CN112352408A - 入侵者检测方法及装置 - Google Patents

Abstract

提供了一种入侵者检测方法，包括：安全服务器基于进入者进入受控访问区的进入指示向所述受控访问区中的设备发送验证提示，其中，所述验证提示指示所述进入者应执行预定义的验证动作；所述安全服务器接收进入者行为信息；所述安全服务器将所述进入者行为信息与所述受控访问区相关联的一组授权人员的行为模型进行比较，其中，所述行为模型包括所述验证提示；如果所述进入者行为信息与所述行为模型中包括的行为序列不匹配，那么所述安全服务器生成入侵者指示。

Description

入侵者检测方法及装置

发明领域

本发明涉及智能家居技术，尤其涉及智能家居系统中的入侵者检测。

背景技术

智能家居技术越来越普及。利用智能家居技术，可以将家庭中的部分或全部设备连接到智能家庭网络中。越来越多的家庭设备可以连接到智能家庭网络，用于智能家庭服务和安全，例如操作家庭设备和/或与家庭设备通信，这些家庭设备包括例如咖啡机、门铃、语音网关、烟雾探测器、烤箱或其他传感器或电器。

智能家庭安全是智能家庭系统客户所需的。家庭安全系统通常依赖于家庭安全设备或传感器的信息来识别入侵者，例如具有人脸识别功能的摄像头、指纹识别器、可以通过手机使用蓝牙或地理位置信息(例如，GPS)、WiFi收发器或集线器、蓝牙收发器或集线器等打开的门锁。

家庭安全系统通常使用家庭内单个设备或传感器(例如，门传感器)的信息来确定是否存在入侵者。然而，仅使用单个设备可能会有盲点，并且可能无法检测所有区域的入侵者。另外，单个设备可能由于环境变化或可变性产生误告警。如果用户戴着帽子和眼镜，或者外观有变化或改变，摄像头可能只能部分识别用户，甚至可能错误识别用户。另外，入侵者可能使用图片或2D/3D面罩来欺骗摄像头或其他识别传感器。

发明内容

提供了一种入侵者检测方法，包括：安全服务器基于进入者进入受控访问区的进入指示向所述受控访问区中的设备发送验证提示，其中，所述验证提示指示所述进入者应执行预定义的验证动作；所述安全服务器接收进入者行为信息；所述安全服务器将所述进入者行为信息与所述受控访问区相关联的一组授权人员的行为模型进行比较，其中，所述行为模型包括所述验证提示；如果所述进入者行为信息与所述行为模型中包括的行为序列不匹配，那么所述安全服务器生成入侵者指示。通过所提供的解决方案，响应于所述验证提示，所述安全服务器可以基于所述进入者的后续行为来确定是否允许所述进入者进入所述受控访问区内。这提升了验证准确性。

在一些方法实施例中，所述进入指示包括在进入事件期间获取的进入者身份，其中，所述方法还包括以下初步步骤：将所述进入者身份与所述一组授权人员的授权人员信息进行比较；如果所述进入者身份与所述授权人员信息不匹配，那么执行所述发送、接收、比较和生成的步骤。通过所提供的所述解决方案，只有在所述进入者身份与所述授权人员信息不匹配时，所述安全服务器才执行所述发送、接收、比较和生成的步骤。如果所述进入者身份与所述授权人员信息匹配，那么可以减少所述安全服务器进行的处理。因此节省了所述安全服务器的资源。

在一些方法实施例中，所述行为模型包括所述一组授权人员的一个或多个行为序列。因此，所述安全服务器在可用于执行所述入侵者检测的行为序列方面将有更多的选择。

在一些方法实施例中，在发送所述验证提示之前，所述方法还包括：从所述行为模型中的多个行为序列中选择所述行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。通过所提供的所述解决方案，所述安全服务器选择与所述预定义的验证动作对应的行为序列。因此，所述安全服务器可以更准确地验证所述进入者行为。

在一些方法实施例中，在发送所述验证提示之前，所述方法还包括：将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；针对每个行为序列生成匹配分数；从所述行为模型中的多个行为序列中选择具有最高匹配分数的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。通过所提供的所述解决方案，使用所述选择的具有最高匹配分数的行为序列与所述进入指示进行匹配。使用所述最高匹配分数可以更准确地验证所述进入者。

在一些方法实施例中，在发送所述验证提示之前，所述方法还包括：将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；针对每个行为序列生成匹配分数和扰动分数；如果至少两个行为序列共有最高匹配分数，那么从所述至少两个行为序列中选择与所述最高匹配分数或最高扰动分数对应的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。通过所提供的上述解决方案，将所述具有最高扰动分数的行为序列用于验证过程。具有所述最高扰乱分数的所述行为序列可以更准确地验证所述进入者。

在一些方法实施例中，所述接收所述进入者行为信息包括：接收所述进入者行为信息，直到遇到所述进入者行为信息中的结束事件或验证周期结束，其中，所述结束事件在所述选择的行为序列中指定。通过所提供的上述解决方案，所述安全服务器在发现结束事件或验证周期结束时停止接收所述进入者行为信息。这可以限制所述进入者身份的传输并节省网络资源。

在一些方法实施例中，所述将所述进入者行为信息与所述行为模型进行比较包括：将所述进入者行为信息与所述行为模型进行比较，并生成行为比较值；当所述行为比较值小于告警阈值时，生成所述入侵者指示。通过上述解决方案，基于所述行为比较值生成所述入侵者指示，这提供了一种新的解决方案，即基于所述进入者行为的比较进行验证。

在一些方法实施例中，在发送所述验证提示之前，所述方法还包括：在学习阶段累积授权人员行为信息；识别所述累积的授权人员行为中的行为模式；在完成所述学习阶段之后生成一个或多个行为序列，其中，所述一个或多个行为序列是基于所述行为模式生成的。通过上述解决方案，在执行所述验证过程之前，所述安全服务器生成行为序列，其中，所述行为序列是基于所述授权人员行为的。因此，可以更加准确和轻易地执行所述验证。

在一些方法实施例中，所述在所述学习阶段期间累积所述授权人员行为动作包括：基于所述行为模型中指定的至少一个行为参数，向所述设备发送行为模型提示，其中，所述行为模型提示指示所述授权人员执行指定的授权人员动作；响应于所述行为模型提示，接收授权人员行为信息。

在一些方法实施例中，在发送所述行为模型提示之前，所述方法还包括：针对多个序列动作中的每个序列动作，获取所述至少一个行为模型参数。

根据第一方面的第九实现方式或任一种上述实现方式，所述进入者的所述进入指示包括进入初始评估值，其中，所述方法还包括：在发送所述验证提示之前，所述安全服务器进一步确定所述进入初始评估值小于入侵者初始评估阈值。通过上述解决方案，所述安全服务器仅在所述进入初始评估值小于入侵者初始评估阈值时执行验证，因此可以在所述进入初始评估值较大时避免所述验证。因此，当所述进入初始评估值较大时，节省了安全服务器资源。

提供了一种安全服务器，包括：包括指令的非瞬时性存储器；与所述存储器通信的一个或多个处理器，其中，所述一个或多个处理器执行所述指令以：基于进入者进入受控访问区的进入指示向所述受控访问区中的设备发送验证提示，其中，所述验证提示指示所述进入者应执行预定义的验证动作；接收进入者行为信息；将所述进入者行为信息与所述受控访问区相关联的一组授权人员的行为模型进行比较，其中，所述行为模型包括所述验证提示；如果所述进入者行为信息与所述行为模型中包括的行为序列不匹配，那么生成入侵者指示。

在一些安全服务器实施例中，所述进入指示包括在进入事件期间获取的进入者身份，所述方法还包括以下初步步骤：将所述进入者身份与所述一组授权人员的授权人员信息进行比较；如果所述进入者身份与所述授权人员信息不匹配，那么执行所述发送、接收、比较和生成的步骤。

在一些安全服务器实施例中，在发送所述验证提示之前，所述方法还包括：从所述行为模型中的多个行为序列中选择所述行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

在一些安全服务器实施例中，在发送所述验证提示之前，所述方法还包括：将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；针对每个行为序列生成匹配分数；从所述行为模型中的多个行为序列中选择具有最高匹配分数的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

在一些安全服务器实施例中，在发送所述验证提示之前，所述方法还包括：将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；针对每个行为序列生成匹配分数和扰动分数；如果至少两个行为序列共有最高匹配分数，那么从所述至少两个行为序列中选择与所述最高匹配分数或最高扰动分数对应的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

在一些安全服务器实施例中，所述接收所述进入者行为信息包括：接收所述进入者行为信息，直到遇到所述进入者行为信息中的结束事件或验证周期结束，其中，所述结束事件在所述选择的行为序列中指定。

在一些安全服务器实施例中，所述将所述进入者行为信息与所述行为模型进行比较包括：将所述进入者行为信息与所述行为模型进行比较，并生成行为比较值；当所述行为比较值小于告警阈值时，生成所述入侵者指示。

在一些安全服务器实施例中，在发送所述验证提示之前，所述方法还包括：在学习阶段累积授权人员行为信息；识别所述累积的授权人员行为中的行为模式；在完成所述学习阶段之后生成一个或多个行为序列，其中，所述一个或多个行为序列是基于所述行为模式生成的。

在一些安全服务器实施例中，所述在所述学习阶段期间累积所述授权人员行为动作包括：基于所述行为模型中指定的至少一个行为参数，向所述设备发送行为模型提示，其中，所述行为模型提示指示所述授权人员执行指定的授权人员动作；响应于所述行为模型提示，接收授权人员行为信息。

