[发明专利]用于物联网中的隐私保护的异常检测的方法、系统及计算机可读存储介质

权利要求书

1.一种在计算机中实现的用于异常检测的方法，所述计算机包括处理器、能由所述处理器访问的存储器、以及存储在所述存储器中并且能由所述处理器执行的计算机程序指令，所述方法包括：

在计算机系统处收集去往和来自至少一个设备的多个消息；

在所述计算机系统处从所收集的所述多个消息中提取元数据特征，所提取的元数据特征包括以下各项中的至少一个：与每个消息相关联的所述至少一个设备的ID、每个消息的消息大小、每个消息的通信方向、和每个消息的通信时间；

在所述计算机系统处生成时间窗口，其中，基于所述至少一个消息的通信频率来选择所述时间窗口的大小，并且允许在单个时间窗口中收集大量的消息；

在所述计算机系统处基于在所述时间窗口期间存在的所提取的元数据特征来确定附加特征，其中所述附加特征包括以下各项中的至少一个：时间方面，包括设备发送消息的间隔或频率、和消息的平均周期或频率中的至少一个；时间分层结构，包括星期几、一天中的时间、和小时的一部分中的至少一个；消息序列，包括消息长度的模式、消息类型、特定设备的设备ID、设备类型、和设备类别中的至少一个；并且其中确定在所述时间窗口期间存在的所提取的元数据特征包括以下各项中的至少一个：对在所述时间窗口期间去往和来自所述至少一个设备的消息的数量进行计数；以及生成在所述时间窗口期间的不同消息大小的直方图；

在所述计算机系统处基于所收集的所述多个消息来检测所述至少一个设备的行为模式；

在所述计算机系统处对在所述时间窗口期间存在的所确定的附加特征和所检测到的行为模式进行聚类，所述聚类包括K均值聚类和层次聚类中的至少一个；

在所述计算机系统处构建消息模式的混合正态分布模型，其包括：

在所述计算机系统处构建所述至少一个设备及其集群的历史消息大小直方图的模型，其中该模型具有混合正态分布，以及当消息的大小偏离该模型的所述混合正态分布时，检测到异常；以及

在所述计算机系统处构建所述至少一个设备及其集群的历史消息计数的模型，其中该模型具有正态分布，以及当所述至少一个设备的消息计数偏离该模型的所述正态分布时，检测到异常；以及

在所述计算机系统处使用经聚类的所确定的附加特征、所述混合正态分布模型和所检测到的行为模式来检测至少一个异常或异常类型。

2.根据权利要求1所述的方法，还包括：

在所述计算机系统处收集去往和来自多个设备的多个消息；

在所述计算机系统处基于所收集的所述多个消息来检测至少一个类型的设备的行为模式；以及

在所述计算机系统处使用所检测到的所述至少一个类型的设备的行为模式来检测至少一个异常。