01
IoT安全概述
什么是IoT设备行为基线、为什么需要行为基线、IoT安全现状与挑战。
基线概念安全态势
02
环境准备
Python3.8+环境搭建、pip换源、虚拟环境创建、必备库安装（pandas, numpy, scikit-learn, matplotlib）。
Python依赖管理
03
数据采集基础
MQTT协议简介、使用paho-mqtt订阅设备Topic、数据格式解析（JSON/Protobuf）。
MQTT数据流
04
数据预处理
时间戳对齐、缺失值处理、异常值过滤、数据归一化。
清洗归一化
05
特征工程（上）
滑动窗口统计特征（均值、方差、最大值、最小值）、时间特征提取（小时、星期、是否节假日）。
统计特征时间特征
06
特征工程（下）
频域特征提取（FFT变换）、设备状态编码（One-Hot/Label Encoding）、特征选择方法。
频域编码
07
无监督学习入门
K-Means聚类原理、轮廓系数评估、肘部法则确定K值。
聚类K-Means
08
构建正常行为模型
使用K-Means对历史正常数据进行聚类、定义“正常簇”边界、保存模型。
模型训练基线
09
基于距离的异常检测
计算新样本到最近簇中心的距离、设定阈值、判定异常。
距离度量阈值
10
基于密度的异常检测
LOF（Local Outlier Factor）算法原理、LOF在IoT场景中的应用。
LOF密度
11
孤立森林算法
孤立森林原理、与K-Means的对比、在CPU/内存时序数据上的实践。
孤立森林对比
12
时间序列预测基线
ARIMA模型简介、使用statsmodels进行时序预测、预测残差分析。
ARIMA残差
13
LSTM基线模型
使用Keras搭建简单LSTM、序列生成、预测误差作为异常分数。
LSTM深度学习
14
规则引擎基线
基于阈值的静态规则、基于频率的动态规则、规则冲突处理。
规则引擎阈值
15
多维度基线融合
加权投票法、Stacking集成策略、模型选择策略。
集成融合
16
实时检测流水线
Kafka + Flink vs Redis + Python、流式数据处理架构、延迟优化。
流处理架构
17
告警与通知
告警级别定义（Info/Warning/Critical）、Webhook推送（钉钉/企业微信）、告警聚合。
告警Webhook
18
可视化仪表盘
使用Grafana展示实时基线、异常事件时间线、设备健康度评分。
Grafana可视化
19
模型评估与迭代
混淆矩阵、召回率与误报率、A/B测试框架、模型自动回滚。
评估迭代
20
案例实战（一）
智能灯泡行为基线——基于开关频率的异常检测。
实战智能灯泡
21
案例实战（二）
工业传感器基线——基于振动数据的异常模式识别。
实战振动
22
案例实战（三）
智能门锁基线——基于开锁时间与地理位置的异常检测。
实战门锁
23
案例实战（四）
环境监测站基线——多传感器融合的异常检测。
实战多传感器
24
对抗攻击与鲁棒性
数据投毒攻击、对抗样本生成、模型鲁棒性加固。
安全鲁棒性
25
隐私保护
差分隐私在基线数据中的应用、联邦学习框架、数据脱敏技术。
隐私联邦学习
26
边缘计算部署
将模型导出为ONNX、使用TensorRT Lite在树莓派上推理、资源限制优化。
边缘ONNX
27
大规模设备管理
设备注册与注销、基线版本管理、灰度发布策略。
设备管理灰度
28
日志与审计
基线变更日志、模型推理日志、合规性审计（GDPR/等保2.0）。
审计合规
29
项目总结
常见陷阱与避坑指南、性能调优建议、未来演进方向（数字孪生）。
总结演进
30
附录
常用工具链清单、参考文献、社区资源推荐。
工具资源