**对比文件名称**：2009-08-06_发明申请_US20090199296A1 DETECTING UNAUTHORIZED USE OF COMPUTING DEVICES BASED ON BEHAVIORAL PATTERNS
**目标专利名称**：150监视物联网设备健康状况的方法、装置、设备和存储介质CN107409073B
**模型名称**：GPT-4o
### 特征比对表格
| 技术特征描述以及公开性判断结果 | 对比文件原文引用 | 公开性论述 | ||
| **技术特征A：《隐含公开》**<br>包括：在本地IoT网络中的第一节点处为与所述本地IoT网络中的第二节点相关联的正常行为建模 | 说明书第[0038]段：“acceptable behavioral pattern data is generated for a computing system by monitoring the use of a support system (e.g., an operating system, a virtual environment) operating on the computing system.”；第[0046]段：“The pattern of use 118 can effectively define a pattern of usage ... thereby effectively establishing a behavioral pattern for use of the support system 102.”；第[0056]-[0057]段描述了学习引擎提取行为模式并存储为用户配置文件。 | 对比文件公开了为计算系统生成可接受的行为模式数据，这相当于为目标专利中的“正常行为建模”。虽然对比文件中的“计算系统”可能指单个设备，但其建模过程（监控、提取模式、存储配置文件）本质上与目标专利中“为第二节点相关联的正常行为建模”的技术手段相同。建模地点（第一节点处）在本领域技术人员看来，为了进行集中分析和比较，将建模功能部署在网络中的一个节点（如服务器或更强大的设备）是常见的分布式系统设计。因此，本领域技术人员有可能通过推理，从对比文件公开的生成行为模式数据用于检测异常这一整体构思中，得出在分布式网络的一个节点处为另一设备的行为建模的技术方案。故判断为隐含公开。 | ||
| **技术特征B：《隐含公开》**<br>其中，所述第一节点是配置成进行行为分析的分析者节点，所述第二节点是配置成观察本地行为的观察者节点，所述第一节点和所述第二节点是所述本地IoT网络中的不同IoT设备 | 说明书第[0038]段：“acceptable behavioral pattern data is generated for a computing system by monitoring the use of a support system...”；第[0045]-[0047]段描述了活动监视器114监视支持系统102的使用，模式生成组件116生成可接受的使用模式数据110，未经授权使用测试子系统109使用该数据进行检测。图1中，监视、模式生成和检测功能在计算设备100内部。但说明书第[0066]段提及：“In PC platform, a relatively large number of system calls could be invoked... However, it will be appreciated that in mobile environments, a relatively smaller number of system calls and input/output operations need to be monitored.” 暗示了在移动环境中监控的可行性。 | 对比文件主要描述了在单个计算设备（如智能手机）内进行行为监控、建模和异常检测。目标专利明确区分了执行分析的分析者节点和仅进行观察的观察者节点，且二者是不同的IoT设备。对比文件没有明确将监控/建模功能和检测分析功能物理分离到两个不同的网络设备上。然而，在分布式计算和物联网的背景下，将资源密集型任务（如行为建模和分析）分配给网络中能力更强的节点（分析者），而让资源受限的设备（观察者）仅负责收集数据，是一种合理且常见的技术演进。本领域技术人员基于对比文件公开的集中式行为分析框架，结合分布式系统设计的公知常识，有可能推理出将观察和分析功能分配给网络中不同设备的架构。因此，该特征被隐含公开。 | ||
| **技术特征C：《隐含公开》**<br>在所述第一节点处通过所述本地IoT网络接收与在所述第二节点处观察到的一个或多个行为相关的行为信息 | 说明书第[0070]-[0072]段描述了通过内核钩子（hook）拦截和记录用户按键、触摸屏等输入事件，并生成日志文件。第[0076]-[0077]段描述了监控帧缓冲器驱动并记录输出事件，并与输入事件进行时间戳关联。这些日志和事件数据可以被收集。 | 对比文件详细描述了如何在一个设备内部收集（接收）行为信息（如按键事件、触摸事件）。目标专利要求通过本地IoT网络从第二节点（观察者）接收行为信息。虽然对比文件没有明确提及跨网络传输行为信息，但其核心在于收集行为数据以供分析。在物联网环境中，为了实现集中分析，将观察节点收集的数据通过网络发送到分析节点是本领域技术人员容易想到的常规数据通信手段。因此，从对比文件公开的设备内部数据收集，可以合理推断出通过网络从另一个设备接收行为信息。故判断为隐含公开。 | ||
