### 特征比对表格
| 技术特征描述及公开性判断结果 | 对比文件原文引用 | 公开性论述 |
| **A：在本地IoT网络中的第一节点处为与所述本地IoT网络中的第二节点相关联的正常行为建模**<br>《直接公开》 | [0006] “A norm is established in an analysis process using the collected data.”<br>[0120] “establishing a norm by processing the collected data” | 对比文件公开了从多个设备收集数据，并在分析过程中建立“规范(norm)”。该规范定义了设备或应用程序的正常配置、状态或行为模式。此过程发生在服务器（可视为第一节点），用于表征与设备（可视为第二节点）相关联的正常行为。因此，本领域技术人员能够毫无疑义地确定，对比文件公开了在第一节点处为与第二节点相关联的正常行为建模。 |
| **B：其中，所述第一节点是配置成进行行为分析的分析者节点，所述第二节点是配置成观察本地行为的观察者节点，所述第一节点和所述第二节点是所述本地IoT网络中的不同IoT设备**<br>《隐含公开》 | [0064] “Models indicate what behaviors are normal. Models can be on the server, device, or both.”<br>[0118] “observations are transmitted to the server for evaluation and analysis” | 对比文件描述了由服务器（如图7中的服务器738）接收来自设备的观察数据并进行评估和分析，这对应于分析者功能。同时，设备（如图6中的设备605）包含监控模块(monitor 620)以观察其本地配置、状态和行为，这对应于观察者功能。服务器和设备是网络中的不同实体。虽然对比文件未明确使用“分析者节点”和“观察者节点”的术语，但其描述的架构明确区分了进行分析的实体（服务器）和执行观察的实体（设备）。根据隐含公开的宽松标准，本领域技术人员能够合理推断出对比文件公开了具有不同角色的不同节点。 |
| **C：在所述第一节点处通过所述本地IoT网络接收与在所述第二节点处观察到的一个或多个行为相关的行为信息**<br>《直接公开》 | [0006] “data is collected from a set of computing devices”<br>[0118] “observations are transmitted to the server” | 对比文件明确描述了从一组计算设备（第二节点）收集数据（即行为信息），并将这些观察数据传输到服务器（第一节点）。这直接对应于在第一节点处通过本地IoT网络（如通信网络125）接收在第二节点处观察到的行为信息。 |
| **D：在所述第一节点处分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息**<br>《直接公开》 | [0006] “analysis process uses risk models, correlation of states and events or event sequences, and prior knowledge”<br>[0118] “analysis server analyzes the observations” | 对比文件明确公开了服务器（第一节点）对从设备（第二节点）接收到的观察数据进行分析。分析过程包括使用风险模型、关联状态和事件等。这直接对应于在第一节点处分析与在第二节点处观察到的行为相关的行为信息。 |
| **E：在所述第一节点处将所分析的行为信息与关联于所述第二节点的所建模的正常行为进行比较以确定在所述第二节点处观察到的所述一个或多个行为是正常的还是异常的**<br>《直接公开》 | [0007] “The norm is compared with data collected from a particular computing device. If there is a deviation outside of a threshold deviation between the norm and the data collected from the particular computing device... a response is initiated.”<br>[0120] “comparing the norm with data collected from a first device of the plurality of devices” | 对比文件明确公开了将建立的“规范(norm)”（即所建模的正常行为）与从特定设备（第二节点）收集的数据（即所分析的行为信息）进行比较。如果偏差超过阈值，则判定为异常并触发响应。这直接对应于将所分析的行为信息与所建模的正常行为进行比较，以确定行为是正常还是异常。 |