在一些安全服务器实施例中，在发送所述行为模型提示之前，所述方法还包括：针对多个序列动作中的每个序列动作，获取所述至少一个行为模型参数。

提供了另一种检测服务器执行的入侵者检测方法。在所述方法中，所述检测服务器接收来自安全服务器的验证提示，其中，所述验证提示基于进入者进入受控访问本地区的进入指示，所述验证提示指示所述进入者执行验证动作；向所述受控访问区中的设备发送所述验证提示；接收进入者行为信息，其中，所述进入者行为信息响应所述验证提示；向所述安全服务器发送所述进入者行为信息，以确定所述进入者是否为入侵者。通过上述解决方案，所述检测服务器接收所述验证提示，向所述安全服务器发送所述进入者行为信息，使得所述安全服务器可以使用所述进入者行为信息执行所述验证。因此，基于所述进入者的行为信息提供了新的验证，这改进了所述验证过程。

在一些方法实施例中，所述方法还向所述安全服务器发送所述进入指示，以触发所述安全服务器执行所述验证。

在一些方法实施例中，所述进入指示包括进入初始评估值，所述进入初始评估值可以指示所述安全服务器基于所述进入初始评估值执行所述验证，简化了所述安全服务器执行的所述验证过程。

在一些方法实施例中，所述方法还接收来自所述安全服务器的行为模型提示；向所述受控访问区内的授权人员发送所述行为模型提示，其中，所述行为模型提示指示所述授权人员响应于所述行为模型提示执行预定的行为序列。通过所提供的上述解决方案，所述检测服务器可以与所述安全服务器配合建立所述行为模型。

在一些方法实施例中，所述检测服务器还接收授权人员行为信息，其中，所述授权人员行为信息被所述安全服务器订阅。因此，所述检测服务器向所述安全服务器发送授权人员行为信息。通过所提供的所述解决方案，所述检测服务器与所述安全服务器配合建立所述行为模型。

提供了一种检测服务器。所述检测服务器可以实现上文所述的检测服务器的任何功能。所述检测服务器的功能可以经由硬件或软件实现。所述硬件或软件可以包括与上文所述的功能相对应的一个或多个模块。所述一个或多个模块可以包括接收模块、发送模块等。

提供了一种检测服务器。所述安全服务器可以实现上文所述的安全服务器的任何功能。所述安全服务器的功能可以经由硬件或软件实现。所述硬件或软件可以包括与上文所述的功能相对应的一个或多个模块。所述一个或多个模块可以包括通信模块、处理模块等。

在所述检测服务器实施例中，所述检测服务器包括：包括指令的非瞬时性存储器；与所述存储器通信的一个或多个处理器，其中，所述一个或多个处理器用于执行所述指令，其中，所述安全服务器可以执行第二方面或所述第二方面的任一种实现方式中描述的解决方案。

在一些实施例中，计算机存储介质存储用于所述服务器的指令。所述指令包括软件或计算机程序，所述软件或计算机程序在由一个或多个处理器执行时实现如上文所述的检测服务器或安全服务器的功能。

上述实施例实现的技术优势可以指所述方法实施例的任何实现方式的优势，包括所述安全服务器或所述检测服务器执行的实施例。

附图说明

图1是根据一实施例的入侵者检测系统的图。

图2是根据一实施例的装置的图。

图3A是根据一实施例的入侵者检测方法的流程图。

图3B是根据一实施例的入侵者检测方法的流程图。

图4是根据一实施例的行为模型构建方法的流程图。

图5是根据一实施例的行为模型构建方法的信号流程图。

图6是根据一实施例的入侵者检测方法的信号流程图。

图7是根据一实施例的安全服务器的图。

图8是根据一实施例的检测服务器的图。

具体实施方式

以下结合附图进行详细描述，所述附图是描述的一部分，并通过图解说明的方式示出可以实施本发明的具体实施例。这些实施例进行了足够详细的描述以使本领域技术人员能够实践本发明，应理解，可以利用其他实施例，并且在不脱离本发明范围的情况下可以进行结构、逻辑和电更改。因此，以下描述的示例性实施例并不当作限定，本发明的范围由所附权利要求书界定。

在一个实施例中，本文所述的功能或算法可以在软件中实现。所述软件可以包括存储于计算机可读介质或计算机可读存储设备(例如，一个或多个非瞬时性存储器或其他类型的基于硬件的本地或网络存储设备)中的计算机可执行指令。此外，此类功能与模块对应，所述模块可以是软件、硬件、固件或其任意组合。可以根据需要在一个或多个模块中执行多个功能，所述实施例仅仅是示例性的。所述软件可以在数字信号处理器、ASIC、微处理器或在计算机系统(例如个人计算机、服务器或其他计算机系统)上运行的其他类型的处理器上执行，从而将这种计算机系统转换成专门编程的机器。

图1是根据一实施例的入侵者检测系统100的图。入侵者检测系统100包括位于受控访问区13内的多个设备10。所示实施例中的入侵者检测系统100还包括检测服务器20、安全服务器30和用户设备(user device，UD)40。多个设备10、安全服务器30和/或UD 40例如经由通信网络(未示出)连接到检测服务器20或与检测服务器20通信。所述通信网络可以包括有线或无线电话通信网络、光通信网络、因特网或任何其他合适的通信网络。检测服务器20可以分别与多个设备10、安全服务器30和UD 40通信。UD 40可以经由相同或不同的通信网络(未示出)与检测服务器20和安全服务器130通信。所述通信网络可以包括有线或无线电话通信网络、光通信网络、因特网或任何其他合适的通信网络。UD 40可以包括蜂窝电话、智能手机、寻呼机、平板电脑、个人数字助理(personal digital assistant，PDA)、膝上型电脑或其他计算机或其他类似设备。不一一穷举。

受控访问区13可以是住宅、房屋、办公室、任何形式的建筑物、有栅栏或有边界的区域、或任何接入受控的区域。多个设备10可以包括受控访问区13中的多个不同设备和/或传感器。多个设备10例如可以包括电话、烟雾探测器、门铃、电视、冰箱、灯、摄像头等。不一一列举，也考虑其他电子设备用于家庭或其他受控访问区13。

受控访问区13中的多个设备10可以直接受一个或多个授权人员控制。或者，多个设备10可以由授权人员远程访问和控制，例如经由遥控器(未示出)。

检测服务器20与多个设备10进行通信。检测服务器20可以位于受控访问区13内，也可以位于受控访问区13外。在一些实施例中，检测服务器20用于监测由多个设备10传输的消息和/或信号。检测服务器20用于监测多个设备10，并确定何时有一个(或多个)人员进入受控访问区13。检测服务器20可接收和解译开门或开窗消息或信号，并确定是否有人已进入受控访问区13(即，进入者)。

此外，检测服务器20用于确定进入者是授权进入受控访问区13还是入侵者。检测服务器20用于：如果检测服务器20确定进入者，即进入受控访问区13的人员是入侵者，则生成入侵者指示。所述入侵者指示随后可用于生成入侵者指示显示、触发警报或执行其他动作，包括通知执法人员。

检测服务器20可以包括用于执行上述动作并与受控访问区13和多个设备10通信的服务器。检测服务器20可包括一个或多个组件或系统，包括地理分布式组件或系统。检测服务器20可包括网络网关设备或系统，也可以包括任何其他合适的网络组件或系统。检测服务器20以有线或无线通信方式与多个设备10中的每个设备通信。所述无线通信方式包括但不限于红外(IR)、蓝牙通信、z-ware、近场通信(near-field communication，NFC)、zigbee通信、wifi通信、短消息业务(short message service，SMS)通信等通信技术。所述有线通信方式包括但不限于有线互联网通信、同轴电缆通信、电话线通信、经由光纤或自由空气的光通信或其他通信技术。

在一些实施例中，检测服务器20接收来自多个设备10的信息，例如受控访问区13中人员的行为信息，并将该信息发送给安全服务器40。

检测服务器20存储一个或多个进入者验证算法，确定是否生成入侵者指示。检测服务器20还利用所述一个或多个进入者验证算法确定是否向安全服务器30发送进入指示。

安全服务器30与检测服务器20通信，以执行安全验证功能。因此，可以创建安全服务器30以增加检测服务器20的安全能力。或者，安全服务器30可以集成到检测服务器20中，作为检测服务器20的一部分或子系统。在一实施例中，安全服务器30利用授权人员行为信息区分进入者(即，进入受控访问区13的一个或多个人员)是授权人员还是入侵者。该进入者验证可以取代或补充监测受控访问区13的系统的识别程序。

安全服务器30执行的进入者验证使用授权人员行为信息来验证进入者。所述进入者验证不依赖于进入者输入用户代码。所述进入者验证不依赖于对进入者脸部或外表进行识别或鉴定。所述进入者验证不依赖于对进入者进行生物特征扫描。

安全服务器30存储包括多个行为序列的行为模型。所述多个行为序列中的每个行为序列与所述行为模型的至少一个行为参数对应，例如进入时间、进入位置、待发送给受控访问区13内的一个或多个设备的验证提示、结束事件参数、扰动分数参数、可检测性分数参数，或行为序列参数。将所述多个行为序列用于入侵者检测。安全服务器30可以接收来自检测服务器20的进入指示。基于多个行为序列中选择的行为序列以及接收到的进入者行为信息，安全服务器30决定是否向UD 40发送入侵者指示。

UD 40可以与检测服务器20和安全服务器30通信。UD 40可以修改安全提供程序所提供的行为模型的行为参数。UD 40可以接收来自检测服务器20和安全服务器30的入侵者指示。

图2是根据一实施例的装置200的图。装置200可包括UD 40、检测服务器20或安全服务器30。或者，装置200可以执行UD 40、检测服务器20和/或安全服务器30的功能。