| **技术特征D：《直接公开》**<br>在所述第一节点处分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息 | 说明书第[0047]段：“The authorized use testing sub-system 109 can use the activity monitor component 114 to obtain a current pattern of use of a system support provider component. This current pattern of use can be effectively compared to the acceptable pattern of use defined by the acceptable usage pattern data 110.”；第[0057]段：“The detection engine ensures that a critical or key system call is being called in accordance with the policy defined by the user profile.” | 对比文件明确公开了未经授权使用测试子系统109（或检测引擎）获取当前使用模式，并将其与可接受的使用模式数据（即行为模型）进行比较，这构成了对行为信息的“分析”。分析的目的就是确定当前行为是否符合可接受模式。这与目标专利中在第一节点处分析行为信息的技术特征完全一致。虽然对比文件的分析可能在单个设备内完成，但“分析”这一动作本身已被直接公开。 | ||
| **技术特征E：《直接公开》**<br>在所述第一节点处将所分析的行为信息与关联于所述第二节点的所建模的正常行为进行比较以确定在所述第二节点处观察到的所述一个或多个行为是正常的还是异常的 | 说明书第[0047]段：“This current pattern of use can be effectively compared to the acceptable pattern of use defined by the acceptable usage pattern data 110.”；第[0057]段：“A policy can, for example, define a set of verifiable properties for the system call... and requires at least 85% similarly with the behavioral pattern provided in a user profile...”；第[0058]段：“it is effectively determined (458) whether the current pattern used to call the system call is within an acceptable range of what is considered to be an acceptable pattern for calling the system call.” | 对比文件直接且明确地公开了将当前使用模式（所分析的行为信息）与可接受的使用模式（所建模的正常行为）进行比较，以确定当前行为是否在可接受范围内，从而判断其是正常的（授权）还是异常的（未授权）。这完全对应于目标专利的技术特征E。比较的对象、目的和结果均相同。 | ||
| **技术特征F：《隐含公开》**<br>以及响应于基于所述比较确定在所述第二节点处观察到的所述行为信息指示了异常状况，触发一个或多个执行者来矫正所述第二节点处的行为异常， | 说明书第[0051]段：“The unauthorized usage indication allows remedial action to be taken (e.g., an application program can be denied access to the one or more system support provider components, the computing device can be locked, a warning can be issued, unauthorized use can be logged for analysis).” | 对比文件公开了在检测到未经授权使用（异常状况）时，生成未经授权使用指示，并允许采取补救措施。这些补救措施（如拒绝访问、锁定设备、发出警告）可以视为“触发执行者来矫正行为异常”的具体方式。虽然对比文件没有使用“执行者”这一术语，也没有明确针对“第二节点”，但其公开了检测异常后触发矫正动作的核心思想。本领域技术人员可以理解，在分布式IoT场景下，矫正动作可能由网络中的其他实体（执行者）来执行。因此，该特征被隐含公开。 | ||
| **技术特征G：《隐含公开》**<br>其中，所述一个或多个执行者被提供有用于辅助矫正一项或多项行为异常的技术。 | 说明书第[0051]段：“remedial action to be taken (e.g., an application program can be denied access to the one or more system support provider components, the computing device can be locked, a warning can be issued...)” | 对比文件列举的补救措施（如拒绝访问、锁定、警告）本身就是用于辅助矫正异常的技术手段。这些技术被提供给了采取补救措施的系统组件（可视为执行者）。因此，该特征被隐含公开。 | ||
