基于区块链的不确定性感知被动Wi-Fi定位技术，用于保障关键基础设施传感器网络的安全 作者：Dmytro Prokopovych-Tkachenko、Oleksandr Galushchenko、Olga Torstensson、Volodymyr Zvieriev、Saltanat Adilzhanova 和 Edison Pignaton de Freitas

《Sensors》：Blockchain-Enabled Uncertainty-Aware Passive Wi-Fi Localization for Secure Critical Infrastructure Sensor Networks Dmytro Prokopovych-Tkachenko, Oleksandr Galushchenko, Olga Torstensson, Volodymyr Zvieriev, Saltanat Adilzhanova and Edison Pignaton de Freitas

　　**亮点**
主要发现是什么？
当以校准后的不确定性形式呈现后验分布，而非单一坐标估计时，被动Wi-Fi定位对安全运营中心（SOC）的操作更为有用。实地实验确定了一个大约40米的操作边界，超过该边界后，定位误差显著增加，完全自动化的行动变得不那么可靠。

**主要发现的意义是什么？**
校准后的置信度可以用来调整AUTO、VERIFY和OBSERVE响应模式。许可的区块链层可以增强定位证据的完整性和可审计性，同时将原始遥测数据保留在链外。实际部署依赖于稳定的天线几何结构、现场校准以及移动设备或无人机辅助的数据收集。

**摘要**
用于关键基础设施安全运营中心（SOC）的被动Wi-Fi定位面临三个相互关联的限制。首先，许多现有方法仅产生未经校准不确定性的单点坐标估计，因此不适合自动化SOC响应。其次，定位流程通常缺乏证据保管链，限制了事件后的可审计性。第三，SOC自动化不能安全地依赖未经校准的置信度值，因为错误的高影响行动和错过的升级会带来不对称的操作成本。本研究提出了一个基于区块链的、具有不确定性意识的被动Wi-Fi定位框架，适用于由固定传感器、移动接收器和无人机辅助收集节点组成的异构传感器网络。该方法不是产生单一坐标估计，而是从监控模式观测中得出带有校准不确定性的后验空间分布，包括RSSI聚合值、管理/控制帧特征、信道占用指示器和接收器日志。该框架结合了三个紧密耦合的组成部分：（i）具有鲁棒损失函数和距离依赖性误差建模的贝叶斯坐标估计；（ii）通过经验覆盖度量和可靠性图表将后验置信度转换为SOC响应模式（AUTO、VERIFY和OBSERVE）的不确定性校准；（iii）一个许可的证据记录层，将与完整性相关的元数据和政策标签锚定在链上，同时将原始遥测数据保留在链外，以实现防篡改的可审计性和可扩展性。各层之间的耦合是明确的：校准后的置信度分数控制智能合约的触发条件，智能合约的政策阈值反馈到校准阶段。实地验证表明，定位性能在大约40米之外显著下降，这表明了一个实际的自动化行动边界。所提出的框架集成了被动感知、具有不确定性意识的定位和基于区块链的证据信任，用于安全的关鍵基础设施传感器网络。其主要贡献包括：（1）基于后验分布的被动定位流程；（2）用于校准SOC响应阈值的经验覆盖度量；（3）将定位输出链接到许可账本的混合链上/链下架构；（4）确立40米操作有效性的实地验证。

**1. 引言**
关键环境中的Wi-Fi基础设施不仅用于合法通信，还可能成为与侦察、滥用或攻击准备相关的无线电活动的来源[1]。对于安全运营中心（SOC）来说，相关问题不仅在于源可能位于何处，还在于该估计的可靠性。在这种情况下，定位误差具有不对称的成本：错误的响应可能会扰乱操作，而错过的事件可能会允许进一步的升级。因此，面向SOC的定位必须明确报告不确定性，而不能依赖单一坐标估计。

在关键基础设施环境中，定位输出不仅作为技术估计，还作为操作证据。它们可以支持事件分类、物理验证、访问控制升级或自动化SOAR操作手册。这引入了一个证据要求：用于证明响应的信息应保持可信、可审计，并且能够抵抗事后修改。区块链技术在这里很适用，因为它提供了一个防篡改的账本，其中记录通过加密哈希链接，使得未经授权的修改可被检测到[2]。在许可的区块链系统中，参与者被限制为经过审查的实体，这更适合关键基础设施环境，因为它在保持可审计性和不可否认性的同时保护了机密性[2,3]。这些要求也与网络安全日志管理规划指南一致[4]。智能合约进一步允许将政策条件（如最低校准置信度或证据完整性）编码为可审计的形式[5]。