特定设备可利用所有所示的组件或仅所述组件的子集，设备之间的集成程度可能不同。此外，设备可以包括组件的多个实例，例如多个处理器、存储器、发射器、接收器等。

装置200可以包括中央处理单元(central processing unit，CPU)204、存储器210、大容量存储设备206、输出接口212和输入接口214，它们均连接到总线222。CPU 204可以经由总线222与存储器210、大容量存储设备206、输出接口212和输入接口214通信。

总线222可以是任意类型的若干总线架构中的一个或多个，包括存储总线或存储控制器、外设总线、视频总线等等。CPU 204可包括任何类型的电子数据处理器。存储器210可包括任意类型的非瞬时性存储器，例如静态随机存取存储器(static random accessmemory，SRAM)、动态随机存取存储器(dynamic random access memory，DRAM)、同步DRAM(synchronous DRAM，SDRAM)、只读存储器(read-only memory，ROM)或它们的组合等等。在一实施例中，存储器210可包括开机时所使用的ROM以及执行程序时用于存储程序和数据的DRAM。

存储器210可以存储指令224。指令224包括由CPU 204执行的软件或例程。

大容量存储设备206可包括任意类型的非瞬时性存储设备，用于存储数据、程序或其他信息，并使数据、程序和其他信息可经由总线222访问。例如，大容量存储设备206可包括固态硬盘、硬盘驱动器、磁盘驱动器、光盘驱动器等中的一个或多个。

输出接口212和输入接口214提供接口，用于将输入设备218和输出设备220耦合到装置200。示例性输入设备218包括鼠标、键盘、触摸屏、麦克风、键盘等。示例性输出设备220包括显示设备、打印机、扬声器、触摸屏等。可以将其他设备耦合到CPU 204，并且可以利用更多或更少的接口设备。例如，可使用诸如通用串行总线(Universal Serial Bus，USB)(未示出)等串行接口将接口提供给打印机。应理解，也可以将输入接口214和输出接口212组合成单个I/O接口。

装置200还包括一个或多个网络接口208，用于与一个或多个外部网络230通信。外部网络230可以包括用于接入节点的有线链路(例如，以太网电缆等)和/或无线链路。网络接口208允许处理系统200经由一个或多个网络230与远程单元通信。例如，网络接口208可以经由一个或多个发射器/发射天线以及一个或多个接收器/接收天线提供无线通信。在一实施例中，装置200耦合到局域或广域网230，用于数据处理以及与远程设备(例如，其他处理单元、因特网、远程存储设施等)通信。

在一些实施例中，装置200(例如，包括安全服务器30)包括：包括指令224的非瞬时性存储器210；与存储器210通信的一个或多个处理器204。一个或多个处理器204执行指令224以：基于进入者进入受控访问区13的进入指示向受控访问区13的设备10发送验证提示，其中，所述验证提示指示所述进入者应执行预定义的验证动作；接收进入者行为信息；将所述进入者行为信息与受控访问区13相关联的一组授权人员的行为模型进行比较，其中，所述行为模型包括所述验证提示；如果所述进入者行为信息与所述行为模型中包括的行为序列不匹配，那么生成入侵者指示。

在一些装置实施例中，如果所述进入者行为信息在预定验证周期内与所述行为模型中包括的行为序列不匹配，那么所述装置生成入侵者指示。

在一些装置实施例中，所述进入指示包括在进入事件期间获取的进入者身份，所述装置初步将所述进入者身份与所述一组授权人员的授权人员信息进行比较；如果所述进入者身份与所述授权人员信息不匹配，那么执行所述发送、接收、比较和生成。

在一些装置实施例中，所述行为模型包括所述一组授权人员的一个或多个行为序列。在一些装置实施例中，所述行为模型与所述受控访问区或所述一组授权人员中的一者或两者对应。

在一些装置实施例中，在发送所述验证提示之前，所述装置从所述行为模型中的多个行为序列中选择所述行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

在一些装置实施例中，在发送所述验证提示之前，所述装置将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；针对每个行为序列生成匹配分数；从所述行为模型中的多个行为序列中选择具有最高匹配分数的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

在一些装置实施例中，在发送所述验证提示之前，所述装置将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；针对每个行为序列生成匹配分数和扰动分数；如果至少两个行为序列共有最高匹配分数，那么从所述至少两个行为序列中选择与所述最高匹配分数或最高扰动分数对应的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

在一些装置实施例中，所述装置接收所述进入者行为信息，直到遇到所述进入者行为信息中的结束事件或验证周期结束，其中，所述结束事件在所述选择的行为序列中指定。

在一些装置实施例中，所述装置将所述进入者行为信息与所述行为模型进行比较，并生成行为比较值；当所述行为比较值小于告警阈值时，生成所述入侵者指示。

在一些装置实施例中，从所述进入指示接收所述进入者行为信息并将所述进入者行为信息与所述行为模型进行比较，直到验证周期结束。在其他装置实施例中，从发送所述验证提示直到验证周期结束，接收所述进入者行为信息并将所述进入者行为信息与所述行为模型进行比较。

图3A是根据一实施例的入侵者检测方法300的流程图。在一些示例中，方法300可以由安全服务器执行。方法300通过要求进入者执行验证过程来执行入侵者检测。如果所述进入者没有执行提示的验证过程，如果所述进入者未能正确执行提示的验证过程，或者如果没有在预定时间段内成功完成所述验证过程(如果在验证计时器超时之前未完成验证过程，则验证失败)，那么方法300生成入侵者指示。所述验证过程包括要求所述进入者执行预定的动作序列，以验证所述进入者是否授权进入所述受控访问区。预定的行为序列包括一个或多个授权人员在所述受控访问区中执行的正常和常规动作。响应于所述验证提示，方法300通过比较所述进入者的动作以及确定所述进入者的行为是否与所述一个或多个授权人员的行为充分匹配，确定所述进入者是授权的还是入侵者。所述入侵者指示可用于执行额外的安全动作，包括触发警报、锁门或通知执法人员等。

在步骤301中，获取进入指示。所述进入指示通常指示一个或多个人员(即，“进入者”)已进入所述受控访问区。所述进入指示包括进入事件期间获取的进入者身份。所述进入者身份可以是进入者的声音、进入者的脸部、进入者的指纹等。然后，在发送验证提示之前，可以使用进入者身份确定所述进入者是否为入侵者。所述进入指示还可以包括进入动作信息、进入位置信息、进入时间信息、进入事件持续时间信息、进入事件次序信息中的一项或多项。

在步骤302中，将所述进入指示与一组授权人员进行比较。所述一组授权人员可以是一个或多个授权人员。

可以将进入身份与所述一组授权人员进行比较。如果所述进入信息与所述一组授权人员中的一个授权人员匹配，则该方法转至步骤307。如果所述进入身份与所述一组授权人员中的任何人都不匹配，或者如果匹配不在匹配过程范围或容差内，则该方法继续进行到步骤303。

在步骤303中，该方法从与所述受控访问区对应的行为模型中包括的多个可用行为序列中选择行为序列。所述选择的行为序列识别预定义的验证动作。所述选择的行为序列还识别待传递给所述进入者的验证提示。将所述验证提示发送给所述受控访问区中的一个或多个设备。所述验证提示指示所述进入者应执行预定义的验证动作(例如，通过使用所述受控访问区中的这些一个或多个预定设备)以验证所述进入者出现在所述受控访问区的授权。

所述预定义的验证动作包括必须在预定验证周期内执行的动作序列，以验证所述进入者是授权人员。或者，所述预定义的验证动作包括在所述预定验证周期内执行的动作序列和次序。又或者，所述预定义的验证动作包括在所述预定验证周期内执行的动作序列、持续时间和次序。

在一些实施例中，所述预定的验证动作序列包括预定义序列中的预定义动作，所述预定义序列包括动作的预定义持续时间(即，例如按住门铃按钮保持至少四秒)。一个或多个授权人员可以知晓所述验证提示，其中授权的进入者将了解要执行的一个或多个验证动作、按什么顺序，以验证其身份和授权状态。

关于进入者执行预定义的验证动作，所述验证提示的方向可能不是明确和无歧义的。在一些实施例中，所述验证提示包括授权人员将辨识的视觉或音频提示，例如照明水平的具体变化，或者从警报设备或其他音频生成设备发出的音频哔哔声、铃声或声音序列。所述一组授权人员知晓所述预定义的验证动作，例如在所述入侵者检测系统100的设置期间或在学习阶段知晓。

所述入侵者检测系统访问与所述受控访问区对应的行为模型。所述行为模型包括所述受控访问区中授权人员的多个行为序列。所述多个行为序列中的每个行为序列与所述行为模型的至少一个行为参数对应，例如进入时间、进入位置、待发送给受控访问区内的一个或多个设备的验证提示、结束事件参数、扰动分数参数、可检测性分数参数，或行为序列参数等。

将所述进入指示与所述行为模型进行比较，以尝试将所述进入指示与存储在所述行为模型中的动作序列进行匹配。确定所述进入指示与动作序列的最佳匹配(即，将进入动作与已知存储的授权进入所述受控访问区的一个或多个授权人员的典型动作进行比较)。将所述进入指示与所述行为模型的行为参数进行比较的结果是生成匹配分数，针对所有相关的行为参数都生成了匹配分数。因此，针对所述多个行为序列中的每个行为序列生成匹配分数。该方法可以选择具有最高匹配分数的行为序列。根据选择的行为序列获取验证提示，该验证提示向所述进入者指示应该由该进入者执行的验证动作，以验证所述进入者的身份。所述选择的行为序列与向所述受控访问区中的设备发送的所述验证提示对应。

