对比文件名称：2014-02-20_发明申请_US20140053261A1 On-Line Behavioral Analysis Engine in Mobile Device with Multiple Analyzer Model Providers
目标专利名称：150监视物联网设备健康状况的方法、装置、设备和存储介质CN107409073B
本次调用的模型名称：GPT-4
### 特征比对表格
| 技术特征描述以及公开性判断结果 | 对比文件原文引用 | 公开性论述 |
| **技术特征A**：在本地IoT网络中的第一节点处为与所述本地IoT网络中的第二节点相关联的正常行为建模<br>**《隐含公开》** | [0003] “...receiving a behavior model from an application download service that identifies the factors and data points that are most relevant to enabling the mobile device processor to better determine whether a mobile device behavior is benign or malicious...”<br>[0065] “The mobile device may receive and implement, apply, or use the data/behavior models to identify and correct suspicious, malicious or performance-degrading mobile device behaviors.” | 对比文件公开了移动设备从应用下载服务接收行为模型，该模型标识了最相关的因素和数据点以确定移动设备行为是良性（正常）还是恶意（异常）。接收并安装该模型，以便后续用于分析行为（例如[0003], [0065]段），这一过程实质上是在为设备的“正常行为”建立参考模型（即建模）。虽然对比文件中的建模对象是移动设备自身的行为，而非明确为网络中的另一个节点，但“为正常行为建模”这一技术手段本身已被公开。本领域技术人员可以毫无疑义地理解，从外部源获取并安装一个定义了正常行为特征的数据模型，即为一种“为正常行为建模”的方式。因此，该技术特征被对比文件**隐含公开**。 |
| **技术特征B**：其中，所述第一节点是配置成进行行为分析的分析者节点，所述第二节点是配置成观察本地行为的观察者节点，所述第一节点和所述第二节点是所述本地IoT网络中的不同IoT设备<br>**《未公开》** | [0061] “In an aspect, an observer process, daemon, module, or sub-system (herein collectively referred to as a “module”) of the mobile device may instrument or coordinate various application programming interfaces (APIs)... and collect behavior information from the instrumented components. In an aspect, the mobile device may also include an analyzer module and/or a classifier module. The observer module may communicate (e.g., via a memory write operation, function call, etc.) the collected behavior information to the classifier module and/or the analyzer module... of the mobile device...” (参见图2A, 2B) | 对比文件明确描述了在**同一个移动设备**内，观察者模块（observer module）收集行为信息，并传递给分析器模块（analyzer module）和/或分类器模块（classifier module）进行分析（[0061]段及图2A, 2B）。所有模块都位于同一设备上，构成一个完整的设备上（on-device）分析架构。没有公开观察者节点和分析者节点是本地IoT网络中两个不同的IoT设备。目标专利中分布式架构的核心特征（分析节点与观察节点分离且位于不同设备上）未被公开。 |
| **技术特征C**：在所述第一节点处通过所述本地IoT网络接收与在所述第二节点处观察到的一个或多个行为相关的行为信息<br>**《未公开》** | [0061] “...The observer module may communicate (e.g., via a memory write operation, function call, etc.) the collected behavior information to the classifier module and/or the analyzer module (e.g., via a memory write operation, etc.) of the mobile device...” | 对比文件中，行为信息是在设备内部从观察者模块传递到分析器/分类器模块（例如通过内存写操作、函数调用等），这是进程间或模块间通信，而非通过“本地IoT网络”从一个IoT设备（第二节点）传输到另一个IoT设备（第一节点）。目标专利中跨设备的网络通信特征未被公开。 |
