一种基于物联网终端行为画像的数据分析方法及系统与流程

本发明涉及物联网数据处理，具体是一种基于物联网终端行为画像的数据分析方法及系统。

背景技术：

1、低功耗广域网（lpwan）以nb-iot、lora等为代表，凭借其低功耗、广覆盖、大连接的技术优势，已成为物联网海量终端互联的核心支撑技术。终端行为画像技术通过对设备运行产生的数据进行建模，构建表征其正常行为模式的特征基线，进而识别偏离基线的异常行为，是物联网终端安全检测的常用方法之一。

2、lpwan终端为满足低功耗需求，通常采用间歇性通信模式，仅在特定时刻唤醒并上报少量数据后即进入休眠状态；lpwan终端典型上报间隔为数小时甚至数天，远长于wifi、ble等传统物联网终端，在长达数小时至数天的休眠时段内，终端所在无线信道中可能发生多次噪声波动、同频干扰或信号衰减事件等，这些事件的累积效应会直接影响终端下次唤醒后的通信质量，甚至改变终端的正常通信行为模式，导致基于历史统计的行为基线进一步偏离终端的真实工况。然而，现有技术在进行行为画像时，仅分析终端上报数据包本身所携带的特征，对终端在上报间隔期间信道中实际发生的状态变化缺乏有效的感知与记录；主要分析依据仅限于终端主动上报的有限数据，无法获取休眠期间信道中已发生的噪声波动和干扰事件信息，导致评估结果难以反映终端通信链路在实际传输过程中的真实状态。

技术实现思路

1、本发明的目的在于提供一种基于物联网终端行为画像的数据分析方法及系统，以解决上述背景技术中提出的问题。

2、为了解决上述技术问题，本发明提供如下技术方案：一种基于物联网终端行为画像的数据分析方法，包括：

3、步骤s100：在终端相邻两次通信之间的休眠时段内，网关持续监测终端所在信道的状态参数并记录，包括信道噪声底噪的波动值和非本终端来源信号的出现频次；将本次休眠时段内记录的状态参数与休眠时段结束后首次上报的通信质量参数进行关联存储，形成休眠与通信关联记录；

4、步骤s200：采集预设历史时段内多条休眠与通信关联记录，以信道状态参数为条件，以通信质量参数为结果，构建信道状态与通信质量之间的映射关系；

5、步骤s300：终端完成休眠并上报数据时，提取本次休眠时段内网关记录的信道状态参数，同步提取本次上报的通信质量参数；结合映射关系判断当前通信参数是否匹配对应信道下的正常区间，依据匹配结果判定当前报文是否需要拦截，同步留存全部信道与通信原始记录并生成初步异常提示；

6、步骤s400：若当前报文判定为待拦截，则评估本次拦截操作对区域整体信道传输产生的干扰程度，执行分级拦截策略；

7、步骤s500：统计固定时间窗口内的拦截判定结果与异常次数，输出分级异常预警，并结合信道干扰等级自动生成终端通信处置策略。

8、步骤s100具体包括：

9、步骤s101：网关接收目标终端本次上报的数据包后，记录本次上报的接收时刻，作为目标终端当前休眠时段的起始时刻；网关持续监听目标终端的下一次上行上报，当接收到目标终端的下一次上报数据包时，记录下一次上报的接收时刻，作为当前休眠时段的结束时刻；将起始时刻与结束时刻之间的时间段确定为目标终端的当前休眠时段；

10、步骤s102：在当前休眠时段内，网关以固定采样间隔周期性地采集目标终端所在信道的状态参数，包括信道噪声底噪的测量值和信道中非本终端来源信号的检测结果；

11、网关通过接收机的rssi测量功能获取当前信道的噪声底噪数值，将当前噪声底噪值与当前信道历史平均噪声底噪作差值计算，得到噪声底噪波动值，具体为：噪声底噪波动值=|当前噪声底噪-历史平均噪声底噪|；

12、同时，网关对接收信号进行前导码识别，判断信道中是否存在非目标终端发送的射频信号，并统计当前休眠时段内此类非目标终端来源信号的出现次数，作为非本终端来源信号的出现频次；

13、步骤s103：当前休眠时段结束后，目标终端发起下一次上报，网关接收下一次上报的数据包并提取对应的通信质量参数，所述通信质量参数包括接收信号强度和信噪比；将步骤s102中记录的噪声底噪波动值和非本终端来源信号出现频次，与所述通信质量参数进行关联存储，形成单条休眠与通信关联记录，按终端设备编号归档保存。

14、步骤s200具体包括：

15、步骤s201：从终端的历史数据中提取预设历史时段内形成的所有休眠与通信关联记录，设共n条记录，每条记录包含一个休眠时段内的信道状态参数和对应的通信质量参数；所述信道状态参数至少包括噪声底噪波动值δp和非本终端来源信号的出现频次f，所述通信质量参数至少包括接收信号强度r；将每条记录表示为一个三维样本向量sn=(δpn,fn,rn)，其中(δpn,fn)为第n条记录在信道状态空间中的坐标，rn为第n条记录对应的接收信号强度标注值，n∈[1,n]；