步骤303可以包括三个不同的动作：(1)将所述进入指示与所述行为模型的参数进行比较；(2)确定所述进入指示与所述行为模型内特定行为序列的参数之间最接近的匹配；(3)基于该最接近的匹配，选择最佳的行为序列用作所述验证动作。

如果两个或更多行为序列具有相同的匹配分数，则在选择所述行为序列之前可以执行额外的步骤。所述行为模型还包括扰动分数参数。因此，可以针对每个行为序列生成扰动分数。如果共有所述最高匹配分数的行为序列有至少两个，则选择与所述最高扰动分数对应的行为序列。

在步骤304中，接收进入者行为信息，其中，所述进入者行为信息由所述受控访问区中的一个或多个设备生成。应理解，在发送所述验证提示之前，可能已经接收到或者尚未接收到所述进入者行为信息。在一些实施例中，只有在发送所述验证提示之后才接收到所述进入者行为信息，其中，所述验证提示发送给所述检测服务器以及所述受控访问区中的多个设备。或者，在其他实施例中，在发送所述验证提示之前接收到该进入者行为信息，且所述方法开始监测所述进入者行为信息，作为进入者验证过程的一部分。应理解，在此第二实施例中，这可以包括：在将所述验证提示发送给所述受控访问区中的设备之前检查所接收的进入者行为信息。

在第一示例中，从进入发生时开始接收所述进入者行为信息，直到遇到结束事件或验证周期到期(即，验证周期结束)。在第二示例中，仅在发送所述验证提示之后接收所述进入者行为信息，直到遇到结束事件或验证周期结束。

在步骤305中，将所述进入行为信息与所述行为模型进行比较，生成行为比较值。所述行为模型包括所述验证提示，并与所述受控访问区或所述一组授权人员中的一者或两者对应。所述行为模型包括一个或多个行为序列。所述行为模型可以包括所述一组授权人员中每个授权人员的一个或多个序列。

在步骤306中，将所述行为比较值与告警阈值进行比较，比较结果是生成行为比较值。在一些实施例中，所述行为比较值包括量化所述进入者行为信息与所述行为模型之间的差异的数值。行为比较值较低或较小指示所述进入者行为信息与所述行为模型之间的差异较小。行为比较值较高或较大指示所述进入者行为信息与所述行为模型之间的差异较大，可用于确定所述进入者为入侵者。其中，确定所述进入者的行为与所述一组授权人员的行为明显不同。如果所述行为比较值小于告警阈值，则所述方法继续进行到步骤307。否则，如果所述行为比较值超过告警阈值，则所述方法转至步骤308。

在步骤307中，当所述行为比较值小于告警阈值时，所述方法确定所述进入者不是入侵者，因此生成允许的进入指示或执行其他合适的动作。在其他示例中，所述方法在所述验证周期到期时不生成允许的进入指示，且可能重试预定次，或者只需结束所述验证过程。

在步骤308中，由于所述进入者的身份与授权人员行为不匹配，因此无法验证该进入者的身份，因此生成入侵者指示。此外，所述入侵者指示还可以发送给所述UD、所述检测服务器中的一个或多个，还可以用于在入侵者检测系统中生成告警。在一些实施例中，可以重复步骤303至步骤306，以重新验证所述进入者是否为入侵者。

作为示例，几乎连续地接收所述进入者行为信息。在一些实施例中，接收所述进入者行为信息，直到遇到结束事件或验证周期到期。如果所述验证周期到期，则所述方法继续进行到步骤308并生成所述入侵者指示，因为在所述进入者行为信息之间未发现匹配。然而，如果在所述验证期到期之前发现匹配，则所述方法继续进行到步骤307。

在其他示例中，在遇到结束事件之前或在验证周期到期之前接收所述进入者行为信息，所述方法继续进行到步骤305和306，然后到步骤308，生成所述入侵者指示，因为在所述进入者行为信息之间没有发现匹配。然而，如果发现匹配项，则所述方法可以进一步执行步骤304以进一步接收进入者行为信息，执行步骤305和306，直到遇到所述结束事件或所述验证周期到期，执行步骤307以生成允许进入指示。

通过上述解决方案，响应于所述验证提示，所述方法可以基于所述进入者的行为来确定是否允许所述进入者进入所述受控访问区内。因此，所述解决方案提高了进入者验证/身份的准确性。另外，一旦所述方法确定家中人员是入侵者，就可以将所述入侵者指示发送给所述UD和所述家庭安全提供程序。

在一些方法实施例中，如果所述进入者行为信息在预定验证周期内与所述行为模型中包括的行为序列不匹配，那么所述方法生成入侵者指示。

在一些方法实施例中，所述进入指示包括在进入事件期间获取的进入者身份，其中，所述方法还包括以下初步步骤：将所述进入者身份与所述一组授权人员的授权人员信息进行比较；如果所述进入者身份与所述授权人员信息不匹配，那么执行所述发送、接收、比较和生成的步骤。

在一些方法实施例中，在发送所述验证提示之前，所述方法还包括：从所述行为模型中的多个行为序列中选择所述行为序列，其中，所述选择的行为序列与预定义的验证动作对应。在其他方法实施例中，在发送所述验证提示之前，所述方法还包括：将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；针对每个行为序列生成匹配分数；从所述行为模型中的多个行为序列中选择具有最高匹配分数的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。在又一些其他方法实施例中，在发送所述验证提示之前，所述方法还包括：将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；针对每个行为序列生成匹配分数和扰动分数；如果至少两个行为序列共有最高匹配分数，那么从所述至少两个行为序列中选择与所述最高匹配分数或最高扰动分数对应的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

图3B是根据一实施例的入侵者检测方法350的流程图。在一些示例中，方法350可以在安全服务器的背景下执行。

在步骤351中，如先前在方法300的步骤301中所述，获取进入指示。

在步骤352中，如先前针对步骤303所述，发送验证提示。

在步骤353中，如先前针对步骤304所述，接收进入者行为信息。

在步骤354中，如先前针对步骤305所述，将所述进入者行为信息与行为模型进行比较。

在步骤355中，如先前针对步骤306所述，将步骤354中生成的行为比较值与告警阈值进行比较。

在步骤356中，如先前针对步骤307所述，在所述行为比较值小于所述告警阈值时，生成允许进入指示。

在步骤357中，如先前针对步骤308所述，在所述行为比较值大于所述告警阈值时，生成入侵者指示。

图3B中所述的示例不包括相当于方法300的步骤302的步骤：将所述进入指示与一组授权人员进行比较。一旦获取所述进入指示，所述方法350就向所述受控访问区中的设备发送验证提示。所述方法350不包括如下步骤：将所述进入信息与所述受控访问区中一个或多个授权人员的授权人员信息进行比较。在方法350中，始终验证进入者行为。因此，与方法300相比，简化了由所述安全服务器执行的过程。

图4是根据一实施例的行为模型构建方法400的流程图。在一些示例中，方法400可以由安全服务器执行。方法400通过要求一个授权人员或一组授权人员执行至少一次行为序列来构造行为模型(即，存在一个监测和学习居住者行为的培训或学习阶段)。方法400获取行为模型的一个或多个参数，并获取与所述一个或多个参数对应的行为序列以构建所述行为模型。构造过程包括要求授权人员执行与行为模型提示对应的动作序列，在某些示例中包括多次执行所述动作序列。方法400基于通过位于受控访问区内的传感器或设备捕获的所述授权人员的行为生成行为序列。

在步骤401中，获取行为模型的至少一个行为参数。所述行为模型的所述至少一个行为参数可以由所述安全服务器从服务提供程序处获取。例如，所述服务提供程序可以指定用于构建所述行为模型的公共行为参数，例如，开门次数、开门持续时间、预计每天开门时间(即，例如除非居住者上夜班，否则凌晨2点开门是不寻常的)。在用户订阅所述安全提供程序的安全服务之后，所述安全提供程序可以将所述至少一个参数提供给所述安全服务器。或者，所述受控访问区的居住者或授权人员可以提供至少一些所述行为参数，或者可以从一组可能的行为参数中选择。所述至少一个参数给出正常行为的条件，可以指定一组授权人员的动作序列，所述动作序列可以用于确定是入侵者还是居住者。所述至少一个行为参数例如包括进入位置参数(例如，用户所在的房间)、进入时间、待向所述受控访问区内的一个或多个设备发送的验证提示、结束事件参数、扰动分数参数、可检测性分数参数、行为序列参数等。

所述进入位置参数指示发送进入指示的设备的位置。所述进入位置可以是客厅信息、卧室信息、厨房信息、浴室信息或车库信息等。

所述时间参数指示与进入对应的时间或时间范围。例如，传感器可以广泛地上报进入时间，例如上午、中午、下午、晚上。或者，可以更具体地上报时间，例如清晨、上午8:00至9:00等。不同的时间范围可以对应于相同的验证提示。或者，对于相同的验证提示，不同的时间范围可以对应于不同的行为序列。

结束事件参数指示验证时间段或结束事件。所述结束事件指示，当所述安全服务器在所述学习阶段遇到所述行为模型提示的结束事件时，所述安全服务器可以停止接收授权人员行为信息，或者当所述安全服务器在所述验证过程中遇到与所述验证提示对应的结束事件时，可以停止接收所述进入者行为信息。所述验证时间段指示，在所述学习阶段期间所述验证时间到期时，所述安全服务器可以停止接收所述授权人员行为信息，或者，在所述验证过程中所述验证时间到期时，所述安全服务器可以停止接收所述授权人员行为信息。所述验证时间可以在出现所述进入时开始，或者所述验证时间可以在发送所述验证提示时开始。所述结束事件可以是烟雾报警器被复位，门被打开，电话被拿起，电视被关闭等。

