件没有公开为整个本地网络建模（特征I），因此也就不存在基于个别节点行为信息来更新“与本地IoT网络相关联的当前状态”这一步骤。对比文件的响应措施（如通知其他节点）可能影响网络状态，但并非系统地、模型化地“更新当前状态”。 |
| **技术特征K**：其中，为所述本地IoT网络建模包括：聚集与所述本地IoT网络中的每一IoT设备相关联的属性 《未公开》 | 无相应内容。 | 对比文件未涉及为整个本地网络建模，因此更未公开网络建模的具体步骤，如聚集每个设备的属性。 |
| **技术特征L**：构造与所述本地IoT网络相关联的拓扑 《未公开》 | 无相应内容。 | 对比文件未涉及为整个本地网络建模，因此更未公开构造网络拓扑这一具体步骤。虽然节点可能知晓相邻关系，但并非主动构造用于建模的整体网络拓扑。 |
| **技术特征M**：从与每一IoT设备相关联的制造商或者一个或多个仓储库获取与所述本地IoT网络中的每一IoT设备相关联的行为模型，所述一个或多个仓储库被配置成存储所述行为模型 《未公开》 | 无相应内容。 | 对比文件中移动节点建立的正常行为模型是基于其自身对相邻节点通信的监视和学习（参见[0049]），而非从外部制造商或仓储库获取预定义的行为模型。这是两种截然不同的模型获取方式。 |
| **技术特征N**：以及组合与所述本地IoT网络中的每一IoT设备相关联的所聚集的属性、与所述本地IoT网络相关联的所述拓扑以及与所述本地IoT网络中的每一IoT设备相关联的所述行为模型以便为所述本地IoT网络建模。 《未公开》 | 无相应内容。 | 由于对比文件未公开特征K、L、M，因此必然未公开将这些元素组合起来为整个网络建模的步骤。 |
| **技术特征O**：进一步包括：响应于确定在所述第二节点处观察到的所述一个或多个行为异常，通过所述第一节点向客户服务实体报告在所述第二节点处观察到的所述一个或多个行为。 《未公开》 | 无相应内容。 | 对比文件公开的响应措施是隔离恶意节点、通知网络中的其他节点等，这些属于网络内部的安全自治响应。目标专利中“向客户服务实体报告”的目的在于启动外部的客户支持和服务流程（如设备维修、故障诊断等），这适用于更广泛的物联网设备健康管理场景，而不仅仅是网络安全。对比文件没有提及此类向外部服务实体报告的动作。 |
| **技术特征P**：其中，所述一个或多个异常行为指示对所述第二节点或者包括所述第二节点的所述本地IoT网络的潜在恶意攻击。 《直接公开》 | [0001] “...systems and methods for detecting malicious nodes in wireless communications networks.” （…用于检测无线通信网络中的恶意节点的系统和方法。）<br>[0051] “...flags that adjacent node as a malicious node.” （…将该相邻节点标记为恶意节点。） | 对比文件的发明目的就是检测恶意节点，其检测到的“异常行为”直接对应“恶意攻击”（由恶意节点发起）。这与目标专利中异常行为指示潜在恶意攻击的作用完全相同。 |
| **技术特征Q**：其中，所述一个或多个异常行为指示所述第二节点处的潜在故障或异常工作状况。 《未公开》 | 无相应内容。 | 对比文件全文聚焦于检测由“恶意节点（malicious node）”实施的攻击行为，即主动的、恶意的异常。没有提及设备自身的非恶意故障、性能下降或其他异常工作状况（如硬件故障、软件错误等）。目标专利的该特征拓宽了异常检测的应用场景，而对比文件未涉及此场景。 |
| **技术特征R**：其中，所述第二节点包括被配置成观察所述一个或多个行为的一个或多个组件。 《隐含公开》 | [0049] “...the mobile node monitors the behaviour of its adjacent nodes by monitoring the communications that each adjacent node has with other nodes in the network.” （…移动节点通过监视每个相邻节点与网络中其他节点的通信来监视其相邻节点的行为。） | 第二节点（相邻节点）要与其他节点进行通信，其必然包含实现通信功能的组件（如收发机、网络接口等）。这些通信行为正是被第一节点观察和分析的对象。因此，第二节点具备产生可观察行为的组件是无线通信设备的固有属性和隐含前提。本领域技术人员能够合理推断出该特征。 |