| **技术特征D**：在所述第一节点处分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息<br>**《未公开》** | [0061] “...which may analyze and/or classify the collected behavior information, generate behavior vectors, generate spatial and/or temporal correlations based on the behavior vector and information collected from various other mobile device sub-systems, and determine whether a particular mobile device behavior, software application, or process is benign, suspicious, malicious, or performance-degrading.” | 对比文件公开了分析器模块（analyzer module）分析从观察者模块收集到的行为信息。然而，该分析是针对**本设备自身**被观察到的行为进行的。技术特征D限定的是分析“在所述第二节点处观察到的”行为信息，即分析来自另一个设备（第二节点）的行为信息。由于技术特征B和C未被公开，对比文件缺少“第一节点分析来自不同第二节点信息”的跨设备上下文。因此，该技术特征未被公开。 |
| **技术特征E**：在所述第一节点处将所分析的行为信息与关联于所述第二节点的所建模的正常行为进行比较以确定在所述第二节点处观察到的所述一个或多个行为是正常的还是异常的<br>**《未公开》** | [0061] “...and determine whether a particular mobile device behavior, software application, or process is benign, suspicious, malicious, or performance-degrading.”<br>[0095] “The classifier module may receive the behavior vectors and compare them to one or more behavior modules to determine whether a particular mobile device behavior, software application, or process is performance-degrading/malicious, benign, or suspicious.” | 对比文件公开了分类器模块将生成的行为向量与行为模型进行比较，以确定设备行为是良性（正常）还是恶意/性能退化（异常）。但是，这个比较是针对**本设备自身**的行为和与之关联的模型进行的。技术特征E限定的是将所分析的信息与“关联于所述第二节点的所建模的正常行为”进行比较，即比较的对象是另一个设备（第二节点）的模型。该跨设备的比较关系未被公开。 |
| **技术特征F**：以及响应于基于所述比较确定在所述第二节点处观察到的所述行为信息指示了异常状况，触发一个或多个执行者来矫正所述第二节点处的行为异常<br>**《未公开》** | [0097] “When the classifier module determines that a behavior, software application, or process is malicious or performance-degrading, the classifier module may notify the actuator module, which may perform various actions or operations to correct mobile device behaviors determined to be malicious or performance-degrading and/or perform operations to heal, cure, isolate, notify the user or otherwise fix the identified problem.” | 对比文件公开了当分类器模块确定行为是恶意或性能退化时，通知执行器模块（actuator module）来纠正**本移动设备**的行为。技术特征F限定的是触发执行者来矫正“第二节点处的行为异常”，即矫正另一个设备的问题。这种跨设备的异常矫正机制未被公开。 |
| **技术特征G**：其中，所述一个或多个执行者被提供有用于辅助矫正一项或多项行为异常的技术。<br>**《未公开》** | [0097] “...which may perform various actions or operations to correct mobile device behaviors... and/or perform operations to heal, cure, isolate, notify the user or otherwise fix the identified problem.” | 对比文件公开了执行器模块执行各种动作或操作来纠正行为，例如修复、治愈、隔离、通知用户等，这些可以视为“用于辅助矫正行为异常的技术”。然而，技术特征G是依附于技术特征F的，其上下文是矫正“第二节点”的异常。由于技术特征F（跨设备矫正）未被公开，该限定性特征所指向的应用场景也不同，因此未被公开。 |
| **技术特征H**：其中，分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息进一步包括：从所述行为信息中提取一个或多个行为向量，其中所述行为信息表示n个行为特征并且所述一个或多个行为向量将所述n个行为特征映射到n维空间中。<br>**《未公开》** | [0095] “...The behavior analyzer module may be configured to analyze information... learn the normal operational behaviors of the mobile device, and generate one or more behavior vectors based the results of the comparisons.”