对于被动Wi-Fi定位，混合链上/链下设计特别合适。原始数据包捕获、接收器日志和派生的特征向量通常体积庞大且敏感，不适合直接存储在链上。相比之下，紧凑的决策结果（如哈希、时间戳、后验摘要、置信度值和政策标签）可以锚定在许可账本上。在这种情况下，区块链本身并不提高定位精度；相反，它增强了定位决策的完整性、来源和可审计性[3,6]。尽管有这种潜力，但在将区块链与被动Wi-Fi定位集成时会出现几个研究问题。首先，被动监控模式定位依赖于受多路径传播和环境变化影响的噪声RSSI和管理/控制帧特征，因此每个证据记录都必须伴随校准后的不确定性。其次，定位结果是概率性的，而智能合约政策是确定性的且基于阈值的，需要从后验不确定性到操作触发决策的原则性映射。第三，实时遥测生成与链上记录的延迟和存储成本相冲突，需要选择性锚定以保持证据价值的同时保持可扩展性。第四，MAC随机化和间歇性发射器活动使持续源跟踪变得复杂，从而使得状态转换的记录更加困难。最后，定位层和区块链层之间的耦合是双向的：政策阈值影响校准目标，而校准后的定位输出决定了是否允许自动化行动。

研究空白在于缺乏同时满足六个要求的SOC导向公式：（a）输出是带有置信区域的后验坐标分布，而不是点估计；（b）不确定性被校准并转换为操作决策阈值；（c）鲁棒机制减轻异常值和干扰；（d）处理间歇性和移动源的时间动态；（e）在实地条件下使用移动和无人数据收集进行验证；（f）通过防篡改的证据记录保护定位证据免受收集后的修改。据我们所知，没有先前的工作将校准后的贝叶斯不确定性估计、面向SOC的决策触发和基于许可的区块链证据记录结合在一个单一的被动Wi-Fi框架中。

**2. 相关工作**
Wi-Fi定位研究涵盖了几个方法学家族，每个家族在准确性、基础设施要求和适用于被动SOC部署方面都有不同的权衡。
- **基于RSSI和几何的方法**：传统方法依赖于RSSI测量和几何模型（三边测量、加权质心）来估计源坐标[7]。这些方法产生没有相关不确定性的点估计，并且对多路径传播、屏蔽和环境变化敏感[8]，因此在自动化SOC响应中操作上不安全。
- **基于AI的定位**：机器学习和指纹识别方法通过使用k-NN、神经网络或高斯过程学习从无线电特征到坐标的映射来提高名义精度[7]。在受控条件下，基于AI的Wi-Fi室内定位可以达到亚米级精度。然而，这些方法需要大量的校准数据库，存在领域偏移问题，并且仍然输出点估计。已经探索了指纹识别的不确定性预测[9]，但将其与SOC决策逻辑和证据流程集成仍然是一个未解决的问题。
- **基于网络功能和被动感知的方法**：多跳IoT网络中的物理层干扰器检测和管理帧基入侵检测[10,11]表明，被动监控模式观测携带丰富的空间和行为信息。将Wi-Fi信号作为感知通道的被动探测和重用是活跃的研究方向[12]，基于无人机的无线电环境映射扩展了被动空间覆盖范围[13]。这些方法适合SOC部署，但不产生校准后的不确定性估计。
- **鲁棒性和不确定性校准**：鲁棒损失函数和M估计减少了异常值的影响[14,15]。通过可靠性图表和覆盖度量对概率预测进行校准在[16,17]中有描述；将此类校准应用于SOC阈值控制的定位派生置信度是本工作的关键贡献。
- **基于区块链的证据系统**：许可的区块链架构已被应用于网络安全文物的可审计记录[2]、物理证据的证据保管链[2]以及实时安全工作流的AI-区块链集成[6]。智能合约支持自动化的网络安全合规性和威胁响应[5]。然而，这些系统之前尚未与概率定位流程结合，其中置信度分数直接控制链上政策的执行。

**3. 方法论**
所提出的方法被构建为一个用于安全运营中心（SOC）的被动定位流程。它不是产生单一坐标，而是估计一个带有相关不确定性的后验空间分布，然后用于定义SIEM/SOAR工作流中的响应阈值和审计条件。所有输入都是以被动方式在监控模式下收集的，包括RSSI聚合值、管理和控制帧的时间和频率特征、信道占用指示器以及接收器日志。主动测距方法（如IEEE 802.11mc FTM/RTT）被排除在外，因为它们需要客户端参与，因此超出了本研究的被动监控假设。这种公式反映了SOC实践，即只有当定位置信度足够可靠且经过适当校准时，才应触发自动化行动[19,20]。该方法包括三个阶段，如图1所示。第一阶段执行被动数据采集、清洗、同步和规范化。这包括在时间窗口内对RSSI值进行鲁棒聚合，将管理和控制帧转换为稳定的描述性特征，并对接收器日志进行对齐以进行后续融合。第二阶段通过为被动观测构建似然函数并推导出带有相关置信区域的后验分布来执行贝叶斯坐标估计。使用鲁棒估计方法（包括M估计和Huber型损失函数）来减少复杂无线电环境中的异常值和干扰的影响[14,15]。第三阶段校准后验不确定性并将其转换为操作决策阈值。使用经验覆盖度量和可靠性图表来确定事件是否应触发自动行动、需要验证或保持观察[16,17]。结果估计作为包含不确定性字段和证据遥测的结构化事件导出到SIEM[19]。由于现场条件下的定位质量强烈依赖于观测几何，该方法还结合了移动设备和无人机辅助的数据收集。通过大约1 Hz的控制轨迹和采样，可以提高空间覆盖范围，支持统计积累，并在现实操作条件下提高可重复性[13,21]。

