物联网入侵检测方法及装置与流程

本发明涉及物联网安全领域，尤其是涉及一种物联网入侵检测方法及装置。

背景技术：

物联网(Internet of Things)是以感知为核心的物与物互联的综合信息系统，通过智能感知、识别技术与普适计算等通信感知技术，广泛应用于网络的融合中，被称为继计算机、互联网之后世界信息产业发展的第三次浪潮。物联网对数据的安全性要求很高，尤其是在感知层。由于物联网感知层节点自身的特点，感知层节点极容易受到入侵行为的攻击，如果网络遭到入侵，有非法或不良数据通过感知层设备流入物联网，那么不仅会破坏物联网的感知数据的安全性，而且会危害到与之相连的信息传输层乃至信息处理层数据的安全性，给整个物联网带来无法预知的损害。

入侵检测指通过对计算机网络或计算机系统中若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象，是保障网络安全的基础，也是防火墙的有效补充。

目前基于物联网感知层的入侵检测处于一个相对初级的阶段，常用的检测方法包括特征检测和异常检测。其中，特征检测是对入侵行为的特征做出确定性的描述，形成相应的规则并汇总成一个特征库，然后将采集的数据信息与特征库进行比对，如果相匹配则确认该行为为入侵行为，如果不匹配则确认该行为为正常行为。异常检测是对正常行为的特征做出确定性的描述，形成相应的规则并进行汇总形成规则库，然后将采集的数据信息与规则库进行比对，如果相匹配则确认此行为是正常行为，如果不匹配则确认此行为是入侵行为。

现有技术中，采用异常检测能够检测出新的入侵行为，但具有较高的误报率，会导致后续的工作难度加大，并对系统的正常功能产生影响。可见采用现有的物联网入侵检测方法不能准确地检测到入侵行为，检测的结果不可靠。

技术实现要素：

有鉴于此，本发明的目的在于提供一种物联网入侵检测方法及装置，以解决采用现有的物联网入侵检测方法不能准确地检测到入侵行为，检测的结果不可靠的技术问题。

第一方面，本发明实施例提供了一种物联网入侵检测方法，所述方法包括：获取随时间变化的环境数据，所述环境数据包括光照强度、温度、湿度、压力、重力、振动频率、位置、速度、加速度和音量中的一项或多项数据；根据当前时刻的所述环境数据与相邻时刻的所述环境数据计算当前时刻的所述环境数据相对于相邻时刻的所述环境数据的波动量；根据所述波动量确定当前时刻的流量数据对应的入侵检测模型，通过所述入侵检测模型对当前时刻的所述流量数据进行入侵检测，其中，当前时刻的所述流量数据与当前时刻的所述环境数据相对应。

结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，通过以下公式根据当前时刻的所述环境数据与相邻时刻的所述环境数据计算当前时刻的所述环境数据相对于相邻时刻的所述环境数据的波动量：

其中，S_t表示t时刻的所述环境数据的波动量，υ(t,i)表示t时刻的所述环境数据中任一项数据i的数值，Δυ(t,i)表示t时刻的所述数据i与相邻时刻的所述数据i的差值，n表示所述环境数据包含的数据的数量。

结合第一方面，本发明实施例提供了第一方面的第二种可能的实施方式，其中，所述根据所述波动量确定当前时刻的流量数据对应的入侵检测模型，包括：按照预先建立的波动量划分规则对所述波动量进行分类，所述波动量的类别按照级别由低到高的顺序包括小幅波动、正常波动和大幅波动；按照预设的类别模型对应关系确定分类后的所述波动量对应的入侵检测模型，将确定的所述入侵检测模型作为当前时刻的所述流量数据对应的入侵检测模型。

结合第一方面的第二种可能的实施方式，本发明实施例提供了第一方面的第三种可能的实施方式，其中，所述波动量划分规则通过以下方式建立：获取预设时长的所述环境数据，计算所述预设时长内各个时刻的所述环境数据的波动量；统计所述各个时刻的所述环境数据的波动量，得到统计结果；采用正态分布的数据比例对所述统计结果进行划分，确定所述波动量划分规则。

结合第一方面的第二种可能的实施方式，本发明实施例提供了第一方面的第四种可能的实施方式，其中，在所述按照预先建立的波动量划分规则对所述波动量进行分类之后，所述方法还包括：分析当前时刻的所述环境数据与前后时刻的所述环境数据之间的变化趋势；当当前时刻的所述环境数据与前后时刻的所述环境数据之间的变化趋势一致，且当前时刻的所述环境数据的波动量与相邻时刻的所述环境数据的波动量之间的差值超过预设阈值时，将当前时刻的所述环境数据的波动量的类别提升一级。