在步骤402中，向所述受控访问区中的设备发送行为模型提示。在一些实施例中，经由所述检测服务器发送所述行为模型提示。所述行为模型提示指示所述授权人员应该执行指定动作。

所述行为模型包括可以选择对进入者执行的至少一个行为模型提示。每个行为模型提示指示用于发送所述行为模型提示的时间范围。每个行为提示还可以与发送所述进入指示的设备的位置等等对应。选择所述行为模型提示可以基于时间范围和/或所述受控访问区中设备的位置。行为模型构造方法的学习过程中的行为模型参数也可以称为所述验证过程中的验证提示参数。

在发送所述行为模型提示之前，所述安全服务器从所述检测服务器订阅授权人员信息的状态，以在所述授权人员位于所述受控访问区时获取状态通知。所述安全服务器可以在接收来自所述检测服务器的所述状态通知之后，向所述设备发送行为模型提示。

在步骤403中，接收授权人员行为信息，其中，该授权人员行为信息通常是响应于所述行为模型提示而接收的。

在步骤404中，记录授权人员行为动作信息。

在步骤405中，所述方法确定是否遇到所述授权人员行为信息中的结束事件。如果遇到所述结束事件，则所述方法转至步骤406。如果未遇到所述授权人员行为信息中的结束事件，则所述方法重复步骤402至步骤406以继续接收所述授权人员行为信息。

所述安全服务器将接收并记录所述授权人员行为信息，直到遇到所述结束事件或所述验证时间段到期。

所述安全服务器可以在遇到所述结束事件之后或者在所述验证时间段到期之后，向所述检测服务器发送停止命令。

在步骤406中，所述方法确定学习过程计时器是否到期。如果所述学习过程计时器超时，则所述方法转至步骤407。如果学习阶段的计时器未超时，则所述方法转回到步骤402。

在获取所述至少一个行为参数之后，所述学习过程计时器可以由所述安全服务器基于所述训练指令参数进行设置。所述学习过程计时器指示用于在所述学习阶段多次累积授权人员行为信息(包括多次训练动作或会话)的时间段。

在其他示例中，所述安全服务器可以为每个时间范围内的每个验证提示设置计数器。所述计数器最初指示应该发送所述行为模型提示的次数，以提示在每个时间范围内接收授权人员行为动作信息。所述安全服务器确定发送所述行为模型提示的次数是否等于所述计数器的指示次数。如果发送所述行为模型提示的次数等于所述计数器的指示次数，则所述方法执行步骤407，否则，所述方法执行步骤402。

在步骤407中，生成针对各个时间范围和各个位置内每个验证提示的行为序列。在所述学习阶段累积了授权人员行为动作信息之后，所述安全服务器识别累积的授权人员行为动作中的行为模式。所述安全服务器基于所述行为模式针对每个时间范围和每个位置内的每个验证提示，生成行为序列。一个或多个行为序列中的行为序列包括由所述一组授权人员执行的预期的行为动作序列。

在其他示例中，如果所述行为序列不可接受地偏离所述一个或多个授权人员行为动作，则所述安全服务器可以移除所述行为序列。在其他示例中，也可以在所述安全服务器确定该行为序列难以区分入侵者的行为之后，删除该行为序列。

通过上述解决方案，所述安全服务器可以针对所述行为模型生成一个或多个行为序列。每个行为序列对应于所述行为模型中指定的行为参数的验证提示、时间信息或位置信息的组合。因此，响应于所述验证提示，所述安全服务器可以基于行为序列和进入者行为信息，确定进入者是否为入侵者。

图5是根据一实施例的行为模型构建方法的信号流程图。在一些示例中，所述方法可以由设备10、检测服务器20、安全服务器30和UD 40执行。方法500通过要求一个人员或一组授权人员至少执行一次行为序列来执行行为模型构造。方法500获取行为模型的一个或多个参数，并获取与所述一个或多个参数对应的行为序列以构建所述行为模型。构建过程包括要求授权人员执行一次或多次与该行为模型提示对应的动作序列。方法500基于所述授权人员的一次或多次行为生成行为序列。

在步骤500中，家庭安全服务器30从家庭安全提供程序获取行为模型的至少一个行为参数，如先前所述。

安全服务器30还可以从所述安全服务提供程序获取训练指令参数。所述训练指令参数可以是训练时间段，指示用于在学习阶段从设备10中累积授权人员行为动作信息以生成行为序列的时间段。训练的时间段可以称为训练期，例如一个月、十天等。在训练期间，所述家庭安全服务器可以多次经由检测服务器20接收来自一个或多个设备的授权人员行为动作信息。安全服务器30针对每个时间范围和每个位置内的每个验证提示生成行为序列。训练指导参数还可以是次数，用于指示应该发送多少次行为模型提示来接收授权人员行为动作信息。

在步骤502中，UD 40请求更改所述行为模型的一个或多个参数。在用户从所述安全提供程序订购安全服务之后，该用户可以在UD 40中安装安全应用(APP)。安全服务器30从所述安全提供程序获取所述行为模型的行为参数，用户可以经由安装在UD 40中的家庭安全APP浏览每个行为参数。用户可以经由向安全服务器30发送更改行为参数请求来请求更改所述行为参数。用户也可以经由安全服务器30的接口更改参数。

例如，用户可以更改时间参数，例如凌晨2:00至3:00门铃响起。用户也可以更改结束事件参数，例如将20秒更改为10秒等等。用户也可以取消一个或多个时间参数，或者取消一个或多个验证提示。在其他示例中，安全提供程序也可以更新所述行为模型的一个或多个行为参数，并将更新的一个或多个行为参数发送给安全服务器30。所述安全提供程序也可以向安全服务器30提供新验证提示的行为参数。另外，用户还可以经由UD 40更改训练指令参数。

在步骤504中，安全服务器30基于训练指令参数初始化计时器。

在接收所述行为参数和所述训练指令参数之后，安全服务器30可以初始化计时器，用于在所述训练指令参数指示的学习阶段(例如一个月、十天等)累积授权人员行为动作信息。

在其他示例中，计时器可以是计数器。在步骤504中，所述安全服务器初始化计数器，以记录在所述学习阶段累积授权人员行为动作信息的次数。

在步骤504中，安全服务器30向检测服务器20发送行为模型提示。所述行为模型提示指示所述授权人员执行指定的授权人员行为动作。

该行为模型包括至少一个验证提示。每个验证提示指示发送给设备10的时间范围、用户位置等。安全服务器30基于所述行为模型中指定的行为参数向设备10发送所述行为模型提示。所述行为模型提示可以是与验证提示相同的提示。

在安全服务器30发送行为提示之前，安全服务器30从检测服务器20订阅授权人员的状态通知，从而在授权人员位于受控访问区13中时获取该授权人员的状态通知。安全服务器30可以在接收到来自检测服务器20的状态通知之后，向设备10发送所述行为模型提示，其中，该状态通知指示所述授权人员位于受控访问区13中。

在步骤508中，检测服务器20向设备10发送所述行为模型提示，以使设备10将该行为模型提示通知给受控访问区13中的授权人员。例如，如果所述行为模型提示是请求所述授权人员做某事的音频，则设备10播放该音频。如果所述验证提示是使门铃响起告警，或使火焰传感器告警，则门铃将在接收到所述行为模式提示之后响铃，或者所述火焰传感器在接收到所述行为模式提示之后告警。所述验证提示包括授权人员将辨识的视觉或音频提示，例如照明水平的具体变化、从警报设备或其他音频生成设备发出的音频哔哔声、铃声或声音序列。

在步骤510中，受控访问区13中的设备10向检测服务器20发送授权人员行为动作信息。该授权人员行为动作信息可以是一个或多个设备10监测的任何信息。发送所述授权人员行为动作信息的设备10可以与接收所述行为模型提示的设备10相同，也可以与接收所述行为模型提示的设备10不同。发送所述授权人员行为信息的设备10可以是一个设备，也可以是监测所述授权人员行为动作的多个设备10。

在其他示例中，一个或多个设备10除了发送所述授权人员行为动作信息之外，还可以向检测服务器20发送授权人员位置信息、授权人员信息。所述授权人员位置信息可以是房间信息，例如卧室信息、客厅信息、厨房信息等。所述授权人员信息可以是授权人员标识、摄像头检测到的授权人员脸部信息、指纹设备检测到的授权人员指纹信息、或语音识别设备检测到的语音信息等。例如，设备10在门铃响起之后向检测服务器20发送开门信息。所述位置信息是门铃响起时授权人员在卧室的信息，时间信息是上午10:08，所述验证提示参数是门铃响起。另外，所述授权人员信息可以是授权人员脸部信息、语音信息等等。

在步骤512中，检测服务器20向安全服务器30发送授权人员行为动作信息。在检测服务器30接收所述授权人员行为信息之后，检测服务器20确定安全服务器30应发送行为模型提示，检测服务器20向安全服务器30发送授权人员行为动作信息。例如，所述行为模型提示还可以包括指示验证时间段的结束事件参数，一旦所述验证时间段到期，检测服务器30将停止向安全服务器30发送授权人员行为动作信息。在另一示例中，检测服务器30将基于所述行为模型提示继续向安全服务器30发送授权人员行为动作信息，直到接收到来自安全服务器30的停止发送通知。

在步骤514中，安全服务器30记录所述授权人员行为动作信息。在接收所述授权人员行为动作信息之后，安全服务器30记录所述授权人员行为动作信息。安全服务器30可以将所述授权人员行为动作信息记录在安全服务器30中，也可以将所述授权人员行为动作信息记录在云服务器(未示出)中。

