3、异常告警体系概述：撬锁、陌生人停留、连续失败三类异常的定义与区别

智能门锁的核心价值不仅在于“开锁便利”，更在于“异常可知”。当门锁从单纯的机械装置升级为物联网终端后，其内置的传感器、处理器和通信模块便构成了一个微型安防感知系统。本章所讨论的异常告警体系，正是这一感知系统的“神经中枢”。在智能门锁的本地策略与云端规则引擎中，撬锁检测、陌生人停留、连续失败识别是三类最基础、也最具代表性的异常事件。它们分别对应物理攻击、行为可疑、密码爆破三种截然不同的风险维度。理解这三者的定义边界与判断逻辑，是后续配置告警阈值、设计联动策略（如触发摄像头抓拍、远程推送、本地声光报警）的前提。若将三者混为一谈，极易导致误报频发或漏报严重，最终使告警体系形同虚设。

上图清晰地展示了三类异常在智能门锁系统中的位置与关系。门锁作为感知终端，通过不同的传感器采集原始信号，经过MCU内置算法处理后，分别触发三类独立的告警事件。值得注意的是，这三类异常并非互斥关系——例如，暴力撬锁过程中可能伴随多次指纹尝试失败，此时系统应能同时上报“撬锁告警”和“连续失败告警”，而非相互覆盖。因此，在设计告警体系时，必须为每类异常建立独立的检测通道与优先级策略。

3.1 核心原理：三类异常的感知基础与判定逻辑

三类异常的本质区别在于其感知物理量不同，这决定了它们无法共用同一套检测算法。撬锁检测依赖的是门锁本体的力学状态变化；陌生人停留依赖的是门锁周围环境的人体存在信息；连续失败识别则完全基于门锁自身的交互日志数据。理解这一点，是避免告警误判的第一步。

从表中可以看出，撬锁检测是“物理层”异常，其信号特征具有瞬时性和冲击性；陌生人停留是“环境层”异常，具有持续性和空间性；连续失败识别则是“逻辑层”异常，完全基于事件计数。在工程实现上，撬锁检测需要较高的采样率（通常≥100Hz）以捕捉冲击波形，而陌生人停留的检测周期则以秒为单位，连续失败识别则只需在认证事件发生时更新计数器即可。

3.2 判断方法：从原始信号到告警事件的工程链路

三类异常虽然感知方式不同，但都遵循“信号采集→特征提取→阈值判断→去抖确认→告警上报”的标准链路。下面分别阐述其关键判断方法。

3.2.1 撬锁检测的判断方法

撬锁检测的核心在于区分“正常振动”与“恶意撬动”。正常关门产生的振动通常为单次衰减振荡，持续时间短（<200ms），且加速度峰值有限。而撬锁（如使用撬棍、电钻、卡片划拨）会产生连续、不规则的冲击序列，且伴随门锁本体的微小位移。具体判断流程如下：

1. 冲击检测：当加速度计任一轴的值超过预设阈值（如1.5g）时，触发一次“冲击事件”。
2. 事件窗口统计：在2秒滑动窗口内，统计冲击事件次数。若次数≥3次，则进入疑似状态。
3. 姿态变化确认：读取陀螺仪积分得到的角度变化量，若门锁在窗口期内发生超过5°的倾斜偏移，则确认撬锁行为。
4. 去抖与上报：连续确认2个窗口（共4秒）后，才正式上报撬锁告警，避免单次误触发。

3.2.2 陌生人停留的判断方法

陌生人停留的判定核心是“时间累积”。PIR传感器只能感知“有人/无人”的二元状态，无法识别身份。因此，系统通过记录“有人状态”的持续时间来判断是否异常。具体流程为：

1. 人体存在检测：PIR传感器输出高电平表示检测到人体活动。
2. 计时器启动：当PIR首次触发时，启动一个软件定时器。
3. 持续刷新：若在计时期间PIR再次触发（表示人还在移动），则重置计时器。
4. 超时判定：若计时器累计超过设定阈值（如60秒），且期间PIR持续有效，则判定为“陌生人停留”。