| **技术特征H：《直接公开》**<br>其中，分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息进一步包括：从所述行为信息中提取一个或多个行为向量，其中所述行为信息表示n个行为特征并且所述一个或多个行为向量将所述n个行为特征映射到n维空间中。 | 说明书第[0080]-[0088]段：使用隐马尔可夫模型(HMM)对行为进行建模。其中定义了状态集合S、观察集合V、状态转移概率矩阵A、观察符号概率分布B等。观察序列O1, O2, ..., OT代表了行为信息。第[0085]式(1)计算给定状态下观察序列的输出概率。HMM模型参数(A, B, π)的估计过程，实质上就是从原始行为数据（观察序列）中提取出能够表征行为模式的参数集合，这些参数可以视为将行为特征映射到模型空间（可类比为某种向量空间）的表示。 | 对比文件虽然没有明确使用“行为向量”和“n维空间”这两个术语，但其采用HMM对用户行为进行建模的核心步骤，就是从原始行为观察数据（如按键序列、时间戳）中提取出一组能够表征行为模式的参数（如状态转移概率、观察概率）。这组参数本质上构成了对行为特征的一种数学表示或映射，其维度由模型的状态数N、观察数M等决定。本领域技术人员能够毫无疑义地认识到，HMM建模过程中的参数提取与目标专利中“从行为信息中提取行为向量并将其特征映射到多维空间”在技术实质上是一致的，都是将原始行为数据转化为可用于分析和比较的数学模型表示。因此，该特征被直接公开。 | ||
| **技术特征I：《未公开》**<br>进一步包括：为包括所述第一节点和所述第二节点的所述本地IoT网络建模 | 未找到对应内容。 | 对比文件专注于为单个计算设备或应用程序建立行为模型（用户配置文件或应用程序配置文件），以检测该设备上的异常使用。没有公开为包含多个异构设备的整个本地IoT网络建立一个整体的网络模型。目标专利中为整个IoT网络建模涉及聚合属性、构造拓扑等步骤，这是一个更高层次的、系统级的建模概念，对比文件并未涉及。 | ||
| **技术特征J：《未公开》**<br>以及基于在所述第二节点处观察到的所述行为信息，更新与所述本地IoT网络相关联的当前状态。 | 未找到对应内容。 | 对比文件提到了更新用户行为模型（如通过HMM的再估计，见第[0088]段），但这是针对单个用户或应用程序的行为模型的更新。没有公开基于一个节点的观察信息来更新整个“本地IoT网络”的“当前状态”。目标专利中的“当前状态”指的是网络整体的状态模型，这与对比文件中个体行为模型的更新有本质不同。 | ||
| **技术特征K：《未公开》**<br>其中，为所述本地IoT网络建模包括：聚集与所述本地IoT网络中的每一IoT设备相关联的属性 | 未找到对应内容。 | 对比文件没有涉及对网络中各设备属性的聚集。 | ||
| **技术特征L：《未公开》**<br>构造与所述本地IoT网络相关联的拓扑 | 未找到对应内容。 | 对比文件没有涉及构造网络拓扑。 | ||
| **技术特征M：《未公开》**<br>从与每一IoT设备相关联的制造商或者一个或多个仓储库获取与所述本地IoT网络中的每一IoT设备相关联的行为模型，所述一个或多个仓储库被配置成存储所述行为模型 | 未找到对应内容。 | 对比文件中的行为模型（用户配置文件）是通过本地学习生成的（第[0089]段），或者可能由设备制造商预装，但没有公开从一个集中式的仓储库为网络中的每个设备获取行为模型。 | ||
| **技术特征N：《未公开》**<br>以及组合与所述本地IoT网络中的每一IoT设备相关联的所聚集的属性、与所述本地IoT网络相关联的所述拓扑以及与所述本地IoT网络中的每一IoT设备相关联的所述行为模型以便为所述本地IoT网络建模。 | 未找到对应内容。 | 对比文件没有公开这种组合多种信息为整个网络建模的复杂过程。 | ||
| **技术特征O：《隐含公开》**<br>进一步包括：响应于确定在所述第二节点处观察到的所述一个或多个行为异常，通过所述第一节点向客户服务实体报告在所述第二节点处观察到的所述一个或多个行为。 | 说明书第[0051]段：“unauthorized use can be logged for analysis”。第[0057]段政策示例中涉及用户身份（“user Liang”），隐含了可能与用户或外部实体关联。 | 对比文件公开了可以将未经授权使用（异常）记录下来用于分析。记录日志本身可以视为一种报告形式。在物联网设备管理的背景下，将异常日志发送给制造商或客户服务实体以寻求支持，是本领域技术人员容易想到的常规后续步骤。因此，从“记录用于分析”可以合理推断出“向客户服务实体报告”。故判断为隐含公开。 | ||
| **技术特征P：《直接公开》**<br>其中，所述一个或多个异常行为指示对所述第二节点或者包括所述第二节点的所述本地IoT网络的潜在恶意攻击。 | 说明书第[0015]段：“techniques for detecting unauthorized use (e.g., malicious attacks) of computing systems”；第[0032]-[0035]段详细讨论了针对移动设备的恶意软件（如蠕虫、病毒）攻击；第[0058]段方法450的目的就是检测未经授权使用（恶意攻击）。 | 对比文件明确其发明目的就是检测计算系统的未经授权使用，特别是恶意攻击（如蠕虫、病毒）。检测到的异常行为（偏离可接受模式）直接指示了潜在恶意攻击。这与目标专利特征P的描述完全一致。 | ||