| **F：以及响应于基于所述比较确定在所述第二节点处观察到的所述行为信息指示了异常状况，触发一个或多个执行者来矫正所述第二节点处的行为异常**<br>《直接公开》 | [0007] “a response is initiated”<br>[0008] “Responses can include... taking actions on a device, such as sounding an alarm, locking a device, full or selective wiping of a device, performing other commands such as blocking or uninstalling an application, blocking a web app, or other commands.” | 对比文件明确公开了在检测到设备行为偏离规范（即异常状况）时，会发起响应。响应包括在设备上采取各种矫正行动，例如发出警报、锁定设备、阻止或卸载应用程序等。这些行动由系统触发以矫正检测到的异常，对应了触发执行者来矫正行为异常。 |
| **G：其中，所述一个或多个执行者被提供有用于辅助矫正一项或多项行为异常的技术**<br>《直接公开》 | [0008] “taking actions on a device, such as sounding an alarm, locking a device, full or selective wiping of a device, performing other commands such as blocking or uninstalling an application, blocking a web app, or other commands.” | 对比文件列举了多种具体的矫正技术，例如发出警报、锁定设备、擦除数据、阻止或卸载应用等。这些技术被提供给系统（即执行者）用于辅助矫正检测到的异常。因此，对比文件直接公开了执行者被提供有矫正技术。 |
| **H：其中，分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息进一步包括：从所述行为信息中提取一个或多个行为向量，其中所述行为信息表示n个行为特征并且所述一个或多个行为向量将所述n个行为特征映射到n维空间中** | （无相应内容） | 对比文件描述了分析行为信息并建立规范，但未提及或暗示任何关于“行为向量”的概念，也未描述将n个行为特征映射到n维空间的具体技术手段。本领域技术人员无法从对比文件中直接或通过合理推理得出该特定技术方案。因此，该特征未被对比文件公开。 |
| **I：进一步包括：为包括所述第一节点和所述第二节点的所述本地IoT网络建模**<br>《隐含公开》 | [0120] “establishing a norm by processing the collected data”<br>[0135] “norms are calculated using data gathered across the herd or set of devices.” | 对比文件公开了基于从多个设备（即一个集合或网络）收集的数据来建立规范(norm)。这个规范是基于整个设备群体的行为，可以被视为对整个网络（包括作为第一节点的服务器和作为第二节点的设备）的行为建模。虽然对比文件没有明确使用“为本地IoT网络建模”的表述，但根据其描述的基于群体数据建立规范的过程，本领域技术人员能够合理推断出为包含多个设备的网络进行建模的概念。 |
| **J：以及基于在所述第二节点处观察到的所述行为信息，更新与所述本地IoT网络相关联的当前状态** | （无相应内容） | 对比文件提到了更新模型或规范（例如通过机器学习），例如第[0180]段。然而，其更新的是行为模型或规范本身，而非目标专利中所述的“与本地IoT网络相关联的当前状态”。该“当前状态”在目标专利中可能指网络的整体运行状况或拓扑状态。对比文件未公开基于单个节点（第二节点）的行为信息来更新这种网络级“当前状态”。因此，该特征未被公开。 |
| **K：其中，为所述本地IoT网络建模包括：聚集与所述本地IoT网络中的每一IoT设备相关联的属性**<br>《隐含公开》 | [0123] “device data pertains to the state, capabilities, operating system, firmware version, memory capacity, available communication ports, battery limitations, hardware characteristics and other ‘baseline’ information that may be common to all similar devices” | 对比文件在描述收集的设备数据时，明确列举了与设备相关的各种属性，如状态、能力、操作系统版本、硬件特性等。为建立规范（即建模）而处理收集的数据时，必然包括对这些来自每个设备的属性信息的聚集。虽然对比文件未明确将“聚集属性”表述为网络建模的一个分立步骤，但这是数据处理过程的必然组成部分。因此，本领域技术人员能够合理推断出该特征。 |