第二方面，本发明实施例还提供一种物联网入侵检测装置，所述装置包括：数据获取模块，用于获取随时间变化的环境数据，所述环境数据包括光照强度、温度、湿度、压力、重力、振动频率、位置、速度、加速度和音量中的一项或多项数据；数据计算模块，用于根据当前时刻的所述环境数据与相邻时刻的所述环境数据计算当前时刻的所述环境数据相对于相邻时刻的所述环境数据的波动量；分类检测模块，用于根据所述波动量确定当前时刻的流量数据对应的入侵检测模型，通过所述入侵检测模型对当前时刻的所述流量数据进行入侵检测，其中，当前时刻的所述流量数据与当前时刻的所述环境数据相对应。

结合第二方面，本发明实施例提供了第二方面的第一种可能的实施方式，其中，所述数据计算模块具体用于：通过以下公式根据当前时刻的所述环境数据与相邻时刻的所述环境数据计算当前时刻的所述环境数据相对于相邻时刻的所述环境数据的波动量：

其中，S_t表示t时刻的所述环境数据的波动量，υ(t,i)表示t时刻的所述环境数据中任一项数据i的数值，Δυ(t,i)表示t时刻的所述数据i与相邻时刻的所述数据i的差值，n表示所述环境数据包含的数据的数量。

结合第二方面，本发明实施例提供了第二方面的第二种可能的实施方式，其中，所述分类检测模块包括：分类单元，用于按照预先建立的波动量划分规则对所述波动量进行分类，所述波动量的类别按照级别由低到高的顺序包括小幅波动、正常波动和大幅波动；确定单元，用于按照预设的类别模型对应关系确定分类后的所述波动量对应的入侵检测模型，将确定的所述入侵检测模型作为当前时刻的所述流量数据对应的入侵检测模型。

结合第二方面的第二种可能的实施方式，本发明实施例提供了第二方面的第三种可能的实施方式，其中，所述装置还包括：规则建立模块，用于建立所述波动量划分规则，具体包括：数据获取单元，用于获取预设时长的所述环境数据，计算所述预设时长内各个时刻的所述环境数据的波动量；统计单元，用于统计所述各个时刻的所述环境数据的波动量，得到统计结果；规则确定单元，用于采用正态分布的数据比例对所述统计结果进行划分，确定所述波动量划分规则。

结合第二方面的第二种可能的实施方式，本发明实施例提供了第二方面的第四种可能的实施方式，其中，所述分类检测模块还包括：数据分析单元，用于在所述按照预先建立的波动量划分规则对所述波动量进行分类之后，分析当前时刻的所述环境数据与前后时刻的所述环境数据之间的变化趋势；类别提升单元，用于当当前时刻的所述环境数据与前后时刻的所述环境数据之间的变化趋势一致，且当前时刻的所述环境数据的波动量与相邻时刻的所述环境数据的波动量之间的差值超过预设阈值时，将当前时刻的所述环境数据的波动量的类别提升一级。

本发明实施例带来了以下有益效果：在本发明实施例中，获取随时间变化的环境数据，该环境数据包括光照强度、温度、湿度、压力、重力、振动频率、位置、速度、加速度和音量中的一项或多项，根据当前时刻的环境数据与相邻时刻的环境数据计算当前时刻的环境数据相对于相邻时刻的环境数据的波动量，根据该波动量确定当前时刻的流量数据对应的入侵检测模型，通过该入侵检测模型对当前时刻的流量数据进行入侵检测，其中，当前时刻的流量数据与当前时刻的环境数据相对应。与相关技术相比，由于本发明实施例提供的方法及装置没有采用单一固定的模型进行入侵检测，而是对获取的环境数据进行分析计算，根据计算结果确定流量数据对应的入侵检测模型，采用对应的入侵检测模型对流量数据进行入侵检测，因此本发明实施例中的方法及装置能够根据环境数据的情况灵活确定入侵检测模型，通过本发明实施例中的方法及装置对入侵行为进行检测，检测结果更加准确和可靠。

本发明的其他特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明第一实施例提供的物联网入侵检测方法的流程示意图；

图2为本发明第一实施例提供的物联网入侵检测方法中建立波动量划分规则的流程示意图；

图3为本发明第二实施例提供的物联网入侵检测装置的模块组成示意图；

图4为本发明第二实施例提供的物联网入侵检测装置中规则建立模块的单元组成示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