在步骤516中，安全服务器30确定是否遇到所述授权人员行为信息中的结束事件。如果已经遇到所述授权人员行为信息中的结束事件，则所述安全服务器30执行步骤518，否则所述安全服务器30执行步骤510至步骤514以继续接收所述授权人员行为信息。

基于所述行为模型的结束事件参数，安全服务器30将接收并记录所述授权人员行为信息，直到遇到与所述行为模型提示对应的结束事件或接收所述授权人员行为信息的时间段到期，其中，所述结束事件参数的值与向设备10发送的所述行为模型提示对应。安全服务器30也可以在遇到所述结束事件之后或者在所述时间段到期之后，向检测服务器20发送停止命令。

在步骤518中，安全服务器30确定学习过程计时器是否到期。如果所述学习过程计时器到期，则安全服务器30执行步骤520。否则，安全服务器30转至步骤402。

该计时器可以是在安全服务器30获取行为参数之后，安全服务器30基于训练指令参数进行设置的。该计时器指示用于在学习阶段累积多个授权人员行为信息的时间。

在另一示例中，安全服务器30也可以针对每个时间范围内的每个行为模型提示设置计数器，其中，该计数器最初指示在每个时间范围内为了提示授权人员行为动作信息而应该发送所述行为模型提示的次数。安全服务器30确定发送所述行为模型提示的次数是否等于所述计数器的指示次数。如果发送所述行为模型提示的次数等于所述计数器的指示次数，则所述安全服务器执行步骤520，否则，安全服务器30执行步骤506。

在步骤520中，安全服务器30针对每个时间范围和每个位置内的每个验证提示生成行为序列。在所述学习阶段累积授权人员行为动作信息之后，安全服务器30识别累积的授权人员行为动作中的行为模式。安全服务器30基于所述行为模式针对每个时间范围和每个位置内的每个验证提示，生成行为序列。一个或多个行为序列中的行为序列包括由所述一组授权人员执行的预期行为动作的序列。

所述用户行为模型可以参见表1。

在上述描述中，安全服务器30针对不同时间段和不同位置处的不同验证过程，生成不同的行为序列。安全服务器30可以基于所述行为模型的行为序列，通过分析进入者响应所述验证提示的行为，确定该进入者是入侵者还是授权人员。

在上述示例中，安全服务器30经由检测服务器20向设备发送所述行为模型提示。在其他示例中，安全服务器30不向检测服务器20发送所述行为模型提示，而是向检测服务器20发送订阅请求，以从一个或多个设备10订阅当前授权人员行为动作信息。所述订阅请求包括所述行为模型的一个或多个参数。在检测服务器20接收所述授权人员行为动作信息之后，检测服务器20基于所述订阅请求中的一个或多个参数确定所述授权人员行为动作信息是否被安全服务器30订阅。如果检测服务器20确定所述授权人员行为信息被安全服务器30订阅，则检测服务器20向安全服务器30发送所述授权人员行为动作信息。

检测服务器20可以在任何时间从一个或多个设备10接收任何信息。所述一个或多个行为参数可以是验证提示参数，该验证提示参数也是行为模型提示参数。因此，检测服务器20可以确定所述授权人员行为动作信息是否响应与所述行为提示参数对应的某个事件，例如门铃响起、烟雾探测器告警等。在其他示例中，所述一个或多个行为参数还可以包括结束事件参数。检测服务器20可以向安全服务器30发送所述授权人员行为动作信息，直到遇到所述结束事件参数指示的结束事件。

在上述检测服务器20所执行的过程中，检测服务器20基于所述订阅请求向安全服务器30发送所述授权人员行为动作信息，这可以简化所述安全服务器的过程，不会每次都向设备发送所述行为模型提示。因此，可以节省网络资源。

在其他示例中，如果行为序列与一个或多个授权人员行为动作差异很大，则所述安全服务器可以移除该行为序列。例如，如果与相同时间范围、相同位置以及相同行为模型提示对应的累积的授权人员行为信息不同，则生成的行为序列可能与授权人员行为相差过大。可以从所述行为模型中移除该行为序列。在其他示例中，也可以在所述安全服务器确定该行为序列难以区分入侵者的行为之后，删除该行为序列。

图6是根据一实施例的入侵者检测方法的信号流程图。在一些示例中，所述方法可以由设备10、检测服务器20、安全服务器30和/或UD 40执行。该方法通过要求进入者执行验证过程来执行入侵者检测。如果该进入者没有执行提示的验证过程，或者如果该进入者没有正确执行提示的验证过程，则该方法生成入侵者指示。所述验证过程包括要求所述进入者执行预定的动作序列，以验证所述进入者是否授权进入受控访问区13。预定的行为序列包括一个或多个授权人员执行的正常和常规动作。所述方法通过比较所述进入者响应所述验证提示的动作，确定所述进入者的行为与所述一个或多个授权人员的行为是否充分匹配，来确定所述进入者是授权的还是入侵者。所述入侵者指示可用于执行额外的安全动作，包括触发警报、锁门和通知执法人员等。

在步骤600中，检测服务器20在进入事件期间接收来自设备10的进入指示。

所述进入指示通常指示一个或多个人员(即，“进入者”)已进入受控访问区13。所述进入指示包括进入事件期间获取的进入者身份。所述进入指示还可以包括进入动作信息、进入位置信息、进入时间信息、进入事件持续时间信息、进入事件次序信息中的一项或多项。

在步骤602中，检测服务器20基于进入者指示生成入侵者初始评估值。

检测服务器20将所述进入者指示与所述授权人员信息匹配，生成入侵者初始评估值信息。检测服务器20存储潜在入侵者阈值，基于所述入侵者初始评估值和所述潜在入侵者阈值确定所述入侵者是否为潜在入侵者。若入侵者初始评估值大于潜在入侵者阈值，则检测服务器20可以确定入侵者为潜在入侵者，方法执行步骤604。

在其他示例中，检测服务器20还可以设置授权人员阈值。如果所述入侵者初始评估值小于授权人员阈值，则检测服务器20确定进入的是授权人员，该方法不执行所述验证过程的后续步骤。如果所述检测服务器存储多个授权人员信息，则该检测服务器可以将所述进入者指示与多个授权人员中每人的授权人员信息进行匹配。

例如，检测服务器20在上午10:35接收具有进入者脸部信息的进入者指示。检测服务器20将所述进入者脸部信息与授权人员的脸部信息进行比较。所述入侵者初始评估值为5％，所述授权人员阈值为10％，则检测服务器20确定该进入者为授权人员。在另一示例中，所述入侵者初始评估值为60％，所述入侵者阈值为30％，则检测服务器20确定该进入者为入侵者。检测服务器20基于检测服务器20中设置的策略向UD 40发送入侵者指示。

在该示例中，所述入侵者初始评估值为20％，介于所述授权人员阈值与所述潜在入侵者阈值之间，则检测服务器20向安全服务器30发送所述进入指示。作为另一示例，检测服务器20还向安全服务器30发送所述入侵者初始评估值和所述进入指示。

在一些示例中，在步骤600之后，检测服务器20不执行步骤602，而是直接执行步骤604。一旦接收到来自检测服务器20的进入指示，如果所述进入指示中未携带所述入侵者初始评估值，则安全服务器30不执行步骤606和608，而是直接执行步骤610。

在另一示例中，在执行步骤602之后，无论所述入侵者初始评估值是多少，检测服务器都直接执行步骤604。在步骤604中，向安全服务器30发送所述入侵者初始评估值和所述进入指示。

在步骤604中，检测服务器20向安全服务器30发送进入指示。

作为示例，所述入侵者初始评估值为20％，介于所述授权人员阈值与所述潜在入侵者阈值之间，则所述检测服务器20向所述安全服务器30发送所述进入指示和所述入侵者初始评估值。还可以向安全服务器30发送入侵者指示类型。

所述位置信息指示检测到事件时的进入者位置。所述位置信息可以是客厅信息、卧室信息、厨房信息、浴室信息、车库信息等。

所述入侵者指示类型：用于确定潜在入侵者的方法，例如，人脸识别失败、指纹验证失败、在错误时间下开门或没有进行适当验证的情况下开门、“离开”期间在受控访问区中检测到运动，或者观察到的行为与预期的行为不匹配等。

所述入侵者初始评估值指示经由设定的算法对所述进入指示与所述授权人员信息进行比较的结果。例如，如果因为人脸识别系统只能发现进入者与授权人员之间的相似度为80％而发出告警，则所述入侵者初始评估值可能是0.2。或者，如果用户使用蓝牙设备开门，但进入受控访问区13之后的行为仅60％于预期行为匹配，则入侵者初始评估值可能是0.4等。

所述授权人员标识是授权人员的标识，其信息用于比较进入者身份。所述授权人员标识是可选参数。例如，检测服务器40的人脸识别系统检测到进入者身份与授权人员信息之间的相似度为80％。

在步骤606中，安全服务器30将所述入侵者初始评估值与预定义的入侵者阈值T进行比较。如果所述入侵者初始评估值大于所述预定义的入侵者阈值T，则安全服务器30执行步骤608。如果所述入侵者初始评估值小于所述预定义的入侵者阈值T，则安全服务器30执行步骤610，向检测服务器20发送验证提示。