为了支持可审计性，该流程扩展了一个许可的证据记录层。每个定位结果由两个链接的工件表示：一个传递给SIEM/SOAR的操作事件和一个注册在许可账本中的证据记录。账本存储哈希、时间戳、事件和模型标识符、置信度摘要、政策标签以及指向受保护的链外证据容器的引用，而原始数据包捕获、接收器日志和派生的特征向量为了保密性和可扩展性保留在链外[2,3,6]。智能合约仅用于政策执行。它们验证是否满足自动化行动的预定义条件，例如足够的校准置信度、可接受的置信区域大小、证据完整性和成功的完整性注册。如果这些条件不满足，系统将分配VERIFY或OBSERVE状态，而不是授权自动行动[5]。

以下小节描述了似然和后验模型的数学公式、鲁棒性和时间过滤机制，以及将校准后的不确定性转换为SOC决策阈值的规则。

**4. 数学模型**
**4.1. 被动Wi-Fi观测的后验空间分布和似然模型**
本节定义了在被动观测z给定的情况下源坐标x ∈ ?2的后验分布，以及从监控模式RSSI统计和帧特征派生的似然。直观上，后验概率编码了未知信号源位于每个候选位置x的概率，该概率是根据先验概率p(x)和证据z进行更新的。设x ∈ ?2表示Wi-Fi信号源的未知坐标，z = {zi}i=1N表示由N个传感器收集的被动观测数据集。贝叶斯后验概率为：
(1)
其中∝表示比例关系，直到一个归一化常数（即p(x|z) = p(z|x)p(x)/p(z)，其中p(z) = ∫p(z|x)p(x)dx是证据。p(x)是先验分布——例如，在受控区域内为均匀分布，并对物理上无法到达的区域进行屏蔽。p(z|x)是似然概率，表示如果信号源位于位置x，则观测到的测量结果的可能性。

假设在给定信号源位置的情况下，传感器观测数据是条件独立的：
(2)
当传感器之间的测量误差在给定x的情况下不相关时，这种分解成立，尽管在实践中通过第4.3节中的鲁棒加权方案放宽了这一假设。

4.2. 基于RSSI的被动测量模型
设聚合的RSSI测量值为，例如，作为时间窗口内的中位数或鲁棒平均值。被动测量模型定义为：
(3)
其中是候选信号源位置与传感器之间的距离；是环境参数和信道参数参数化的单调信号衰减函数；是捕获干扰和多径传播的误差项。
对于贝叶斯估计，被建模为具有距离依赖方差的零均值测量误差，具体细节在第4.5节中进一步说明。这种公式提供了用于似然函数的基本概率测量模型，而第4.4节中引入的鲁棒损失减少了由多径传播、干扰和瞬态信道干扰引起的非高斯异常值的影响。

4.3. 加权传感器融合
考虑到传感器之间的异质性，引入了权重：
(4)
其中是局部负对数似然，权重满足：
这种公式赋予在当前信道和几何条件下观测数据更可靠的传感器更大的影响，同时减少了噪声或不稳定传感器的影响。因此，融合后的后验概率对局部异常不那么敏感，更好地反映了可用被动观测数据的质量。
一种实用的加权形式为：
(5)

4.4. 鲁棒损失
为了减少异常值的影响，应用了鲁棒损失函数（例如Huber损失）：
(6)
其中归一化残差为：
鲁棒损失限制了可能由干扰、突发管理帧活动或瞬态信道干扰引起的大残差的影响。实际上，这防止了少量损坏的观测数据不成比例地偏移后验估计。

4.5. 距离依赖的不确定性及超过40米时的显式增加
为了避免高估定位精度，距离依赖的方差在超过d0 ≈ 40米时被建模为具有显式增加：
(7)
其中
(8)
这里，Δ表示超过操作距离阈值d0后引入的额外方差增量。
从物理上讲，它代表了由于非视距传播、衰减变化、局部反射和远距离范围内的干扰导致的定位不确定性突然增加。在操作上，这一项防止了模型在大约40米以外过度自信。

4.6. 置信区域（椭圆/可信集）
假设α水平的置信区域为：
(9)
这个置信区域定义了在后验模型下信号源预期所在的空间区域及其概率水平α。在SOC（安全操作控制）设置中，该区域的大小和位置在操作上非常重要，因为它们决定了估计是否足够精确以证明自动操作的合理性或是否需要验证。