<br>[0111] “The results of the spatial and temporal correlations may be sent to the behavior vector generator 310, which may receive the correlation information and generate a behavior vector that describes the behaviors of a particular process, application, or sub-system.” | 对比文件明确公开了从行为信息中提取或生成行为向量（behavior vector），该向量基于多个行为特征（[0095], [0111]段）。这公开了“提取行为向量”以及“将特征映射到向量空间”的技术手段。然而，技术特征H是技术特征D的进一步限定，其前提是分析“在第二节点处观察到的”行为信息。由于技术特征D的跨设备分析前提未被公开，因此该具体提取向量的步骤在目标专利所限定的跨设备场景中也未被公开。 |
| **技术特征I**：进一步包括：为包括所述第一节点和所述第二节点的所述本地IoT网络建模<br>**《未公开》** | 无相应内容 | 对比文件专注于单个移动设备的行为建模与分析，完全没有提及为包含多个异构设备的“本地IoT网络”进行整体建模的概念。目标专利中网络级建模的特征未被公开。 |
| **技术特征J**：以及基于在所述第二节点处观察到的所述行为信息，更新与所述本地IoT网络相关联的当前状态。<br>**《未公开》** | 无相应内容 | 对比文件没有提及“本地IoT网络”的“当前状态”，更没有基于来自其他节点的信息更新该状态。该特征未被公开。 |
| **技术特征K**：其中，为所述本地IoT网络建模包括：聚集与所述本地IoT网络中的每一IoT设备相关联的属性<br>**《未公开》** | 无相应内容 | 对比文件没有提及聚集网络中每个IoT设备的属性。该特征未被公开。 |
| **技术特征L**：构造与所述本地IoT网络相关联的拓扑<br>**《未公开》** | 无相应内容 | 对比文件没有提及构造网络拓扑。该特征未被公开。 |
| **技术特征M**：从与每一IoT设备相关联的制造商或者一个或多个仓储库获取与所述本地IoT网络中的每一IoT设备相关联的行为模型，所述一个或多个仓储库被配置成存储所述行为模型<br>**《未公开》** | [0054] “...enable behavior models to be downloaded from the Internet or an application download service, such as an “app store,” (e.g., Apple® App Store, Windows® Store, Google® Play, etc.), a cloud service or server, a URL address, an FTP server, etc.” | 对比文件公开了从应用下载服务（如应用商店、云服务器等）下载行为模型，这可以视为从一个“仓储库”获取模型。但是，对比文件中获取模型是为了**本移动设备**自身的行为分析，而不是为目标专利中所述的“本地IoT网络中的每一IoT设备”获取模型。后者是网络建模的一部分，涉及为多个异构设备获取模型，该特征未被公开。 |
| **技术特征N**：以及组合与所述本地IoT网络中的每一IoT设备相关联的所聚集的属性、与所述本地IoT网络相关联的所述拓扑以及与所述本地IoT网络中的每一IoT设备相关联的所述行为模型以便为所述本地IoT网络建模。<br>**《未公开》** | 无相应内容 | 对比文件没有提及将设备属性、网络拓扑和设备行为模型组合起来为网络建模。该特征未被公开。 |
| **技术特征O**：进一步包括：响应于确定在所述第二节点处观察到的所述一个或多个行为异常，通过所述第一节点向客户服务实体报告在所述第二节点处观察到的所述一个或多个行为。<br>**《未公开》** | [0067] “In various aspects, mobile devices, including mobile devices configured with downloaded analyzer/classifier models, may forward behavior vectors, analysis results and other behavior analysis data to a network server, such as a server supporting a downloaded analyzer/classifier model.” | 对比文件公开了移动设备可以将行为向量和分析结果转发给网络服务器。然而，这是作为反馈机制用于模型 refinement，或是一般的数据报告，并非明确对应于目标专利中“向客户服务实体报告异常以寻求矫正”的场景。更重要的是，技术特征O限定了报告的是“在所述第二节点处观察到的”异常行为，即报告另一个设备的异常。这种跨设备的异常报告机制未被公开。 |
| **技术特征P**：其中，所述一个或多个异常行为指示对所述第二节点或者包括所述第二节点的所述本地IoT网络的潜在恶意攻击。<br>**《未公开》** | [0057] “The term “performance degradation” is used herein to refer to a wide variety of undesirable mobile device operations and characteristics, such as longer processing times, slower real time responsiveness, lower battery life, loss of private data, malicious economic activity (e.g., sending unauthorized premium SMS message), denial of service (DoS), operations relating to commandeering the mobile device or utilizing the phone for spying or botnet activities, etc.” | 对比文件公开了所检测的恶意/性能退化行为可以包括恶意攻击（如DoS、劫持设备等）。但这同样是针对本设备自身的判断。技术特征P将异常行为具体解释为对“第二节点或本地IoT网络”的潜在恶意攻击，这个解释所依附的跨设备或网络安全的上下文未被公开。 |
