疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "16:34 有人开锁进入后未关门未上锁，18:01 住户回家时门处于未锁状态，存在尾随入室或未授权滞留的风险。",
  "reasoning": [
    "推理步骤1: 16:34 入户门被手动解锁（LockOperationType=1, OperationSource=Manual），门被打开（StateValue=False），玄关检测到有人（Occupancy=1），但此后日志中没有关门（StateValue=True）和重新上锁的记录，说明门在较长时间内处于开启/未锁定状态。",
    "推理步骤2: 从16:34到18:01之间（约1.5小时），没有任何室内运动传感器触发、灯光开关或其他住户活动迹象，这不符合正常到家后的行为模式。如果是住户本人进入，通常会有开灯、走动等后续活动。",
    "推理步骤3: 18:01 门再次被手动解锁，住户进入后立即有客厅运动传感器触发、开灯、开空调等一系列正常居家活动，说明18:01才是住户真正到家的时间点。",
    "推理步骤4: 16:34的开门事件来源为 Manual 且没有 UserIndex 标识，与18:50的开锁事件（带有 UserIndex=1 和 OperationSource=3 即密码/凭证开锁）形成对比，说明16:34的开门方式缺乏身份验证信息。",
    "推理步骤5: 16:34开门后门未关闭，18:01住户到家时门锁状态为未锁定（直接解锁说明此前可能已处于未完全锁定状态），这段时间窗口存在他人尾随或趁虚进入的风险。即使没有实际入侵，长时间门户未锁本身也是严重安全隐患。"
  ],
  "key_evidence": [
    "16:34:00 入户门手动解锁并打开，但之后无关门（StateValue=True）和上锁记录",
    "16:34 至 18:01 之间约1.5小时无任何室内活动传感器触发，不符合有人在家的行为模式",
    "16:34 的开锁事件无 UserIndex，身份不明；而 18:50 的开锁事件有明确的 UserIndex=1",
    "18:01 住户到家后立即产生正常活动链（运动检测→开灯→开空调），与16:34后的静默形成鲜明对比",
    "22:30:19 才出现 front_door_contact StateValue=True 和自动上锁，说明门可能从16:34起一直未正确关闭"
  ],
  "recommended_actions": [
    "立即确认16:34开门事件的身份：检查门锁的完整操作日志和监控录像，确定是否为已知住户或授权人员",
    "检查家中是否有财物丢失或异常痕迹，特别关注16:34至18:01期间可能被进入的区域",
    "启用门锁的自动上锁超时功能：设置门开启超过一定时间（如2分钟）后自动报警或推送通知",
    "为门锁配置所有授权用户的 UserIndex，确保每次开锁都有身份记录，便于追溯异常开锁事件",
    "增加入户门区域的安防措施：考虑加装摄像头或启用玄关运动传感器联动报警，当门未锁且检测到运动时立即推送告警",
    "设置离家模式自动化规则：当所有住户离家后，若检测到入户门被打开且无有效凭证，立即触发高优先级告警",
    "检查门锁硬件是否存在故障（如锁舌未正常弹出），排除机械故障导致的未锁定情况"
  ]
}
```

检查门锁硬件是否存在故障（如锁舌未正常弹出），排除机械故障导致的未锁定情况


温度异常上升但无合理热源（空调关闭/制冷模式，灶具关闭） 上升速度超过正常烹饪或日照导致的范围

火灾风险警报，建议住户检查该区域电器

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "厨房在午间做饭期间出现异常高温并触发烟雾报警，存在电器过热起火风险。",
  "reasoning": [
    "推理步骤1: 12:00 厨房温度传感器报告 2985（29.85°C），而同一时刻其他房间温度均在 25.7-25.8°C 范围内，厨房温度异常偏高约 4°C，说明在灶具开启前厨房已存在异常热源或余热积聚。",
    "推理步骤2: 12:14 厨房灯开启、12:14:30 灶具开启后，12:20 厨房温度飙升至 3237（32.37°C），12:25 灶具关闭时仍高达 3200（32.00°C）。相比其他房间同期约 25.7°C 的温度，厨房温度高出约 6-7°C，远超正常做饭引起的温升幅度。",
    "推理步骤3: 12:30 厨房温度仍维持在 2982（29.82°C），同时烟雾报警器触发 SmokeState = 1（烟雾警告状态）。灶具已在 12:25 关闭，但 5 分钟后温度仍未明显下降且触发了烟雾报警，说明可能存在食物烧焦、油烟过大甚至明火隐患。",
    "推理步骤4: 厨房温度传感器在灶具使用期间多次报告 MeasuredValue = None（09:02、09:28、12:15、12:26 等），传感器读数中断可能是因为温度超出量程或传感器受高温影响出现故障，这进一步佐证了厨房存在异常高温。",
    "推理步骤5: 虽然 12:25:30 厨房窗户被打开（BooleanState.StateValue = False）进行通风，且 13:00 厨房温度回落至 2567（25.67°C），烟雾报警未持续报告，说明住户已做了初步处置，但此次事件的温度峰值和烟雾触发仍构成明确的火灾风险信号。"
  ],
  "key_evidence": [
    "12:00 厨房温度 2985（29.85°C），比其他房间高约 4°C，灶具尚未开启即已异常",
    "12:20 厨房温度飙升至 3237（32.37°C），12:25 灶具关闭时仍为 3200（32.00°C）",
    "12:30 烟雾报警器触发 SmokeState = 1，灶具关闭 5 分钟后仍有烟雾",
    "厨房温度传感器在灶具使用期间多次报告 None，疑似高温导致传感器读数异常",
    "12:30 厨房温度 2982（29.82°C），仍远高于其他房间的 25.7°C"
  ],
  "recommended_actions": [
    "立即确认厨房现场安全：检查灶具、油烟机及周围是否有残留明火、冒烟或焦糊物，确保火源已完全熄灭",
    "保持厨房窗户开启并开启排风扇，加速排出烟雾和热量，降低有害气体浓度",
    "检查厨房灶具及周边电器（如油烟机、微波炉等）是否存在线路过热、短路或老化迹象，必要时断开电源",
    "检查厨房温度传感器是否因高温损坏（多次报告 None），如有故障应及时更换以确保后续监测有效",
    "设置厨房温度阈值告警规则：当厨房温度超过 30°C 或与其他房间温差超过 5°C 时自动推送警报",
    "设置灶具自动安全关断规则：灶具连续运行超过 30 分钟或厨房温度超过阈值时自动关闭灶具",
    "如烟雾报警持续触发或发现明火，立即疏散人员并拨打 119 火警电话",
    "事后对厨房烟雾报警器进行功能测试，确认其灵敏度和响应时间正常"
  ]
}
```