4.7. 时间过滤（间歇性/移动源）
时间过滤通过结合当前观测数据与之前的后验状态来稳定间歇性或移动发射器的定位输出。这在操作监控环境中尤为重要，因为短暂的活动爆发、数据包丢失或瞬态干扰可能会导致坐标估计不稳定。
对于移动或间歇性发射器，应用递归贝叶斯过滤：
(10)

4.8. ROC和CDF定义
定位误差：
(11)
误差累积分布函数：
(12)

4.9. 移动收集统计累积模型
假设移动平台以频率λ（例如1 Hz）收集测量数据。
在测量误差弱相关的假设下，后验协方差随着测量次数M的增加而减小：
(13)
其中考虑了由信道跳变、多径传播和重复轨迹段引起的相关性。

5. 算法实现
这里仅介绍了总体框架，没有披露会泄露内部知识的实现细节。
提出的程序在算法1中进行了总结。该算法以数组形式呈现，以提高可读性，并清楚地显示了被动数据收集、贝叶斯后验更新、不确定性校准和SOC决策分配的顺序。
算法1. 带有SOC阈值的被动贝叶斯定位；
先验概率p(x)；距离依赖不确定性的参数；...以及校准参数（从现场实验获得）。
对于t = 1 … T：
收集被动特征：RSSI统计信息、管理/控制帧特征和接收器日志（可靠性、信道占用率、稳定性）。
使用鲁棒损失和σ2(d)处理超过约40米时的误差峰值（如有需要，还包括时间预测）。
（覆盖范围/可靠性）。
将事件导出到SIEM（安全信息事件管理系统），包括不确定性字段和证据遥测数据。

5.1. 复杂性分析
假设在后验概率在G个候选点或粒子的网格上进行近似计算。每一步的似然计算复杂度为O(N·G)，再加上O(G)用于归一化和（如果需要的话）预测。在实际应用中，G会根据预期的不确定性进行调整（从粗略到精细的策略）。

5.2. 可重复性（总体框架）
通过规定数据格式、收集参数（频率、信道）、现场实验协议、评估指标和校准原则，确保了总体框架的可重复性。内部相关性和处理程序的细节有意不予以披露。

6. 系统架构
系统架构围绕三个设计原则构建，这些原则直接源自第2节中建立的SOC要求。首先，实施技术分离：被动无线电数据（RSSI、管理/控制帧和接收器日志）与受保护的网络事件和SOC响应逻辑分开，相关性仅限于监控模式观测和安全日志。这种分离是必要的，因为在收集层将原始遥测数据与受保护的网络标识符合并会破坏隐私和数据最小化要求。其次，定位流程的输出是概率性的：架构将后验分布及其相关不确定性传播到所有下游层，以便SOC决策基于校准后的置信度而不是点估计。第三，证据层与定位层解耦：区块链锚定完整性证明和政策转换记录，但不改变或替换概率推断，允许这两层独立更新、审计或替换。图2显示了结果的三层架构。第1层从固定传感器、移动平台和无人机源收集并标准化被动数据。第2层执行贝叶斯融合（似然、鲁棒加权和后验估计），并生成置信区域，同时考虑超过大约40米的距离相关误差峰值。第3层将校准后的不确定性转换为SOC决策阈值（AUTO、VERIFY和OBSERVE），并触发SOAR操作手册。

图3展示了Wi-Fi空间识别的方法分类：
(1) 基于被动RSSI的方法（主要数据通道，如三边测量/加权融合/贝叶斯估计，通常在被动模式下约为3–8米）；
(2) 管理/控制帧分析（信标分析、探针模式、时间特征——主要提供上下文信息而不是精确坐标）；
(3) 覆盖范围图/无线电图和指纹识别（使用k-NN或机器学习方法与参考测量数据库匹配，通常在校准可用时约为1–5米）；
(4) IEEE 802.11mc FTM作为仅主动的方法（RTT测距/三边测量，约0.5–2米），在本工作中明确标记为不适合被动SOC监控，因此被排除在外。
接下来，介绍了SOC在没有主动测量的情况下获取被动Wi-Fi定位的实际流程，其中相关性严格限于来自受保护网络的事件。

图4说明了基于RSSI的多源被动融合架构。数据从固定扇区传感器、移动接收器和无人机平台收集，然后进行标准化和鲁棒聚合，之后使用考虑信道质量、天线特性和噪声的加权融合进行组合。然后进行坐标估计，并生成置信区间（68%和95%）。图4. 多源被动融合方案（仅基于RSSI的定位），允许监控模式观测与受保护网络数据之间的相关性。在输出端，生成包含估计坐标、不确定性参数、置信分数和证据遥测数据的SIEM事件（用于审计目的）。虚线表示仅允许监控模式观测与受保护网络数据之间的相关性。IEEE 802.11mc FTM/RTT被标记为仅主动方法，因此被排除在被动方法之外。