| **技术特征Q：《直接公开》**<br>其中，所述一个或多个异常行为指示所述第二节点处的潜在故障或异常工作状况。 | 说明书第[0034]段：“Malware has many other undesirable affects including compromising the privacy of the users.” 虽然主要针对恶意软件，但恶意软件导致的设备行为异常（如隐私泄露）本身也是一种异常工作状况。更广义地，任何偏离“正常行为模型”的行为，在目标专利的语境下都可能指示故障（如硬件故障导致功耗异常）。对比文件检测的“未经授权使用”是一种特定类型的“异常工作状况”。从对比文件公开的检测任何偏离正常模式的行为这一宽泛原理出发，本领域技术人员可以毫无疑义地理解，该技术同样适用于检测由非恶意原因（如故障）引起的异常工作状况，因为检测机制（比较行为与模型）是相同的。因此，该特征被直接公开。 | |||
| **技术特征R：《直接公开》**<br>其中，所述第二节点包括被配置成观察所述一个或多个行为的一个或多个组件。 | 说明书第[0045]段：“activity Monitor component 114 can effectively detect when one of the plurality of the system support provider components A, B, C and D are being used”；图3中的系统调用监视器114A和输入/输出监视器114B。 | 对比文件明确公开了活动监视器组件（如系统调用监视器、I/O监视器），其被配置为监视（观察）系统支持提供者组件（如系统调用）的使用以及输入/输出活动。这完全对应于目标专利中第二节点包含的用于观察行为的组件。 | ||
| **技术特征S：《隐含公开》**<br>其中，所述第二节点进一步包括发射机，所述发射机被配置成将表示所观察到的所述一个或多个行为的一个或多个行为特征发送到如下中的一者或多者：所述第一节点，或 被配置成从所述第二节点接收所述一个或多个行为特征并将所述一个或多个行为特征中继给所述第一节点的第三节点。 | 对比文件主要描述设备内部的数据流。然而，在设备内部，观察组件（如钩子函数）将记录的行为数据（日志）提供给分析组件（如检测引擎），这可以看作是一种内部“发送”。在分布式物联网的背景下，为了使一个节点能分析另一个节点的行为，为观察节点配备通信功能（发射机）以将数据发送给分析节点或其聚合节点（第三节点），是本领域技术人员基于网络通信的基本原理必然能够推理出的。因此，该特征被隐含公开。 | |||
| **技术特征T：《未公开》**<br>其中，包括所述第二节点的所述本地IoT网络进一步包括一个或多个节点，所述一个或多个节点被配置成监视所述第二节点通过所述本地IoT网络传送的消息并且根据在所述本地IoT网络上传送的所监视的消息将所述行为信息传送给所述第一节点。 | 未找到对应内容。 | 对比文件没有公开由专门负责网络流量监视的节点（如网络话务监视器）通过嗅探网络消息来获取设备行为信息，并将该信息传送给分析节点的架构。这是目标专利中一种特定的间接行为观察方式，对比文件未涉及。 | ||
| **技术特征U：《未公开》**<br>其中，所述第二节点处观察到的所述一个或多个行为是正常还是异常进一步地基于总状态模型与正常状态的比较，所述总状态模型定义了当前状态，所述正常状态与所述本地IoT网络相关联。 | 未找到对应内容。 | 对比文件中的比较是基于单个设备或应用程序的“可接受行为模式”（用户配置文件）。没有引入一个与整个“本地IoT网络”相关联的“总状态模型”和“正常状态”作为额外的比较基准。目标专利此特征强调了网络上下文在判断个体设备行为时的重要性，这是对比文件未公开的。 | ||
| **技术特征V：《直接公开》**<br>进一步包括：响应于基于所述比较确定在所述第二节点处观察到的所述行为信息不是指示异常状况，应用机器学习来更新设备行为模型。 | 说明书第[0088]段：“In each round of behavior learning, λ can be replaced by the estimated λ, based on a training set of behavior graphs. Given that P(O | λ)>P(O | λ) [ ], it means that λ converges to the actual model. A final λ can be obtained when some convergence criterion is met...” 这描述了使用行为图训练集，通过期望最大化（EM）算法等机器学习方法来更新HMM模型参数λ。第[0089]段：“user activities on the phone ... can be automatically collected and used to generate training data to learn the behavior of the user(s).” | 对比文件明确公开了应用机器学习（具体是HMM及其训练算法，如Baum-Welch算法）来从行为数据中学习并更新行为模型（λ）。当行为被判断为正常（即可用于训练）时，这些数据被用来改进模型。这直接对应于目标专利中在确定行为正常时应用机器学习更新设备行为模型的特征。 |
<<<D>>><<<E>>><<<H>>><<<P>>><<<Q>>><<<R>>><<<V>>><<<a>>><<<b>>><<<c>>><<<f>>><<<g>>><<<o>>><<<s>>>