物联网包括感知层，由于感知层节点自身的特点，感知层节点极容易受到入侵行为的攻击，采用现有的物联网入侵检测方法不能准确地检测到针对感知层的入侵行为，检测的结果不可靠，基于此，本发明实施例针对物联网的感知层提供了一种物联网入侵检测方法及装置，采用与流量数据对应的入侵检测模型对流量数据进行入侵检测，可以准确地检测到入侵行为，检测的结果更加可靠。为便于对本实施例进行理解，首先对本发明实施例所公开的一种物联网入侵检测方法进行详细介绍。

实施例一：

图1为本发明第一实施例提供的物联网入侵检测方法的流程示意图，该方法包括以下步骤：

步骤S110，获取随时间变化的环境数据，该环境数据包括光照强度、温度、湿度、压力、重力、振动频率、位置、速度、加速度和音量中的一项或多项数据。

物联网感知层设置有环境数据采集节点，用于采集环境数据。优选地，物联网感知层设置有多个传感器采集板，传感器采集板上设置有传感器，以传感器采集板为主体进行环境数据采集，在采集环境数据的同时记录环境数据的采集时间，其中该环境数据包括：光照强度、温度、湿度、压力、重力、振动频率、位置、速度、加速度和音量中的一项或多项。例如：通过光电传感器采集板可以采集环境中的光照强度、物体的振动频率、速度和加速度等环境数据，也可以通过振动传感器、速度传感器和加速度传感器等采集板分别采集物体的振动频率、速度和加速度等环境数据；通过温湿度传感器采集板可以采集环境温度和湿度等环境数据；通过压力传感器采集板可以采集压力(例如气压)、重力等环境数据；通过GPS(Global Positioning System，全球定位系统)传感器采集板可以采集物体的位置数据；通过声音传感器采集板可以采集声音的音量数据等。此外，一切可量化采集的数据均可以作为此处的环境数据，因此该环境数据不限于上述列举的参数。

在采集环境数据的同时，采集与环境数据对应的流量数据。具体地，在物联网内设置有多个网络路由器，传感器采集板采集到的环境数据通过各个网络路由器传输，本步骤中，对物联网内各个网络路由器进行端口镜像，将全网的数据流量映射到指定端口，采集全网的流量数据，并记录流量数据的采集时间，根据采集时间建立环境数据与流量数据的对应关系。在物联网内，通过路由器向传感器采集板发送控制指令，启动传感器采集环境数据，传感器采集板将采集到的环境数据通过路由器传输回来。本实施例中，经由路由器传输的数据都可以看做流量数据，该流量数据至少包括发送至传感器的控制指令和传感器采集到的环境数据。

步骤S120，根据当前时刻的环境数据与相邻时刻的环境数据计算当前时刻的环境数据相对于相邻时刻的环境数据的波动量。

通过步骤S110可以获得各个时刻的环境数据和其相邻时刻的环境数据，本步骤中，针对当前时刻的环境数据，计算当前时刻的环境数据相对于相邻时刻的环境数据的波动量，该波动量可以通过以下公式计算得到：

其中，S_t表示t时刻的环境数据的波动量，υ(t,i)表示t时刻的环境数据中任一项数据i的数值，Δυ(t,i)表示t时刻的数据i与相邻时刻的数据i的差值，n表示环境数据包含的数据的数量。

具体地，Δυ(t,i)可以是t时刻的数据i与前一时刻的数据i的差值，也可以是t时刻的数据i与后一时刻的数据i的差值，即Δυ(t,i)＝υ(t,i)-υ(t-1,i)或者Δυ(t,i)＝υ(t+1,i)-υ(t,i)，其中υ(t-1,i)表示t-1时刻(t时刻的前一时刻)的环境数据中数据i的数值，υ(t+1,i)表示t+1时刻(t时刻的后一时刻)的环境数据中数据i的数值。例如采集的环境数据包括温度、重力和速度三个数据，将温度标记为1，重力标记为2，速度标记为3，则υ(t-1,1)、υ(t,1)、υ(t+1,1)依次为t-1、t、t+1时刻的温度值，υ(t-1,2)、υ(t,2)、υ(t+1,2)依次为t-1、t、t+1时刻的重力大小，υ(t-1,3)、υ(t,3)、υ(t+1,3)依次为t-1、t、t+1时刻的速度大小。以Δυ(t,i)＝υ(t+1,i)-υ(t,i)为例，此刻的环境数据的波动量为：