在步骤608中，安全服务器30向UD 40发送第一入侵者指示。

安全服务器30还可以基于安全服务器30中设置的策略，向安全服务器提供程序(图中未示出)或警务服务器(图中未示出)发送第一入侵者指示。

在步骤610中，安全服务器30向检测服务器20发送验证提示。所述验证提示指示进入者执行预定义的验证动作。

在安全服务器30向检测服务器20发送所述验证提示之前，安全服务器30从行为模型中包括的多个行为序列中选择行为序列，其中，所选择的行为序列标识预定义的验证动作。所选择的行为序列与验证提示对应。

所述进入指示包括进入动作信息、进入位置信息、进入时间信息、或进入事件持续时间信息、进入事件次序信息中的一项或多项。安全服务器30选择所述行为序列可以包括：安全服务器30将所述进入指示中的进入位置信息、进入时间信息、进入动作信息、进入事件持续时间信息、进入次序信息中的一项或多项与多个行为序列中每个行为序列对应的行为参数进行比较，针对所述多个行为序列中的每个行为序列生成匹配分数。安全服务器30选择具有最高匹配分数的行为序列，其中，所选择的行为序列与发送给设备10的确认提示对应。

如果两个或更多行为序列具有相同的匹配分数，则在选择所述行为序列之前可以执行额外的步骤。所述行为模型还包括扰动分数参数。每个行为序列对应一个扰动分数。如果共有所述最高匹配分数的行为序列有至少两个，则选择与所述最高扰动分数对应的行为序列。

例如，所述进入指示包括卧室作为位置信息，所述入侵者指示类型为人脸识别失败，时间为10:35。基于所述进入指示中的信息，安全服务器30确定所述进入者指示中的信息与烟雾探测器告警和门铃响起的参数对应。烟雾探测器在较高匹配分数下告警。安全服务器30选择烟雾探测器告警作为发送给设备10的验证提示。所述验证提示包括烟雾探测器告警的验证提示参数。安全服务器30向检测服务器20发送包括烟雾探测器告警命令的验证提示。

作为另一示例，如果安全服务器30确定具有最高匹配分数的至少两个行为序列共有相同的扰动分数(分数C)，则安全服务器30将从该至少两个行为序列中选择具有最高检测分数的行为序列，向智能家居服务器40发送验证命令。

在步骤612中，安全服务器20向设备10发送所述验证提示。

在一些示例中，发送所述进入者指示的设备10可以与接收验证提示的设备10相同，也可以与接收验证提示的设备10不同。

在检测服务器20接收到来自安全服务器30的验证提示之后，检测服务器20向设备10发送该验证提示。

在步骤614中，检测服务器20从受控访问区13中的至少一个设备10接收进入者行为信息。

所述进入者行为信息由受控访问区13中的一个或多个设备生成。例如，如果所述验证命令被发送到门铃并触发门铃响起，则所述进入者行为信息可以是卧室内的灯被进入者打开，或者窗户被打开，或者门被打开等。

在验证周期期间，所述进入者行为信息可以由一个或多个设备10发送。

在步骤616中，检测服务器20向安全服务器30发送所述进入者行为信息。

应理解，在安全服务器30发送所述验证提示之前，可能已经或可能尚未将所述进入者行为信息发送给安全服务器30。在一些实施例中，只有在发送所述验证提示之后才接收来自检测服务器20的所述进入者行为信息，其中，所述验证提示发送给检测服务器20以及多个设备10。或者，在其他实施例中，在发送所述验证提示之前接收到该进入者行为信息，且所述方法开始监测所述进入者行为信息，作为进入者验证过程的一部分。应理解，在此第二实施例中，这可以包括：在安全服务器30发送所述验证提示之前，所述方法检查所接收的进入者行为信息。

可以重复步骤614至步骤616，直到检测服务器20接收到来自安全服务器30的停止命令。

在向安全服务器30发送所述进入者行为信息之前，检测服务器20在接收到所述验证提示之后确定未接收到来自所述安全服务器的停止命令。

在步骤618中，安全服务器30确定遇到接收到的进入者行为信息中的结束事件。

安全服务器30持续接收所述进入者行为信息，直到遇到结束事件或验证周期到期。

与烟雾探测器告警对应的结束事件可以是达到20秒，或者复位烟雾探测器告警。

在步骤620中，基于验证命令，安全服务器30向检测服务器20发送停止命令，以指示检测服务器20停止进一步向安全服务器30发送进入者行为信息。

在检测服务器20从安全服务器30接收到停止命令之后，检测服务器20停止继续发送进入者行为信息，直到检测服务器20从设备10接收到下一次进入指示或者从安全服务器30接收到下一次验证提示。

在步骤622中，安全服务器30将所述进入者行为信息与受控访问区13相关联的一组授权人员的行为模型进行比较，生成行为比较值。安全服务器30将所述进入者行为信息与所述行为模型中的行为序列进行比较，生成行为比较结果S1。安全提供程序30在安全服务器30中设置用于将所述进入者行为信息和行为序列指定的预期行为进行比较的算法。例如，所述算法可以是不同树、HMM、神经元网络等。

在确定行为比较值是否小于告警阈值之后，如果所述行为比较值小于告警阈值，则安全服务器30执行步骤626；如果所述行为比较值不小于告警阈值，则安全服务器30执行步骤624。

在步骤624中，安全服务器30生成并发送允许的进入指示。在另一示例中，所述安全服务器在所述验证周期到期时不生成允许的进入指示，且可能重试预定次，或者只需结束所述验证过程。

在步骤626中，由于所述进入者的身份与授权人员行为不匹配，因此无法验证该进入者的身份，因此安全服务器30生成并发送入侵者指示。此外，所述入侵者指示还可以发送给UD 40、检测服务器20中的一个或多个，还可以用于在安全系统中生成告警。在另一示例中，所述安全服务器可以重复执行步骤610至步骤620，以重新验证所述进入者是否为入侵者。

通过上述方案，安全服务器30可以基于所述进入者行为信息确定所述进入者是否为授权人员，以提高确定准确性。另外，安全服务器30在确定进入者是入侵者之后，可以向UD40和家庭安全提供程序发送所述入侵者指示。

在另一示例中，图1至图5中的安全服务器30和检测服务器20可以合并成同一服务器。安全服务器30和检测服务器20的功能可以由单个服务器或多个服务器执行。

图7是根据一实施例的安全服务器30的图。示出的示例中的安全服务器30包括通信模块706、存储模块704和处理模块702。

通信模块706与处理模块702连接，用于与安全提供程序、检测服务器20和UD 40通信。通信模块706还用于与处理模块702通信。例如，通信模块702基于进入者进入受控访问区的进入指示，向设备10发送验证提示，其中，所述验证提示指示该进入者执行预定义的验证动作；接收进入者行为信息。

处理模块702分别与通信模块706和存储模块704连接。处理模块702用于：将所述进入者行为信息与所述受控访问区相关联的一组授权人员的行为模型进行比较，其中，所述行为模型包括所述验证提示；如果所述进入者行为信息与所述行为模型包括的行为序列不匹配，则生成入侵者指示。

在处理模块702生成所述入侵者指示之后，通信模块706可以向UD 40或安全提供程序发送所述入侵者指示。

存储模块704与处理模块702连接。存储模块704可以存储行为模型并向处理模块702提供信息。

应理解，除了上述功能外，处理模块702、存储模块704和通信模块706也可以执行本文中任一实施例中所述的安全服务器30的功能。

处理模块702、存储模块704和通信模块706中的任一个可以在通用中央处理器(CPU)、通用处理器、数字信号处理器(digital signal processor，DSP)、现场可编程门阵列(field programmable gate array，FPGA)、专用集成电路(application-specificintegrated circuit，ASIC)，或用于控制本发明所指定的程序例程执行的一个或多个集成电路中实现。处理模块702、存储模块704和通信模块706也可以是计算功能的组合，例如包括一个或多个微处理器的组合，包括DSP和微处理器的组合等等。通信模块706可以合并成收发器，该收发器包括用于针对无线传输生成信号和/或处理无线接收的信号的任何合适的结构。通信模块706可从(3G、4G、5G)、通用移动电信业务(Universal MobileTelecommunications Service，UMTS)、码分多址接入(Code Division Multiple Access，CDMA)、全球移动系统(Global System for Mobiles，GMS)等网络接收信号，可向(3G、4G、5G)、通用移动电信业务(Universal Mobile Telecommunications Service，UMTS)、码分多址接入(Code Division Multiple Access，CDMA)、全球移动系统(Global System forMobiles，GMS)等网络发送信号。

图8是根据一实施例的检测服务器20的图。示出的示例中的检测服务器20包括接收模块802、处理模块804、存储模块806和发送模块808。

接收模块802与处理模块804连接，用于与安全服务器30、UD 40、设备10通信。接收模块802还用于与处理模块804通信。例如，接收模块802用于接收来自安全服务器的验证提示，其中，所述验证提示基于进入者进入受控访问本地区的进入指示，所述验证提示指示所述进入者执行验证动作。

发送模块808与处理模块804连接，用于与安全服务器30、UD 40，和/或设备10通信。发送模块808还用于与处理模块804通信。例如，发送模块808用于向设备10发送验证提示。

接收模块802还用于接收进入者行为信息，其中，所述进入者行为信息响应所述验证提示。

发送模块808还用于向所述安全服务器发送所述进入者行为信息，其中，所述进入者行为信息用于确定所述进入者是否为入侵者。

处理模块804与接收模块802、存储模块806和发送模块808连接。处理模块804用于基于存储模块806中存储的信息，对接收模块802接收的信息进行处理，并将处理的信息提供给发送模块808。

例如，处理模块804可以将接收模块802接收的进入者身份与存储模块806中存储的授权人员信息进行匹配，生成入侵者初始评估值，并将该入侵者初始评估值提供给发送模块808。

