[发明专利]一种基于设备通信数据特征的异常设备检测方法

权利要求书

1.一种基于设备通信数据特征的异常设备检测方法，其特征在于，包括：

选取物联网设备通信行为特征，建立表征物联网设备通信行为特征的数据对象模型；

预处理得到表征数据对象密集程度的密度半径，同时依大小由密向疏排列；密度半径e的计算公式为：其中M为密度阈值，distance_pi表示离检测点最近M个点的距离；

依次处理设备行为数据点，通过比较该数据点局部密度与其邻域点密度均值的差异程度，过滤孤立噪声点，对物联网设备行为数据集按局部密度聚类，建立正常行为特征数据库，比较待测设备通信行为数据，识别异常行为；具体包括：

A31：从数据集中顺序取出一个未访问数据点p，采用公式计算p点局部邻域点的密度半径均值，E_p表示该数据点邻域点的数据密集情况，e_qi表示与设备行为特征最相似的设备群特征；

A32：比较该点p与其局部邻域点密度半径均值Ep的差异程度o，其中o＝|log2(ep/Ep)|，Ep为p点局部邻域点密度半径均值；以oa为检测条件，过滤影响数据库准确性的个别噪声点，并标记为已访问，a为事先设定的差异参数，取值为1；

A33：对于符合条件的非孤立点p，标记为第k簇点，记第k簇内平均密度半径值为E，将p添加进Seeds集合内；

A34：若Seeds为空，则跳回A31；若Seeds不为空，则任取Seeds内一点q，标记为第k簇类点，加权更新第k簇内平均密度半径值为E＝(E*(N-1)+Eq)/N，N为当前簇内节点数；对于q邻域内任一点p，该点p与其局部邻域点密度半径均值Ep的差异程度o，若符合条件oa，则将该点p添加入Seeds；若不符合条件oa，则将点p标记为已访问，重复A34；

A35：完成全部设备通信行为数据集的处理，形成分布全局的多种密度分布的物联网设备正常行为特征库；对于待检测设备行为数据对象w，计算其密度半径值ew及在特征库下的局部邻域点密度半径均值Ew，检测条件oa与EwEv是否符合，判断其是否属于设备正常行为特征簇，从而识别设备异常行为，其中Ev为最邻近点所在簇的簇内密度半径均值，若有任一条件不满足则为异常行为；连续多个周期进行检测，多次检测均标记为异常行为时，标记该设备为异常设备。

2.根据权利要求1所述一种基于设备通信数据特征的异常设备检测方法，其特征在于，连续周期检测物联网设备通信行为数据，若连续标记设备异常行为记录次数超过阈值，则将该设备判断为异常设备。