步骤S130，根据上述波动量确定当前时刻的流量数据对应的入侵检测模型，通过该入侵检测模型对当前时刻的流量数据进行入侵检测，其中，当前时刻的流量数据与当前时刻的环境数据相对应。

通过步骤S120计算得到环境数据的波动量后，根据此波动量确定当前时刻的流量数据对应的入侵检测模型。本实施例中，通过以下两个步骤S131和S132确定当前时刻的流量数据对应的入侵检测模型：

步骤S131，按照预先建立的波动量划分规则对波动量进行分类，波动量的类别按照级别由低到高的顺序包括小幅波动、正常波动和大幅波动。

步骤S132，按照预设的类别模型对应关系确定分类后的波动量对应的入侵检测模型，将确定的入侵检测模型作为当前时刻的流量数据对应的入侵检测模型。

具体地，本实施例中包含有预先建立的波动量划分规则，根据计算得到的当前时刻的波动量的大小，确定当前时刻的波动量的类别。例如预先建立的波动量划分规则为:0≤S_t＜3属于小幅波动，3≤S_t＜8属于正常波动，S_t≥8属于大幅波动，若当前时刻的波动量为4，则确定当前时刻的波动量的类别为正常波动。

图2为本发明第一实施例提供的物联网入侵检测方法中建立波动量划分规则的流程示意图，如图2所示，步骤S131中的波动量划分规则通过以下三个步骤建立：

步骤S210，获取预设时长的环境数据，计算预设时长内各个时刻的环境数据的波动量。

要建立波动量划分规则，需要先获取预设时长的环境数据，具体的获取方法与步骤S110相同，这里不再赘述。其中，此预设时长不做具体限制，预设时长越大，建立的波动量划分规则越完善，例如预设时长可以为30天。获取到预设时长的环境数据后，计算预设时长内各个时刻的环境数据的波动量，具体的计算方法与步骤S120相同，这里不再赘述。

步骤S220，统计上述各个时刻的环境数据的波动量，得到统计结果。

统计上述计算得到的各个时刻的环境数据的波动量，并将该波动量从小到大进行排序，得到统计结果。

步骤S230，采用正态分布的数据比例对上述统计结果进行划分，确定波动量划分规则。

具体地，根据正态分布理论可以确定在上述统计结果中，小幅波动的数量：(小幅波动的数量+正常波动的数量)：(小幅波动的数量+正常波动的数量+大幅波动的数量)＝0.6827：0.9500：1。采用正态分布的数据比例对上述统计结果进行划分，可以先确定小幅波动的划分边界，再确定正常波动的划分边界，最后确定大幅波动的划分边界，从而确定波动量划分规则，例如统计结果为0≤S_t＜3的波动量所占的比例为0.6827，0≤S_t＜8的波动量所占的比例为0.9500，则波动量划分规则为：0≤S_t＜3属于小幅波动，3≤S_t＜8属于正常波动，S_t≥8属于大幅波动；也可以先确定大幅波动的划分边界，再确定正常波动的划分边界，最后确定小幅波动的划分边界，从而确定波动量划分规则，例如统计结果为S_t≥8的波动量所占的比例为0.05.S_t≥3的波动量所占的比例为0.3173，则波动量划分规则同样为：0≤S_t＜3属于小幅波动，3≤S_t＜8属于正常波动，S_t≥8属于大幅波动；还可以先确定小幅波动的划分边界或者大幅波动的划分边界，最后确定正常波动的划分边界，这里不再举例。

在按照预先建立的波动量划分规则对波动量进行分类之后，本发明实施例提供的物联网入侵检测方法还包括以下两个子步骤：

S1311，分析当前时刻的环境数据与前后时刻的环境数据之间的变化趋势。

具体地，分析当前时刻的环境数据的变化率对应的变化趋势与前后时刻的环境数据的变化率对应的变化趋势是否均相同。

比如，t时刻数据i的变化率为其中，υ(t,i)表示t时刻的环境数据中数据i的数值，Δυ(t,i)表示t时刻的数据i与相邻时刻的数据i的差值。相应的，t-1时刻数据i的变化率为t+1时刻数据i的变化率为若V_t-1、V_t、V_t+1正负相同，则说明t时刻的环境数据的变化率对应的变化趋势与前后时刻的环境数据的变化率对应的变化趋势相同，也即，t时刻的环境数据与前后时刻的环境数据之间的变化趋势一致，反之则说明t时刻的环境数据的变化率对应的变化趋势与前后时刻的环境数据的变化率对应的变化趋势不同，也即，t时刻的环境数据与前后时刻的环境数据之间的变化趋势不一致。