| **技术特征S**：其中，所述第二节点进一步包括发射机，所述发射机被配置成将表示所观察到的所述一个或多个行为的一个或多个行为特征发送到如下中的一者或多者：所述第一节点，或被配置成从所述第二节点接收所述一个或多个行为特征并将所述一个或多个行为特征中继给所述第一节点的第三节点。 《隐含公开》 | [0049] “...by monitoring the communications that each adjacent node has with other nodes in the network.” （…通过监视每个相邻节点与网络中其他节点的通信。） | 对比文件中的行为信息获取方式是第一节点（移动节点）主动“监视（monitoring）”第二节点的通信。这意味着第二节点在正常执行其网络功能（如发送数据包、信令）时，其通信本身就“表示”了其行为特征。第一节点通过侦听这些通信来获取信息，而无需第二节点专门为其“发送”行为特征报告。然而，从广义上看，第二节点的发射机在发送任何网络消息时，客观上都在向网络“发送”信息，其中包含了可被分析的行为特征。虽然这不是一种专为行为监视设计的定向发送，但客观上实现了行为特征的传递。因此，可以认为该特征被隐含公开。 |
| **技术特征T**：其中，包括所述第二节点的所述本地IoT网络进一步包括一个或多个节点，所述一个或多个节点被配置成监视所述第二节点通过所述本地IoT网络传送的消息并且根据在所述本地IoT网络上传送的所监视的消息将所述行为信息传送给所述第一节点。 《隐含公开》 | [0028] “...informing other nodes in the network about the malicious node.” （…通知网络中的其他节点关于该恶意节点。）<br>（结合特征C的[0049]） | 对比文件中的第一节点（移动节点）自身就是一个被配置成监视第二节点消息的节点。此外，[0028]提到移动节点在检测到恶意节点后可以“通知其他节点”，这暗示网络中可能存在多个具有监视和/或信息传递能力的节点。虽然未明确描述一个专门的“第三节点”负责监视并将信息传送给第一节点，但本领域技术人员可以合理推断，在分布式网络环境中，监视任务可以由多个节点承担，并且节点间可以传递监视信息，这是一种常见的网络协作模式。 |
| **技术特征U**：其中，所述第二节点处观察到的所述一个或多个行为是正常还是异常进一步地基于总状态模型与正常状态的比较，所述总状态模型定义了当前状态，所述正常状态与所述本地IoT网络相关联。 《未公开》 | 无相应内容。 | 对比文件中的行为判断是基于为单个相邻节点建立的个体正常行为模型（参见[0027], [0049]），并未提及一个涵盖整个网络状态的“总状态模型”。目标专利的该特征引入了网络级别的上下文（总状态模型）来辅助判断单个节点的行为，这是对比文件未公开的更高层次的判断逻辑。 |
| **技术特征V**：进一步包括：响应于基于所述比较确定在所述第二节点处观察到的所述行为信息不是指示异常状况，应用机器学习来更新设备行为模型。 《未公开》 | [0049] “The mobile node monitors the behaviour of its adjacent nodes over a period of time and establishes a normal behaviour model for that particular adjacent node.” （移动节点在一段时间内监视其相邻节点的行为，并为该特定相邻节点建立正常行为模型。） | 对比文件提到“在一段时间内监视…并建立正常行为模型”，这暗示模型可能基于历史观察数据形成或更新。然而，对比文件没有明确公开使用“机器学习”这一特定技术来更新模型。模型的建立和更新可能通过简单的统计、阈值设定或其他算法实现。因此，“应用机器学习”这一具体技术手段未被对比文件公开。 |
<<<A>>><<<D>>><<<E>>><<<P>>>
<<<b>>><<<c>>><<<f>>><<<g>>><<<r>>><<<s>>><<<t>>>