天线基础设施模型定义了感知层的基线几何形状和稳定性，这直接影响后验质量和与距离相关的误差范围。基础设施分为固定和移动两部分。固定层提供稳定的观测几何形状和时间一致性，而移动层（车辆/无人机）增加了观测多样性，减少了几何简并性，并提高了统计累积的准确性。固定部署参数列在表1中。

定位流程和区块链证据层通过每个时间步骤产生的结构化事件记录进行耦合。这种耦合是双向的。首先，定位置信度决定了智能合约是否授权动作。其次，智能合约策略阈值定义了校准阶段在允许自动动作之前必须满足的置信水平。
向下耦合（定位到区块链）：在每一步中，贝叶斯流程产生后验概率、MAP估计、置信区域、校准后的置信分数和SOC决策。
这些输出被序列化为一个结构化的事件记录，其中包含原始遥测数据的哈希、估计坐标、置信分数、决策标签、置信区域摘要、时间戳、传感器标识符和模型版本。原始遥测数据保留在链外，而事件记录提交到授权的账本中。

智能合约门控：只有当满足两个条件时，智能合约才会授权自动动作：(i) 校准后的置信分数超过请求动作级别所需的策略阈值；(ii) 证据记录完整且哈希可验证。如果任一条件不满足，系统将降级为VERIFY或OBSERVE模式，并记录降级原因。

向上耦合（区块链到定位）：智能合约中嵌入的策略阈值定义了校准阶段在允许自动动作之前必须达到的置信水平。当这些阈值在定期风险审查期间更新时，更新后的值会被传播回定位校准阶段，以确保统计模型和操作策略保持同步。

框架解决的安全威胁：在无线电层，管理帧泛滥可以通过注入伪造的信标或探针帧来破坏定位流程[11]。这种风险通过基于鲁棒中位数的RSSI聚合和时间窗口化在阶段1得到缓解。MAC地址随机化随着时间的推移使持续源跟踪变得复杂；时间过滤（第4.7节）和帧特征聚类部分补偿了这种效应。恶意接入点注入也可能引入错误的定位锚点[22,23]；为了减少这种风险，第4.3节中的传感器加权方案对表现出异常占用或噪声行为的传感器进行降权。

在传输和分析层，遥测数据可以通过TCP和QUIC等标准协议传输。然而，仅传输层保护并不能防止数据在穿过传输层后被特权内部人员或受损的分析节点修改[18]。链上哈希锚定机制解决了这一限制：一旦结构化的事件记录被提交到账本上，对定位结果或其证据字段的任何事后修改都可以通过重新计算哈希并进行比较来检测到。在决策和审计层面，未经授权的SOC响应阈值修改可能会悄悄降低自动操作的信心水平。这种风险通过智能合约得以缓解，因为智能合约将相关策略阈值编码在可审计的链上逻辑中，要求任何更改都必须有文档化的更新路径。事件发生后的否认也因链上记录而减少，该记录保留了决策时的信心分数、证据哈希和策略标签。重要的是，区块链层并不提高定位精度；其安全价值在于防篡改能力、不可否认性和对高风险SOC环境中基于定位的决策的可验证保管链。

方法部分为关键基础设施环境中的被动Wi-Fi定位建立了一个完整的SOC导向流程，从遥测数据收集到运营决策。首先，实施了技术分离：被动无线电数据（RSSI、管理/控制帧、接收器日志）与受保护的网络事件和SOC响应逻辑分开。允许的相关性仅限于监控模式观察和安全日志/事件，而IEEE 802.11mc FTM/RTT被明确分类为仅主动模式，并排除在被动方法之外。其次，定位方法被定义为概率性的：输出是后验不确定性和置信区域。这使系统能够通过SOC决策阈值（AUTO/VERIFY/OBSERVE）来管理运营风险，而不是依赖于单一坐标估计。第三，该方法具有对异常值和干扰的鲁棒性，以及对间歇性或移动源的时间一致性，这在现实世界环境中至关重要。第四，定位质量的实际驱动因素通过大规模移动数据收集和基于无人机的感测来参数化。此外，天线基础设施模型被定义为方法的必要组成部分：固定扇区传感器确保了稳定的观测几何形状和重复性，而移动平台上的全向天线增加了观测多样性并减少了几何歧义。因此，方法部分定义了一个可复制的框架，规定了：哪些数据是被动收集的；如何生成带有不确定性的定位估计；如何校准不确定性并将其转换为响应阈值；哪些基础设施和现场协议确保了估计质量。

以下结果部分展示了来自现场验证的实证发现，包括误差分布和CDF分析、超过大约40米时误差“尖峰”的距离相关退化示例、后验地图和置信区域的示例，以及基于不确定性的决策阈值对错误战术操作频率和SOC响应延迟的影响。