S1312，当当前时刻的环境数据与前后时刻的环境数据之间的变化趋势一致，且当前时刻的环境数据的波动量与相邻时刻的环境数据的波动量之间的差值超过预设阈值时，将当前时刻的环境数据的波动量的类别提升一级。

具体地，本发明实施例包含预设阈值，当当前时刻的环境数据与前后时刻的环境数据之间的变化趋势一致，且当前时刻的环境数据的波动量与相邻时刻的环境数据的波动量之间的差值超过该预设阈值时，将当前时刻的环境数据的波动量的类别提升一级，以使随后确定的入侵检测模型能够满足实际需求。例如，预设阈值为1，若t时刻的环境数据与前后时刻的环境数据之间的变化趋势一致，且S_t-S_t-1﹥1或者S_t+1-S_t﹥1，则将t时刻的波动量的类别提升一级，如将t时刻的波动量的由小幅波动提升为正常波动，或者由正常波动提升为大幅波动。

根据上述方法确定波动量的类别后，再根据该波动量的类别确定对应的入侵检测模型。本实施例中还包含有预设的类别模型对应关系，不同的波动量类别对应不同的入侵检测模型。优选地，预设的类别模型对应关系为：小幅波动对应基于着色Petri网的入侵检测模型，正常波动对应基于时间的K-means入侵检测模型，大幅波动对应基于卷积神经网络的网络入侵检测模型。比如，若当前时刻的波动量的类别为正常波动，则确定当前时刻的波动量对应基于时间的K-means入侵检测模型。进一步地，将确定的入侵检测模型作为当前时刻的流量数据对应的入侵检测模型，并采用确定的入侵检测模型对当前时刻的流量数据进行入侵检测，得到检测结果。

具体地，针对小幅波动，采用基于着色Petri网的入侵检测模型：这是一种基于状态的入侵检测方法，是基于误用的入侵检测方法之一，它将每个入侵标签表达为一个模式，通过模式表达事件和它们的内容间的关系，适合进行小规模静态物联网的入侵检测分析。针对正常波动，采用基于时间的K-means入侵检测模型：K-means是经典的聚类算法，它使用简单的迭代将数据集聚成K个类，该算法具有简单、易懂、良好的可伸缩性等显著优点，成为当前入侵检测系统中聚类算法研究方面的重要算法；基于时间的推理方法利用时间规则来识别用户行为正常模式的特征；使用K-means与时间规则结合的入侵检测方法进行异常预测，满足物联网感知层异常检测的需求。针对大幅波动，采用基于卷积神经网络的网络入侵检测模型:由于这一部分流量数据较大，变化多样，普通的分析方法可能导致分析片面，使用神经网络算法可以充分利用历史样本，并结合少量的即时样本，采用机器学习的方法来自动地分析、挖掘上下文信息间的依赖或因果关系，达到模型在线更新的目的，满足物联网感知层异常检测的需求。

本发明实施例选用适合的入侵检测模型对流量数据进行入侵检测，因而检测的结果更准确、更可靠。

基于上述分析可知，本发明实施例所提供的物联网入侵检测方法具有以下有益效果：在本发明实施例中，获取随时间变化的环境数据，该环境数据包括光照强度、温度、湿度、压力、重力、振动频率、位置、速度、加速度和音量中的一项或多项，根据当前时刻的环境数据与相邻时刻的环境数据计算当前时刻的环境数据相对于相邻时刻的环境数据的波动量，根据该波动量确定当前时刻的流量数据对应的入侵检测模型，通过该入侵检测模型对当前时刻的流量数据进行入侵检测，其中，当前时刻的流量数据与当前时刻的环境数据相对应。与相关技术相比，由于本发明实施例提供的方法没有采用单一固定的模型进行入侵检测，而是对获取的环境数据进行分析计算，根据计算结果确定流量数据对应的入侵检测模型，采用对应的入侵检测模型对流量数据进行入侵检测，因此本发明实施例中的方法能够根据环境数据的情况灵活确定入侵检测模型，通过本发明实施例中的方法对入侵行为进行检测，检测结果更加准确和可靠。

本发明实施例中，提出基于环境上下文的入侵行为检测方案，根据环境变化充分利用各类型感知信息，将上下文感知技术应用于物联网感知层入侵行为的界定，具有适应监控环境动态变化的特点，提高了对入侵行为进行检测的灵活性和可靠性。进一步地，依靠成熟的入侵检测模型，为其设定适应于物联网感知层的应用场景，使其发挥最大的效益。