16、步骤s202：分析n个样本点在信道状态空间中的分布密度，对于信道状态空间中的任意位置x=(δp,f)，计算该位置处的密度值d(x)为以x为中心、以r为半径的圆形区域内所包含的样本点数量与区域面积的比值：d(x)=k(x,r)/(πr2)；

17、其中k(x,r)为落入以x为中心、半径为r的圆形区域内的样本点总数，r为预设的邻域半径；将密度值d(x)与预设密度阈值td进行比较，当d(x)≥td时，将位置x标记为高密度点位，当d(x)

18、步骤s203：当终端完成当前休眠并上报数据时，提取本次休眠时段的信道状态参数，作为待查询点xq=(δpq,fq)；判断待查询点xq是否落入高密度覆盖区域a内：

19、若xq落入高密度覆盖区域a内，则提取a内所有样本点的r值，以该集合的中位数m作为基准值，以该集合的四分位距q作为波动幅度，则预期通信质量区间为[m-k×q,m+k×q]，其中k为预设的正数系数；

20、若xq未落入高密度覆盖区域a内，则选取待查询点xq在信道状态空间中的最近邻样本点，记最近邻样本点为st，其对应的r标注值为rt，以rt作为基准值，以预设的扩展宽度δ作为浮动范围，则预期通信质量区间为[rt-δ,rt+δ]；其中，δ∈[3,10]；

21、将当前实际接收信号强度rq与预期通信质量区间进行比对，若rq落入该区间内则判定通信正常，否则判定异常；

22、步骤s204：每次确认有效通信后，将当前休眠与通信关联记录作为新增样本点加入样本点集合，重新执行步骤s202的密度分析，更新高密度覆盖区域a；对于样本点集合中落于当前高密度覆盖区域a之外、且在最近预设次数的查询中均未被选为最近邻样本的样本点，将其从样本点集合中移除；所述高密度覆盖区域及对应的预期通信质量区间计算规则，共同构成对应终端在信道状态空间中的映射关系。

23、步骤s300具体包括：

24、步骤s301：终端完成当前休眠并上报数据时，网关接收当前上报的数据包，记录本次上报的接收时刻，提取本次上报的通信质量参数，包括实际接收信号强度rc；同时，从网关本地存储中调取本次休眠时段内记录的信道状态参数，包括本次休眠时段的噪声底噪波动值δpc和非本终端来源信号的出现频次fc，将(δpc,fc)作为待查询点的信道状态坐标；

25、步骤s302：根据步骤s200确定的映射关系，以(δpc,fc)为输入，按照步骤s203中的预期通信质量区间计算方式，得到当前信道状态下的预期通信质量区间[l,u]，其中l为区间下限，u为区间上限；将实际接收信号强度rc与预期通信质量区间[l,u]进行比对：若l≤rc≤u，则判定当前通信质量与信道状态匹配；若rcu，则判定当前通信质量与信道状态不匹配；

26、步骤s303：当步骤s302判定为匹配时，将当前报文标记为合规报文，允许正常转发；当步骤s302判定为不匹配时，将当前报文标记为待拦截报文，执行拦截处理，并在本地留存本次休眠时段的全部信道状态记录和本次上报的通信质量原始记录；根据步骤判定结果生成初步异常提示：当报文被标记为合规报文时，生成状态正常提示；当报文被标记为待拦截报文时，生成初步异常提示，并将该异常提示与留存记录进行关联标注后保存至本地异常日志。

27、步骤s400具体包括：

28、步骤s401：网关维护每个终端的信号特征向量，所述信号特征向量至少包括该终端在预设历史时段内多次上报时的平均接收信号强度μrssi和平均信号到达角度μj；当步骤s303将当前报文标记为待拦截报文时，以当前目标终端t的信号特征向量(μrssit,μjt)为参照，遍历同一网关下所有其他终端，将当前遍历到的任一其他终端记为k，逐一计算终端k的信号特征向量与目标终端t的信号特征向量之间的相似度；当相似度超过预设相似度阈值时，将终端k标记为目标终端t的空间邻近终端；将所有空间邻近终端构成目标终端t的邻近终端集合n(t)；

29、步骤s402：统计邻近终端集合n(t)中当前处于活跃状态的终端数量ma，所述处于活跃状态的终端为预设时间窗口内存在有效上报行为的终端；以及邻近终端集合中已被标记为高优先级终端的数量mp；计算拦截影响指数f：

30、f=(ma/|n(t)|)×(mp+1)；

31、其中|n(t)|为邻近终端总数；ma/|n(t)|表示邻近区域终端活跃密集程度；(mp+1)表示邻近区域高优先级终端受影响的权重系数；所述邻近区域为目标终端t的空间邻近终端集合n(t)所对应的射频邻近区域；