更高级的方案会融合毫米波雷达，利用多普勒效应检测微动（如呼吸引起的胸腔起伏），从而区分“静止的人”与“无人环境”，避免因人员站立不动导致PIR失效。

3.2.3 连续失败识别的判断方法

连续失败识别本质上是“滑动窗口计数”。系统维护一个先进先出的队列，记录每次认证失败的时间戳。当队列长度达到上限（如5次）时，检查最早与最晚时间戳的差值是否在设定窗口（如5分钟）内。若在窗口内，则触发告警。关键参数包括：

• 失败阈值（M）：通常为5次，过高则无法有效阻止暴力破解，过低则误报率高。
• 时间窗口（N）：通常为5分钟，窗口越短，对快速爆破越敏感，但对慢速试探不敏感。
• 锁定策略：触发告警后，门锁应进入临时锁定状态（如30秒内禁止输入），并逐次递增锁定时间。

// 伪代码示例：连续失败判断逻辑
int failureCount = 0;
long firstFailureTime = 0;

void onAuthFailed() {
    long now = getCurrentTimestamp();
    if (failureCount == 0) {
        firstFailureTime = now;
        failureCount = 1;
    } else {
        if (now - firstFailureTime <= 5 * 60 * 1000) { // 5分钟窗口
            failureCount++;
            if (failureCount >= 5) {
                triggerAlarm("连续失败告警");
                lockInput(30); // 锁定30秒
                failureCount = 0; // 重置计数
            }
        } else {
            // 窗口超时，重置计数
            firstFailureTime = now;
            failureCount = 1;
        }
    }
}

3.3 案例拆解：一个典型的夜间综合异常场景

为帮助理解三类异常如何在实际环境中协同工作，下面通过一个完整的案例闭环进行说明。

背景与约束：某高端公寓安装了一款支持Wi-Fi+蓝牙的门锁，内置IMU、PIR和指纹模组。用户反馈凌晨2:00左右手机连续收到3条告警推送，怀疑门锁误报。工程师需要分析日志判断是否为真实攻击。

初始现象与日志数据：门锁本地日志显示以下事件序列：

分析判断过程：工程师首先检查连续失败逻辑：在02:00:20至02:00:30的10秒内，出现4次指纹失败，未达到5次阈值，因此未触发连续失败告警。但结合PIR在02:00:15持续触发，且IMU在02:00:25和02:00:28出现两次冲击，并在02:00:32检测到6°倾斜，这符合“撬锁检测”的判定条件（2秒内≥2次冲击+姿态变化）。因此，系统正确上报了“撬锁告警”。同时，PIR从02:00:15到02:00:32持续有效，累计17秒，未达到60秒的停留阈值，故未触发陌生人停留告警。

实际操作与结果：工程师调取云端录像，发现一名可疑人员使用锡纸工具尝试开锁，因门锁防撬结构触发IMU报警，嫌疑人听到警报声后离开。门锁的告警推送使用户及时通知物业，避免了财产损失。事后复盘发现，若将连续失败阈值从5次降低为4次，则可在第4次失败时提前触发告警，但会增加误报风险（如用户手指脱皮连续失败）。

3.4 常见误区与总结复盘

在智能门锁告警体系的实际部署中，以下误区最为常见，需要特别注意规避。

• 误区一：阈值设置“一刀切”。不同安装环境（如木门 vs 防盗门）的振动特性差异巨大。木门关门时加速度峰值可达2g，而防盗门仅0.8g。若统一设置1.5g阈值，木门环境将频繁误报。正确做法是安装后自动学习基线，或提供多档灵敏度设置。
• 误区二：忽略PIR的“盲区”。PIR传感器对横向移动敏感，但对正面缓慢靠近的物体不敏感。若陌生人静止站在门前，PIR可能在30秒后自动熄灭（因无红外变化），导致停留检测失效。应融合雷达或使用双元件PIR+透镜优化。
• 误区三：连续失败计数不区分“用户类型”。管理员指纹失败与普通用户指纹失败应分开计数。否则，恶意访客可通过尝试管理员指纹来触发锁定，导致合法用户被锁在门外。
• 误区四：告警后无“恢复机制”。触发撬锁告警后，若门锁在10秒内未检测到持续冲击，应自动解除告警状态。否则，一次误触将导致门锁长时间处于“恐慌模式”，影响正常使用。