7. 实验设置
现场验证是主要方法。实验协议主要基于现场数据收集，可以通过驾驶或飞行绕过监控区域或在设施周边部署传感器来进行。任何合成或模拟数据，如果包含在内，仅作为辅助支持，并明确标识为次于现场验证过程。

7.1. 现场活动计划（2-3天）
持续2-3天的现场活动提供了足够的数据量进行统计分析。计划包括：
- 固定层：在关键周边点部署扇区传感器（表1）。
- 移动层：配备全向天线的车辆沿多个视角的路线行驶，以增加几何多样性。
- 无人机层：沿预定义路线飞行，测量频率约为1 Hz，以积累统计观测数据。

7.2. 无人机收集参数
无人驾驶航空平台被用作标准化的移动数据收集器，以增加观测的几何多样性并实现统计数据的积累。与固定层不同，无人机允许控制高度、观测角度和轨迹的变化，这直接减少了后验歧义。

主要收集参数：
- 高度约50米：在开放环境中捕获半径可达约0.8-1.0公里。
- 高度约100米：从飞行路径捕获半径可达约1.5公里（在没有显著遮挡的情况下）。
- 测量频率：每秒1次测量（1 Hz），并在时间窗口内进行稳健的聚合。
1 Hz的采样率提供了足够的统计积累，而不会使通道过载，并能够形成稳定的RSSI聚合，以便后续的贝叶斯融合。
选择高度模式取决于构建环境的配置。在部分或严重NLOS条件下，增加高度可以减少遮挡效应，但会增加衰减变化；这种效应在距离依赖的不确定性模型中得到了考虑。
图5展示了实验计划，包括固定扇区传感器的放置以及使用全向天线进行移动和无人机数据收集的轨迹。轴（m）和（m）分别代表以设施周边参考点为中心的局部平面坐标系中的东向和北向距离（以米为单位）。标记为LOS、部分NLOS和严重NLOS的区域代表了用于基于距离的误差鉴定和验证超过大约40米时定位误差尖峰的不同信号传播状态。飞行轨迹设计为与不同几何配置的传感器相交，以最小化解决方案的简并性。

7.3. 评估指标和范围鉴定
评估包括两个部分：考虑不确定性的定位质量，以及作为校准信心函数的SOC阈值质量。

8. 结果
实证结果通过四个互补的视觉摘要呈现：定位误差CDF、SOC阈值选择的ROC曲线、带有置信椭圆的后验热图，以及区分验证近场（≤40米）和退化远场（>40米）的范围范围比较。主要实证发现及其运营影响在表2中总结。

8.1. 定位误差分布
定位性能使用定位误差的累积分布函数（CDF）进行评估，特别关注上尾部分，因为大误差对运营决策最为相关。近场区域的性能相对稳定，而远场区域的误差尾部较重。这种行为支持使用基于距离的响应阈值，而不是在整个监控区域内使用单一策略。对于SOC操作，仅平均定位误差是不够的：误差分布的尾部至关重要，因为它们会引发错误的战术操作风险。因此，定位质量使用误差CDF和基于范围的结果有效性鉴定（阈值之前/之后）来进行评估。
误差CDF因此提供了一个具有操作意义的总结：近场尾部主要由适合AUTO操作手册的小误差主导，而远场尾部包含足以触发错误或破坏性自动操作的误差——这为基于范围的SOC阈值制定了实际案例。
在有效范围内（约40米以内），曲线上升得更快，表明小误差的比例较大。相比之下，图6显示，在超过约40米时，出现明显的误差尖峰和更重的尾部，表明在干扰和遮挡等敌对或具有挑战性的影响下定位质量显著下降。因此，这个临界点被视为基于范围的准确性鉴定的实际边界，以及更保守的SOC阈值调整的临界点。

8.2. SOC操作的阈值质量（ROC）
ROC分析用于评估设置AUTO和VERIFY阈值时检测灵敏度和错误操作之间的权衡。正如预期的那样，更保守的AUTO阈值减少了误报，而VERIFY阈值在接受更高误报率的同时提高了灵敏度。这些曲线为根据错误的运营成本选择响应策略提供了直接的基础。
ROC曲线因此为选择响应策略提供了正式的、可操作的解释基础：AUTO操作点以较低的检测灵敏度为代价最小化了误报的自动操作，而VERIFY操作点在接受更高误报率的同时提供了更大的覆盖范围——这种权衡应根据特定关键基础设施环境的错误成本进行校准。
ROC曲线描述了AUTO与VERIFY场景下的SOC决策阈值。AUTO使用更高的阈值，导致更少的错误操作，而VERIFY使用较低或中等的阈值，以更高的误报率（FPR）为代价获得更多的检测。标记的操作点表示特定的阈值配置，曲线下的面积（AUC）作为阈值质量的总体衡量标准。在实际操作中，ROC分析使得可以根据关键基础设施环境中的错误成本正式选择阈值：对于破坏性操作，最小化误报是优先考虑的，而较温和的操作或验证工作流程可能容忍更多触发器，同时具有可控的FPR。