32、步骤s403：将s402拦截影响指数f与预设的低干扰阈值tl和高干扰阈值th进行比较，执行分级拦截策略：

33、若f

34、若tl≤f

35、若f≥th，则判定本次拦截操作对邻近区域的干扰影响较大，暂不执行拦截丢弃，调取邻近终端集合n(t)中各终端在最近一个预设时间窗口内的异常检测记录，查询其中是否存在已被标记为待拦截的邻近终端，

36、若存在，则判定邻近区域内存在多个终端同时出现异常，触发区域协同异常告警，并将当前报文与邻近异常终端列表关联记录后允许转发；

37、若不存在，则判定当前异常仅限于目标终端t自身，将当前报文标记为关注报文并允许转发，同时对目标终端t的后续通信执行限流处理。

38、步骤s500具体包括：

39、步骤s501：统计当前统计周期内目标终端t在步骤s303中被标记为合规报文的总次数cnt、被标记为待拦截报文的总次数cit，以及步骤s403中因f≥th被标记为关注报文的总次数cwt和被触发区域协同告警的次数crt，计算目标终端t的综合异常指数e(t)：

40、e(t)=(cit+cwt×λw+crt×λr)/ctotalt；

41、其中，ctotalt为当前统计周期内目标终端t上报报文的总次数，λw为关注报文的加权系数，λr为区域告警的加权系数，且λw和λr均大于1，用于反映关注报文和区域告警相比普通待拦截报文具有更高的风险权重；

42、步骤s503：将综合异常指数e(t)与预设的预警等级阈值进行比较，输出对应的分级异常预警：

43、当e(t)低于第一预警阈值时，判定终端状态正常，不输出预警；

44、当e(t)达到第一预警阈值但低于第二预警阈值时，判定终端处于低风险异常状态，输出一级预警，提示运维人员对目标终端t进行持续监测；

45、当e(t)达到第二预警阈值但低于第三预警阈值时，判定终端处于中风险异常状态，输出二级预警，建议对目标终端t执行离线检测；

46、当e(t)达到或超过第三预警阈值时，判定目标终端t处于高风险异常状态，输出三级预警，建议运维人员对目标终端t进行现场检查或替换；

47、当区域协同告警的累计次数cr在预设时间窗口内超过预设区域告警门限时，输出区域级预警，提示当前网关覆盖范围内存在区域性通信异常，建议执行区域信道扫描。

48、一种基于物联网终端行为画像的数据分析系统，包括信道数据采集与关联模块、终端行为画像构建模块、报文判定拦截模块、拦截影响评估模块、统计预警输出模块：

49、信道数据采集与关联模块在终端相邻两次通信之间的休眠时段内，网关持续监测终端所在信道的状态参数并记录，包括信道噪声底噪的波动值和非本终端来源信号的出现频次；将本次休眠时段内记录的状态参数与休眠时段结束后首次上报的通信质量参数进行关联存储，形成休眠与通信关联记录；

50、终端行为画像构建模块采集预设历史时段内多条休眠与通信关联记录，以信道状态参数为条件，以通信质量参数为结果，构建信道状态与通信质量之间的映射关系；

51、报文判定拦截模块在终端完成休眠并上报数据时，提取本次休眠时段内网关记录的信道状态参数，同步提取本次上报的通信质量参数；结合映射关系判断当前通信参数是否匹配对应信道下的正常区间，依据匹配结果判定当前报文是否需要拦截，同步留存全部信道与通信原始记录并生成初步异常提示；

52、拦截影响评估模块若当前报文判定为待拦截，则评估本次拦截操作对区域整体信道传输产生的干扰程度，执行分级拦截策略；

53、统计预警输出模块统计固定时间窗口内的拦截判定结果与异常次数，输出分级异常预警，并结合信道干扰等级自动生成终端通信处置策略。

54、与现有技术相比，本发明所达到的有益效果是：

55、本发明通过在终端休眠时段内持续记录信道噪声波动和外来信号出现情况，并将其与终端唤醒后的通信质量进行关联存储，构建了休眠与通信全周期的行为分析路径，使终端的行为画像能够覆盖完整的休眠与通信周期，在lpwan终端通信频率较低的工况下，仍能从有限的通信事件中获取更多反映终端工作状态的信息，提升了行为画像在数据稀疏场景下的稳定性；

56、本发明通过构建各终端信道状态与通信质量之间的映射关系，实现了对终端上报报文的异常判定，能够有效识别因终端自身问题或信道异常导致的通信质量偏差；通过评估邻近终端的活跃密集程度和高优先级终端受影响的权重，使拦截操作对区域信道的干扰保持在可控范围内；在高干扰情况下进一步结合邻近终端异常状态进行协同判断，能够有效区分个体异常与区域性问题，并在区域性问题出现时触发协同告警；通过统计终端在时间窗口内的异常事件计算综合异常指数，实现分级预警输出，为运维人员提供差异化的处置依据。