| **技术特征Q**：其中，所述一个或多个异常行为指示所述第二节点处的潜在故障或异常工作状况。<br>**《未公开》** | [0057] (同上) | 对比文件公开了所检测的行为可以指示性能退化（如处理时间变长、电池寿命降低等），这可以涵盖“故障或异常工作状况”。但同样，这是针对本设备。技术特征Q限定的“第二节点处”的潜在故障未被公开。 |
| **技术特征R**：其中，所述第二节点包括被配置成观察所述一个或多个行为的一个或多个组件。<br>**《未公开》** | [0082] “The behavior observer module 202 may be configured to instrument or coordinate application programming interfaces (APIs) and other components... at various levels/modules of the mobile device, and monitor/observe mobile device operations and events... collect information pertaining to the observed operations/events...” | 对比文件公开了行为观察者模块（observer module）包含被配置成观察移动设备操作和事件的组件。然而，在目标专利中，“第二节点”是特指在分布式架构中扮演“观察者”角色的独立IoT设备。由于技术特征B（分析者与观察者是不同设备）未被公开，对比文件中的观察者模块仅是设备内部的一个功能模块，而非一个独立的、具有观察组件的“节点”设备。因此，该特征未被公开。 |
| **技术特征S**：其中，所述第二节点进一步包括发射机，所述发射机被配置成将表示所观察到的所述一个或多个行为的一个或多个行为特征发送到如下中的一者或多者：所述第一节点，或被配置成从所述第二节点接收所述一个或多个行为特征并将所述一个或多个行为特征中继给所述第一节点的第三节点。<br>**《未公开》** | 无相应内容 | 对比文件描述了观察者模块通过内存写操作、函数调用等方式将信息传递给同设备内的分析模块，没有提及使用“发射机”通过通信网络将行为特征发送给另一个设备（第一节点）或通过中继节点（第三节点）转发。目标专利中观察者节点向外部节点发送数据的通信特征未被公开。 |
| **技术特征T**：其中，包括所述第二节点的所述本地IoT网络进一步包括一个或多个节点，所述一个或多个节点被配置成监视所述第二节点通过所述本地IoT网络传送的消息并且根据在所述本地IoT网络上传送的所监视的消息将所述行为信息传送给所述第一节点。<br>**《未公开》** | 无相应内容 | 对比文件没有提及通过网络探听（嗅探）等方式监视设备间网络消息来获取行为信息的节点。该特征未被公开。 |
| **技术特征U**：其中，所述第二节点处观察到的所述一个或多个行为是正常还是异常进一步地基于总状态模型与正常状态的比较，所述总状态模型定义了当前状态，所述正常状态与所述本地IoT网络相关联。<br>**《未公开》** | 无相应内容 | 对比文件没有提及“总状态模型”或基于网络整体状态进行行为判定的概念。所有分析均基于单个设备的行为模型和上下文。该特征未被公开。 |
| **技术特征V**：进一步包括：响应于基于所述比较确定在所述第二节点处观察到的所述行为信息不是指示异常状况，应用机器学习来更新设备行为模型。<br>**《隐含公开》** | [0065] “The mobile device may receive and implement, apply, or use the data/behavior models to identify and correct suspicious, malicious or performance-degrading mobile device behaviors. This may be achieved by the mobile device replacing or updating an all or portions of existing data/behavior model of the mobile device, and applying the new/updated models...”<br>[0070] “The network server may continuously reevaluate existing lean data/behavior models as new behavior/analysis reports are received from mobile devices, and/or generate new or updated lean data/behavior models based on historical information... new information, machine learning, context modeling, and detected changes...” | 对比文件公开了移动设备可以更新其行为模型（[0065]段），并且网络服务器可以基于从众多移动设备接收的新行为/分析报告，应用机器学习（machine learning）来重新评估和生成新的或更新的行为模型（[0070]段）。这公开了“应用机器学习来更新设备行为模型”的技术手段。虽然对比文件中模型更新的触发条件可能多样（如收到新报告、新信息等），而目标专利限定为“响应于...确定...不是指示异常状况”，但本领域技术人员可以理解，模型更新是持续学习过程的一部分，正常行为数据同样是用于改进模型的重要输入。因此，在宽松的隐含公开判断标准下，对比文件隐含公开了应用机器学习更新设备行为模型的特征。 |
<<<a>>><<<v>>>