实施例二：

对应上述实施例一中的方法，本发明实施例还提供了一种物联网入侵检测装置，用于执行上述实施例一中的方法。图3为本发明第二实施例提供的物联网入侵检测装置的模块组成示意图，如图3所示，本实施例中的物联网入侵检测装置包括：数据获取模块11，用于获取随时间变化的环境数据，该环境数据包括光照强度、温度、湿度、压力、重力、振动频率、位置、速度、加速度和音量中的一项或多项数据；数据计算模块12，用于根据当前时刻的环境数据与相邻时刻的环境数据计算当前时刻的环境数据相对于相邻时刻的环境数据的波动量；分类检测模块13，用于根据该波动量确定当前时刻的流量数据对应的入侵检测模型，通过该入侵检测模型对当前时刻的流量数据进行入侵检测，其中，当前时刻的流量数据与当前时刻的环境数据相对应。

进一步地，数据计算模块12具体用于：通过以下公式根据当前时刻的环境数据与相邻时刻的环境数据计算当前时刻的环境数据相对于相邻时刻的环境数据的波动量：

其中，S_t表示t时刻的环境数据的波动量，υ(t,i)表示t时刻的环境数据中任一项数据i的数值，Δυ(t,i)表示t时刻的数据i与相邻时刻的数据i的差值，n表示环境数据包含的数据的数量。

具体地，分类检测模块13包括：分类单元，用于按照预先建立的波动量划分规则对波动量进行分类，波动量的类别按照级别由低到高的顺序包括小幅波动、正常波动和大幅波动；确定单元，用于按照预设的类别模型对应关系确定分类后的波动量对应的入侵检测模型，将确定的入侵检测模型作为当前时刻的流量数据对应的入侵检测模型。

进一步地，本发明实施例提供的物联网入侵检测装置还包括：规则建立模块，用于建立上述分类检测模块13中的波动量划分规则。图4为本发明第二实施例提供的物联网入侵检测装置中规则建立模块的单元组成示意图。如图4所示，该规则建立模块具体包括：数据获取单元21，用于获取预设时长的环境数据，计算预设时长内各个时刻的环境数据的波动量；统计单元22，用于统计各个时刻的环境数据的波动量，得到统计结果；规则确定单元23，用于采用正态分布的数据比例对该统计结果进行划分，确定波动量划分规则。

进一步地，分类检测模块还包括：数据分析单元，用于在按照预先建立的波动量划分规则对波动量进行分类之后，分析当前时刻的环境数据与前后时刻的环境数据之间的变化趋势；类别提升单元，用于当当前时刻的环境数据与前后时刻的环境数据之间的变化趋势一致，且当前时刻的环境数据的波动量与相邻时刻的环境数据的波动量之间的差值超过预设阈值时，将当前时刻的环境数据的波动量的类别提升一级。

本发明实施例提供的物联网入侵检测装置，与上述实施例提供的物联网入侵检测方法具有相同的技术特征，所以也能解决相同的技术问题，达到相同的技术效果。

基于上述分析可知，本发明实施例所提供的物联网入侵检测装置具有以下有益效果：在本发明实施例中，数据获取模块11获取随时间变化的环境数据，该环境数据包括光照强度、温度、湿度、压力、重力、振动频率、位置、速度、加速度和音量中的一项或多项，数据计算模块12根据当前时刻的环境数据与相邻时刻的环境数据计算当前时刻的环境数据相对于相邻时刻的环境数据的波动量，分类检测模块13根据该波动量确定当前时刻的流量数据对应的入侵检测模型，通过该入侵检测模型对当前时刻的流量数据进行入侵检测，其中，当前时刻的流量数据与当前时刻的环境数据相对应。与相关技术相比，由于本发明实施例提供的装置没有采用单一固定的模型进行入侵检测，而是对获取的环境数据进行分析计算，根据计算结果确定流量数据对应的入侵检测模型，采用对应的入侵检测模型对流量数据进行入侵检测，因此本发明实施例中的装置能够根据环境数据的情况灵活确定入侵检测模型，通过本发明实施例中的装置对入侵行为进行检测，检测结果更加准确和可靠。

本发明实施例所提供的物联网入侵检测方法及装置的计算机程序产品，包括存储了程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行前面方法实施例中所述的方法，具体实现可参见方法实施例，在此不再赘述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统和装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

另外，在本发明实施例的描述中，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。