[发明专利]配电房物联网中设备类型识别方法

权利要求书

1.配电房物联网中设备类型识别方法，其特征在于，包括：

对于通过镜像和经过交换机的流量，采用旁路解析生成流量日志；

根据用户指定IP范围，利用探针服务器进行主动扫描，根据不同的传输协议，主动向网络中设备发送不同的协议指令，获取网络中设备的详细信息并生成流量日志；

利用本地文件的日志数据采集器主动检测流量日志，快速生成日志流，及时输入到流处理模型中；

在流处理模型中，根据得到的设备信息，按照不同设备的MAC地址对数据进行划分，首先将MAC地址作为设备的唯一标识，然后对与该MAC地址相关的数据进行整理建指纹表，表中数据作为该设备的指纹；当新的日志进入设备指纹表中时，若日志中相关的MAC地址在表中已经存在，则对MAC地址对应的设备指纹特征进行改动，若日志相关的某个MAC地址在表中不存在，则通过日志中MAC地址相关的数据生成新的设备指纹；之后，将新生成或有所改动的设备指纹以流的形式，分别传入设备画像流处理模型以及机器学习流处理模型中；

结合设备画像流处理模型以及机器学习流处理模型，对物联网设备指纹进行分析，从而获得设备最终的类型判别；

若场景中需要识别的设备类型有N个，分别为d₁,d₂,…,d_N，则设备画像流处理模型最终输出命中每一类型设备的概率为

所述的机器学习流处理模型的搭建包括模型选择和在线学习；

所述的模型选择：通过对比模型对特征分布的要求、模型的鲁棒性、模型的资源消耗情况、模型的可更新性、模型的样本外准确率，选择基于Boosting和树形模型的XGBoost；

所述的在线学习：针对有用户交互的场景，在基础的模型预测功能外，添加在线学习的特性，当模型判断的设备类型与用户的预期不符时，用户通过在交互页面上简单地更新设备的类型，从而一方面修正该设备的设备类型，另一方面更新模型；

所述的模型更新逻辑如下：

1)判断用户是否更新了设备的类型；

2)若用户更新了设备类型，记录该设备不同时间段的特征；

3)当特征数据积累到一定程度，在原模型的基础上，进一步训练模型，且提高最新特征数据的权重；

4)保存训练好的新模型，并将新模型应用到后续的预测中；

训练模型后，通过模型判断不同的设备，输出命中每一类型设备的概率

设定机器学习流处理模型针对不同设备类型识别的模型成熟度为：在模型部署到一个新的环境中后，按照不同设备的数据规模，对于不同的设备，设定阈值

如在线学习阶段统计不同设备相关的训练数据数量则在一开始将模型成熟度初始化为(0,1)区间中的随机数或0.5，然后在每次在线学习中，更新每一个

最后结合两个流处理模型，对物联网设备类型进行判断，输出命中每一类型设备的最终概率为：

式中，为命中每一类型设备的最终概率。

2.根据权利要求1所述的配电房物联网中设备类型识别方法，其特征在于，在流处理的流程中，首先对不同的日志信息进行筛选：

针对HTTP、SSL、SMB、MQTT、DNS、DHCP和onvif网络协议日志，分析日志，提取类型判断需要用到的特征，确定以下的特征值作为类型判定的依据：onvif协议、流量进出比、源IP常访问端口、目的IP监听端口、dns注册域名、源IP常用的软件包和用户代理信息。

3.根据权利要求1或2所述的配电房物联网中设备类型识别方法，其特征在于，当设备指纹流入设备画像流处理模型中，对设备指纹进行分析认定，采用一维指纹特征或多维指纹特征。

4.根据权利要求1所述的配电房物联网中设备类型识别方法，其特征在于，对于进入机器学习流处理模型中的设备指纹数据，首先利用特征工程的方法，对其进行筛选和处理，其中特征处理包括数据清洗、数据规范化和特征衍生与提取；特征筛选采用过滤法、包装法和嵌入法；然后搭建相应的机器学习流处理模型。

5.根据权利要求1所述的配电房物联网中设备类型识别方法，其特征在于，得到两个流处理模型的判断概率后，采用一种基于学习等级的权重配置方法对两个模型得到的概率结果进行投票，从而得到命中每一个设备的概率。

6.根据权利要求1所述的配电房物联网中设备类型识别方法，其特征在于，所述的传输协议有TCP、UDP、私有协议HikVision。