| **L：其中，为所述本地IoT网络建模包括：构造与所述本地IoT网络相关联的拓扑** | （无相应内容） | 对比文件全文未提及任何关于网络拓扑构造的内容。其关注点在于设备的行为、状态和配置，而非设备之间的连接关系或网络结构。因此，构造网络拓扑这一特征未被对比文件公开。 |
| **M：其中，为所述本地IoT网络建模包括：从与每一IoT设备相关联的制造商或者一个或多个仓储库获取与所述本地IoT网络中的每一IoT设备相关联的行为模型，所述一个或多个仓储库被配置成存储所述行为模型** | （无相应内容） | 对比文件描述了模型可以存在于服务器或设备上，并通过分析收集的数据来建立或更新模型（例如第[0064]、[0120]段）。然而，它并未提及从设备制造商或外部仓储库获取预存的行为模型。其模型生成主要依赖于对监控数据的分析，而非从外部源获取。因此，该特征未被公开。 |
| **N：其中，为所述本地IoT网络建模包括：组合与所述本地IoT网络中的每一IoT设备相关联的所聚集的属性、与所述本地IoT网络相关联的所述拓扑以及与所述本地IoT网络中的每一IoT设备相关联的所述行为模型以便为所述本地IoT网络建模** | （无相应内容） | 该特征是将前述聚集的属性、构造的拓扑和获取的行为模型进行组合的特定建模方式。由于对比文件未公开“构造拓扑”(L)和“从仓储库获取行为模型”(M)这两个子特征，因此也不可能公开将它们与其他元素组合的步骤。该整体特征未被公开。 |
| **O：进一步包括：响应于确定在所述第二节点处观察到的所述一个或多个行为异常，通过所述第一节点向客户服务实体报告在所述第二节点处观察到的所述一个或多个行为**<br>《隐含公开》 | [0008] “Responses can include notification and alerting of a user or administrator or analyst, via email or SMS or interactive voice response (IVR) or instant messaging or chat or via device push services or via user interface popups, or via entering or modifying records in a system used for workflow such as a trouble ticket system.” | 对比文件公开了响应行动包括向用户、管理员或分析师发送通知和警报，并提及可以通过工单系统记录。虽然“客户服务实体”在目标专利中可能特指设备制造商的服务部门，但对比文件中的“管理员”、“分析师”或“工单系统”在广义上可以涵盖提供技术支持或服务的实体。根据隐含公开的宽松标准，本领域技术人员能够合理推断出向相关服务实体报告异常行为的方案。 |
| **P：其中，所述一个或多个异常行为指示对所述第二节点或者包括所述第二节点的所述本地IoT网络的潜在恶意攻击**<br>《直接公开》 | [0003] “The rise and ubiquity of such devices has been accompanied by a rise in malicious software or malware... device robberies, information and identity theft, snooping, eavesdropping, and other unsavory acts.”<br>[0160] “Examples of indicators include an indicator of compromise” | 对比文件明确将检测异常与识别恶意软件（malware）、设备被盗、信息窃取等安全威胁相关联。其建立的系统旨在检测“入侵指标(indicator of compromise)”，这直接对应潜在的恶意攻击。因此，对比文件直接公开了异常行为可指示对设备或网络的潜在恶意攻击。 |
| **Q：其中，所述一个或多个异常行为指示所述第二节点处的潜在故障或异常工作状况**<br>《直接公开》 | [0003] “There can be defects or bugs in the device software, hardware, or both. Such defects can produce incorrect or unexpected results, or unintended behavior.”<br>[0294] “proactively identify devices that are performing out of spec” | 对比文件明确提到设备软件或硬件可能存在缺陷或错误，会导致意外结果或行为。系统可以主动识别性能不符合规范的设备。这表明异常行为可以指示设备的潜在故障或异常工作状况。因此，该特征被直接公开。 |
| **R：其中，所述第二节点包括被配置成观察所述一个或多个行为的一个或多个组件**<br>《直接公开》 | [0062] “monitor is responsible for observing configuration, state, and behavior on the device”<br>图6：展示了设备605中的监控模块(monitor 620) | 对比文件明确描述了设备（第二节点）包含一个监控模块(monitor)，其职责就是观察设备的配置、状态和行为。这直接对应于第二节点包括被配置成观察行为的一个或多个组件。 |