8.3. 后验可视化和置信区域
可视化显示了后验密度的热图以及MAP估计和68%和95%置信椭圆。这种表示比单独的点估计更具信息量，因为它传达了最可能的位置以及与分诊和操作手册选择相关的不确定性范围。在SOC背景下，将结果表示为带有置信区域的概率分布是必要的，而不仅仅是一个坐标点，因为决策不仅取决于位置，还取决于不确定性区域的大小和位置。
置信椭圆可以解释为空间风险预算：一个集中在可访问区域内的紧凑68%椭圆可能支持AUTO响应，而一个跨越多个区域的大或不规则形状的95%椭圆则支持VERIFY或OBSERVE。后验地图中最亮的区域对应于最可能的位置，而椭圆代表了可能的坐标的紧凑和扩展区域。关键结论是，定位变得可操作控制：SOC不仅收到一个点估计，还收到了坐标假设、其空间不确定性和分诊决策的明确依据。

8.4. 超过约40米的误差尖峰（现场效应）
现场数据表明，在大约40米之后定位性能显著下降。在这个范围内，误差分布向更大的值偏移，不确定性区域扩大，使得基于坐标的自动化不太可靠。因此，这个临界点被视为操作有效性边界，而不仅仅是数据的描述性特征。
从操作角度来看，超过40米后，优先事项从最大化自动响应转变为最小化错误操作。因此，更倾向于选择OBSERVE模式和额外的移动或无人机辅助数据收集，以在任何自动化操作被授权之前减少位置不确定性。
为了反映这种转变，误差CDF分别针对两个距离范围进行了分析：≤40米和>40米。在近场区域，曲线上升迅速，表明定位更稳定；而在远场区域，它向右移动并显示出明显的退化尖峰和更重的尾部。这些结果支持基于范围的准确性鉴定和在高不确定性区域采用更保守的SOC阈值。实际上，这意味着相同的定位模型不应在所有距离上都产生同样可靠的结论；在远场区域，优先事项是减少错误操作，而不是最大化自动化。

8.5. 操作集成（SIEM–SOAR）和证据可审计性
为了实际部署，定位结果和校准的信心分数必须导出到SIEM，并用于通过AUTO、VERIFY和OBSERVE决策模式来管理SOAR操作手册的执行。
从管理帧中提取的预关联指标具有双重作用：它们直接贡献于后验空间估计，一旦与它们的证据哈希一起导出到SIEM，就提供了独立可验证的记录，证明在采取任何SOC操作之前观察并定位了给定的Wi-Fi事件。结果解释与社会运营（SOC）影响讨论
主要的实际发现是，在SOC环境中，定位质量的评估不仅应基于中心趋势，还应考虑误差分布的尾部。较大的误差在操作上比平均准确性的小幅提升更为严重，因为它们更有可能引发错误的响应。从这个意义上说，不确定性校准不是模型的辅助输出；它是决策逻辑的一部分。

与其他方法和SOC实践的比较
在大多数应用定位解决方案中，结果以点估计的形式呈现，这便于在用户界面中进行可视化，但在实际条件下却较为脆弱。多路径传播、屏蔽、干扰和环境变化使得单一的“最佳”坐标对自动化响应系统来说可能存在安全隐患。相比之下，所提出的方法基于后验坐标分布和置信区间，使定位输出与SOC操作中典型的风险导向思维相一致。因此，决策的触发不是基于坐标估计的存在本身，而是基于足够的校准置信度和可接受的误差风险。

与那些通过主动程序强调高定位准确性的方法相比，本研究有意仅依赖被动监测模式数据。虽然这可能会降低最佳情况下的仪器精度，但它显著提高了SOC部署的真实性，因为在这些情况下，主动的客户端参与往往是不可能的或不可取的。它还简化了安全监控框架内的可接受相关性策略。

将误差“峰值”超过约40米视为操作有效性边界
在大约40米以外观察到的性能下降最好解释为底层观测机制的变化。在更远的距离上，非视距传播、衰减变化、局部反射和干扰的影响更大，降低了被动测量的可靠性。从操作角度来看，这表明不能将所有坐标同等对待。在该范围之外，系统应优先考虑验证或额外数据采集，而不是直接采取自动化行动。

实际含义是，在此边界之外，定位应从报告坐标转变为报告不确定性并推荐相应的行动。因此，在40米以外的区域，应大幅限制自动SOC的操作手册，同时优先考虑VERIFY行动或基于移动设备/无人机的额外数据收集以减少不确定性。