存储模块806与处理模块804连接，可以存储授权人员信息，并将该授权人员信息提供给处理模块804。

应理解，除了上述功能外，接收模块802、处理模块804、存储模块806和发送模块808也可以执行本文中任一实施例中所述的检测服务器30的功能。

接收模块802、处理模块804、存储模块806和发送模块808中的任一个可以在通用中央处理器(CPU)、通用处理器、数字信号处理器(DSP)、现场可编程门阵列(FPGA)、专用集成电路(ASIC)，或用于控制本发明所指定的程序例程执行的一个或多个集成电路中实现。接收模块802、处理模块804、存储模块806和发送模块808也可以是计算功能的组合，例如包括一个或多个微处理器的组合，包括DSP和微处理器的组合等等。接收模块802和发送模块808可以合并成收发器，该收发器包括用于针对无线传输生成信号和/或处理无线接收的信号的任何合适的结构。接收模块802可从(3G、4G、5G)、通用移动电信业务(UMTS)、码分多址接入(CDMA)、全球移动系统(GMS)等网络接收信号，发送模块808可向(3G、4G、5G)、通用移动电信业务(UMTS)、码分多址接入(CDMA)、全球移动系统(GMS)等网络发送信号。

下文列出了本发明的其他示例，但权利要求书不应仅限于已说明的内容。

Claims (27)

1.一种入侵者检测方法，其特征在于，包括：

安全服务器基于进入者进入受控访问区的进入指示向所述受控访问区中的设备发送验证提示，其中，所述验证提示指示所述进入者应执行预定义的验证动作；

所述安全服务器接收进入者行为信息；

所述安全服务器将所述进入者行为信息与所述受控访问区相关联的一组授权人员的行为模型进行比较，其中，所述行为模型包括所述验证提示；

如果所述进入者行为信息与所述行为模型中包括的行为序列不匹配，那么所述安全服务器生成入侵者指示。

2.根据权利要求1所述的方法，其特征在于，所述进入指示包括在进入事件期间获取的进入者身份，所述方法还包括以下初步步骤：

将所述进入者身份与所述一组授权人员的授权人员信息进行比较；

如果所述进入者身份与所述授权人员信息不匹配，那么执行所述发送、接收、比较和生成的步骤。

3.根据权利要求1所述的方法，其特征在于，在发送所述验证提示之前，所述方法还包括：

从所述行为模型中的多个行为序列中选择所述行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

4.根据权利要求1所述的方法，其特征在于，在发送所述验证提示之前，所述方法还包括：

将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；

针对每个行为序列生成匹配分数；

从所述行为模型中的多个行为序列中选择具有最高匹配分数的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

5.根据权利要求1所述的方法，其特征在于，在发送所述验证提示之前，所述方法还包括：

将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；

针对每个行为序列生成匹配分数和扰动分数；

如果至少两个行为序列共有最高匹配分数，那么从所述至少两个行为序列中选择与所述最高匹配分数或最高扰动分数对应的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

6.根据权利要求1所述的方法，其特征在于，所述接收所述进入者行为信息包括：接收所述进入者行为信息，直到遇到所述进入者行为信息中的结束事件或验证周期结束，其中，所述结束事件在所述选择的行为序列中指定。

7.根据权利要求1所述的方法，其特征在于，所述将所述进入者行为信息与所述行为模型进行比较包括：

将所述进入者行为信息与所述行为模型进行比较，并生成行为比较值；

当所述行为比较值小于告警阈值时，生成所述入侵者指示。

8.根据权利要求1所述的方法，其特征在于，在发送所述验证提示之前，所述方法还包括：

在学习阶段累积授权人员行为信息；

识别所述累积的授权人员行为中的行为模式；

在完成所述学习阶段之后生成一个或多个行为序列，其中，所述一个或多个行为序列是基于所述行为模式生成的。

9.根据权利要求8所述的方法，其特征在于，所述在所述学习阶段累积所述授权人员行为动作包括：

基于所述行为模型中指定的至少一个行为参数，向所述设备发送行为模型提示，其中，所述行为模型提示指示所述授权人员执行指定的授权人员动作；

响应于所述行为模型提示，接收授权人员行为信息。

10.根据权利要求9所述的方法，其特征在于，在发送所述行为模型提示之前，所述方法还包括：

针对多个序列动作中的每个序列动作，获取所述至少一个行为模型参数。

11.一种安全服务器，其特征在于，包括：

包括指令的非瞬时性存储器；

与所述存储器通信的一个或多个处理器，其中，所述一个或多个处理器执行所述指令以：

基于进入者进入受控访问区的进入指示向所述受控访问区中的设备发送验证提示，其中，所述验证提示指示所述进入者应执行预定义的验证动作；

接收进入者行为信息；

将所述进入者行为信息与所述受控访问区相关联的一组授权人员的行为模型进行比较，其中，所述行为模型包括所述验证提示；

如果所述进入者行为信息与所述行为模型中包括的行为序列不匹配，那么生成入侵者指示。

12.根据权利要求11所述的安全服务器，其特征在于，所述进入指示包括在进入事件期间获取的进入者身份，所述方法还包括以下初步步骤：

将所述进入者身份与所述一组授权人员的授权人员信息进行比较；

如果所述进入者身份与所述授权人员信息不匹配，那么执行所述发送、接收、比较和生成的步骤。

13.根据权利要求11所述的安全服务器，其特征在于，在发送所述验证提示之前，所述方法还包括：

从所述行为模型中的多个行为序列中选择所述行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

14.根据权利要求11所述的安全服务器，其特征在于，在发送所述验证提示之前，所述方法还包括：

将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；

针对每个行为序列生成匹配分数；

从所述行为模型中的多个行为序列中选择具有最高匹配分数的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

15.根据权利要求11所述的安全服务器，其特征在于，在发送所述验证提示之前，所述方法还包括：

将所述进入指示中的进入位置信息和进入时间信息与所述行为模型中多个行为序列中的每个行为序列对应的行为参数进行比较；

针对每个行为序列生成匹配分数和扰动分数；

如果至少两个行为序列共有最高匹配分数，那么从所述至少两个行为序列中选择与所述最高匹配分数或最高扰动分数对应的行为序列，其中，所述选择的行为序列与所述预定义的验证动作对应。

16.根据权利要求11所述的安全服务器，其特征在于，所述接收所述进入者行为信息包括：接收所述进入者行为信息，直到遇到所述进入者行为信息中的结束事件或验证周期结束，其中，所述结束事件在所述选择的行为序列中指定。

17.根据权利要求11所述的安全服务器，其特征在于，所述将所述进入者行为信息与所述行为模型进行比较包括：

将所述进入者行为信息与所述行为模型进行比较，并生成行为比较值；

当所述行为比较值小于告警阈值时，生成所述入侵者指示。

18.根据权利要求11所述的安全服务器，其特征在于，在发送所述验证提示之前，所述方法还包括：

在学习阶段累积授权人员行为信息；

识别所述累积的授权人员行为中的行为模式；

在完成所述学习阶段之后生成一个或多个行为序列，其中，所述一个或多个行为序列是基于所述行为模式生成的。

19.根据权利要求18所述的安全服务器，其特征在于，所述在所述学习阶段累积所述授权人员行为动作包括：

基于所述行为模型中指定的至少一个行为参数，向所述设备发送行为模型提示，其中，所述行为模型提示指示所述授权人员执行指定的授权人员动作；

响应于所述行为模型提示，接收授权人员行为信息。

20.根据权利要求19所述的安全服务器，其特征在于，在发送所述行为模型提示之前，所述方法还包括：

针对多个序列动作中的每个序列动作，获取所述至少一个行为模型参数。

21.一种检测服务器执行的入侵者检测方法，其特征在于，包括：

接收来自安全服务器的验证提示，其中，所述验证提示基于进入者进入受控访问本地区的进入指示，所述验证提示指示所述进入者执行验证动作；

向所述受控访问区中的设备发送所述验证提示；

接收进入者行为信息，其中，所述进入者行为信息响应所述验证提示；

向所述安全服务器发送所述进入者行为信息，以确定所述进入者是否为入侵者。

22.根据权利要求21所述的方法，其特征在于，所述进入指示包括进入动作信息、进入者位置信息、进入时间信息、事件传感器信息或事件持续时间信息中的一项或多项。

23.根据权利要求21或22所述的方法，其特征在于，在接收来自所述安全服务器的所述验证提示之前，所述方法还包括：

向所述安全服务器发送所述进入指示。

24.根据权利要求23所述的方法，其特征在于，所述进入指示包括进入初始评估值。

25.根据权利要求21至34中任一项所述的方法，其特征在于，在接收验证提示之前，所述方法还包括：

接收来自所述安全服务器的行为模型提示；

发送所述行为模型提示，其中，所述行为模型提示指示所述授权人员响应于所述行为模型提示执行预定的行为序列。

26.根据权利要求21至25中任一项所述的方法，其特征在于，在接收所述验证提示之前，所述方法还包括：

接收授权人员行为信息，其中，所述授权人员行为信息被所述安全服务器订阅；

向所述安全服务器发送所述授权人员行为信息。

27.一种检测服务器，其特征在于，包括：

包括指令的非瞬时性存储器；

与所述存储器通信的一个或多个处理器，其中，所述一个或多个处理器用于执行所述指令以：

接收来自安全服务器的验证提示，其中，所述验证提示基于进入者进入受控访问本地区的进入指示，所述验证提示指示所述进入者执行验证动作；

向所述受控访问区中的设备发送所述验证提示；

接收进入者行为信息，其中，所述进入者行为信息响应所述验证提示；

向所述安全服务器发送所述进入者行为信息，以确定所述进入者是否为入侵者。

Images