| **S：其中，所述第二节点进一步包括发射机，所述发射机被配置成将表示所观察到的所述一个或多个行为的一个或多个行为特征发送到如下中的一者或多者：所述第一节点，或被配置成从所述第二节点接收所述一个或多个行为特征并将所述一个或多个行为特征中继给所述第一节点的第三节点**<br>《隐含公开》 | [0118] “observations are transmitted to the server”<br>[0050] “signals from a computer may be transferred, at least in part, wirelessly to components or other computers.” | 对比文件明确描述了设备将观察数据发送（transmitted）到服务器。这必然意味着设备具备通信能力（即发射机）。虽然对比文件没有明确描述一个作为“第三节点”的中继设备，但其系统架构（图1、图7）中设备通过通信网络与服务器连接，网络基础设施（如接入点、路由器）在功能上可以视为中继节点。根据隐含公开标准，本领域技术人员能够合理推断出观察数据可以通过直接或中继的方式发送到分析节点。 |
| **T：其中，包括所述第二节点的所述本地IoT网络进一步包括一个或多个节点，所述一个或多个节点被配置成监视所述第二节点通过所述本地IoT网络传送的消息并且根据在所述本地IoT网络上传送的所监视的消息将所述行为信息传送给所述第一节点**<br>《隐含公开》 | [0273] “monitoring is possible from the network (e.g., in a VPN infrastructure, at a network appliance or server, or in a network switch, or a network operator's infrastructure)... the system may switch off some monitoring on the device itself because it can be more efficiently or effectively or completely done from that point in the network” | 对比文件提到监控活动可以从网络设备（如网络设备、服务器、交换机）进行，这些网络设备可以监视流经网络的传输，并可能代替或辅助设备本身的监控。这描述了一种配置，其中网络中的其他节点监视设备传送的消息，并将相关信息用于分析。虽然未明确在“本地IoT网络”的特定语境下，但其原理相同。因此，本领域技术人员能够合理推断出该特征。 |
| **U：其中，所述第二节点处观察到的所述一个或多个行为是正常还是异常进一步地基于总状态模型与正常状态的比较，所述总状态模型定义了当前状态，所述正常状态与所述本地IoT网络相关联**<br>《隐含公开》 | [0135] “norms are calculated using data gathered across the herd or set of devices.”<br>[0182] “norms can apply to ... known ok for organization or organizational unit of user” | 对比文件中的“规范(norm)”是基于整个设备群体（herd）的数据计算得出的，这可以被视为一种与设备群体（可类比为本地IoT网络）相关联的“总状态模型”或“正常状态”。判断单个设备行为是否异常，是通过将其数据与这个基于群体的规范进行比较。虽然术语不同，但原理一致。因此，本领域技术人员能够合理推断出该特征。 |
| **V：进一步包括：响应于基于所述比较确定在所述第二节点处观察到的所述行为信息不是指示异常状况，应用机器学习来更新设备行为模型**<br>《直接公开》 | [0180] “Learning can be unsupervised or semi supervised or supervised but former is generally the case.”<br>[0156] “applied machine learning techniques to evaluate the collected data, establish the norms, and identify anomalies.” | 对比文件明确公开了在分析和评估收集的数据、建立规范和识别异常的过程中应用机器学习技术。机器学习的过程 inherently 包括根据新数据（包括那些被判定为正常的数据）来更新和改进模型。因此，响应于行为被判定为正常（即非异常）而应用机器学习来更新模型，是本领域技术人员能够从对比文件中直接得出的技术方案。 |
<<<A>>><<<C>>><<<D>>><<<E>>><<<F>>><<<G>>><<<P>>><<<Q>>><<<R>>><<<V>>><<<b>>><<<i>>><<<k>>><<<o>>><<<s>>><<<t>>><<<u>>>