置信校准作为统计学与战术决策之间的桥梁
在这个框架中，校准指标（经验覆盖率和可靠性图表）充当了数学不确定性与操作风险管理之间的桥梁。相同的数值置信度如果没有经过校准，根据环境的不同，可能对应着非常不同的实际风险。因此，SOC阈值必须依赖于校准后的置信度，而不是原始的概率估计；否则，自动化将变得无法有效控制。从这个意义上说，基于ROC调整AUTO/VERIFY阈值不仅是一个模型评估指标，而且是一种根据特定关键基础设施环境中的误差成本正式调整响应策略的实际机制。

研究局限性
被动特征的噪声：在监测模式下观察到的RSSI测量值和帧模式强烈依赖于信道条件、接收器之间的硬件差异、客户端节能模式以及外部干扰。这需要强大的估计机制和对结果的仔细解释，特别是在较远距离时。
领域变化：季节性或基础设施变化（例如，建筑改造、新的干扰源或设备重新定位）可能会改变特征统计并降低校准质量。实际上，这意味着需要定期重新校准和持续监控模型性能。
MAC随机化和间歇性：在某些场景中，由于设备标识符的随机化和短暂的活动爆发，随时间跟踪源变得复杂。时间过滤可以缓解这个问题，但不能保证持续跟踪。
基础设施要求：使用扇区天线的静态定位框架需要定期校准。如果没有这样的校准，系统性的定位偏差风险会增加。

对零信任和多模态AI的实际影响
从零信任的角度来看，空间归属应被视为带有相关置信度的证据，而不是确定性的事实。因此，破坏性或高影响行动应基于与组织风险容忍度一致的校准后的不确定性估计。这一原则自然适用于已经依赖于结构化条件进行升级和自动化的SIEM–SOAR工作流程。它也与SIEM–SOAR生态系统相契合，其中事件可以包含支持审计和响应行动可重复性的不确定性字段和证据属性。

进一步发展的一个有前景的方向是多模态AI，它结合了无线电特征（RSSI和帧模式）与网络安全事件（NAC、IDS、EDR）、上下文访问信息（时间、位置、策略），并在允许的情况下，结合额外的传感器通道（如视频监控），这些传感器在区域存在层面而非个人识别层面进行操作。这种集成可以减少不确定性并改进操作手册的决策。

同时，保持数据最小化原则和严格的相关性控制仍然至关重要，以确保系统不会演变成一个不透明且难以审计的数据聚合平台。

可重复性和开放材料
支持结果可视化和文本解释的材料已发布在开放的Zenodo仓库中。这提高了结论的可验证性，并使从业者能够根据特定的关键基础设施环境调整阈值和策略，而无需改变基本的方法论原则。区块链扩展应被视为一种证据控制机制，而不是声称分布式账本可以提高定位精度。其价值在于加强定位相关决策的完整性、来源性和不可否认性。对于关键基础设施SOC而言，当后验估计触发操作上重要的行动或当事件重建需要确定决策时哪些证据是可用的时，这一点尤为重要。一种许可的、混合的链上/链下设计似乎是最现实的选择，因为它在保持原始遥测数据机密性的同时，使得完整性证明和响应策略转换能够独立验证。

10. 结论
本研究表明，对于关键基础设施SOC而言，当被动Wi-Fi定位以带有校准不确定性的后验空间估计的形式表达时，其效果更好。所提出的贝叶斯框架通过AUTO、VERIFY和OBSERVE模式将不确定性估计与操作响应控制联系起来，并通过许可的证据记录扩展了定位事件，从而提高了可审计性。现场验证表明，在大约40米以外，定位性能显著下降，这应被视为采取自信自动化行动的实际边界。在验证范围内，校准后的置信度支持更可辩护的响应决策；超出该范围后，建议进行额外观察或验证。在这种情况下，区块链层应被视为一种保持完整性和来源性的证据保障，而不是提高定位精度的手段。

结果进一步表明，校准后的置信度可以作为调整响应策略的有效控制参数。保守的AUTO阈值降低了错误高影响行动的风险，而VERIFY阈值在可接受的验证工作负载增加的情况下支持事件分类。因此，将定位输出表示为带有置信区间的后验分布，为SOC提供了位置估计以及判断该估计是否足够可靠以采取行动的明确依据。

总体而言，本研究定义了一个与SOC兼容的流程，该流程结合了被动监测模式观测、贝叶斯定位、不确定性校准、决策阈值控制以及向SIEM/SOAR导出证据遥测数据。未来的工作应集中在自适应阈值学习、在领域变化下的稳健校准、优化的移动设备和无人机辅助收集轨迹，以及标准化用于不确定性感知和审计准备的证据记录的SIEM模式上[24,25]。

补充材料
图S1–S8及其详细说明、现场实验结果数据和不确定性指标的操作解释可在Zenodo仓库中找到：https://doi.org/10.5281/zenodo.18809252（访问日期：2026年4月25日）。