厨房在午间做饭期间出现异常高温并触发烟雾报警，存在电器过热起火风险。

厨房温度传感器在灶具使用期间多次报告 None，疑似高温导致传感器读数异常

保持厨房窗户开启并开启排风扇，加速排出烟雾和热量，降低有害气体浓度

如烟雾报警持续触发或发现明火，立即疏散人员并拨打 119 火警电话

事后对厨房烟雾报警器进行功能测试，确认其灵敏度和响应时间正常


洗碗机运行期间厨房漏水传感器触发 两个事件的时间关联性

停止洗碗机运行，通知住户检查

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "卫生间漏水传感器在洗碗机运行期间触发报警，存在水损风险，需立即处置。",
  "reasoning": [
    "推理步骤1: 23:33 卫生间漏水传感器 bathroom_water_leak 报告 StateValue=True，表明检测到积水。",
    "推理步骤2: 洗碗机于 19:43 启动（OperationalState=1），至 23:28 仍处于运行状态（OperationalState=1），已持续运行近 4 小时，远超普通洗碗程序的 1-2 小时周期，运行时间异常偏长。",
    "推理步骤3: 漏水传感器位于卫生间而非厨房，但公寓中厨房与卫生间通常共用排水管路。洗碗机长时间运行可能导致排水管路堵塞或回流，水从卫生间地漏/管道接口处溢出。",
    "推理步骤4: 阳台洗衣机全天无任何启动记录，排除洗衣机漏水的可能性。漏水源头高度关联洗碗机异常运行。",
    "推理步骤5: 事发时住户已在主卧就寝（22:36 主卧灯关闭），可能无法及时察觉漏水，水损扩大风险较高。"
  ],
  "key_evidence": [
    "23:33 bathroom_water_leak StateValue=True — 卫生间检测到漏水",
    "洗碗机 19:43 启动后运行至 23:28+ 仍为 OperationalState=1，持续近 4 小时未完成，运行时间异常",
    "23:33 漏水报警与洗碗机仍在运行同时发生，时间高度吻合",
    "洗衣机全天无启动记录，排除洗衣机作为漏水源",
    "住户 22:36 已熄灯就寝，无人值守状态下漏水风险升级"
  ],
  "recommended_actions": [
    "立即远程关闭洗碗机（发送 OnOff.Off 指令至 kitchen_dishwasher），停止可能的持续进水/排水",
    "立即向住户手机推送高优先级漏水警报，附带蜂鸣提醒以唤醒就寝中的住户",
    "如有智能水阀，立即关闭厨房或全屋进水总阀，防止水损进一步扩大",
    "住户醒后应第一时间检查卫生间地面积水情况，并检查厨房洗碗机下方及排水管接口是否有渗漏",
    "检查洗碗机排水管是否堵塞或脱落，确认长时间运行的原因（可能是排水故障导致程序无法正常结束）",
    "清理卫生间积水，检查是否已渗透至地板下层或相邻房间，评估是否需要专业维修",
    "洗碗机恢复使用前应进行维修检查，确认排水系统正常后再重新启用",
    "建议在厨房洗碗机下方增设漏水传感器，实现漏水源头的直接监测"
  ]
}
```

卫生间漏水传感器在洗碗机运行期间触发报警，存在水损风险，需立即处置。

23:33 漏水报警与洗碗机仍在运行同时发生，时间高度吻合

洗衣机全天无启动记录，排除洗衣机作为漏水源

住户 22:36 已熄灯就寝，无人值守状态下漏水风险升级

立即向住户手机推送高优先级漏水警报，附带蜂鸣提醒以唤醒就寝中的住户

如有智能水阀，立即关闭厨房或全屋进水总阀，防止水损进一步扩大

清理卫生间积水，检查是否已渗透至地板下层或相邻房间，评估是否需要专业维修

洗碗机恢复使用前应进行维修检查，确认排水系统正常后再重新启用

建议在厨房洗碗机下方增设漏水传感器，实现漏水源头的直接监测


门关闭后玄关再次检测到运动 同时有两个不相邻房间的运动信号（住户在客厅，另一人在次卧） 住户是独居的情况下不应有第二个人

疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "18:06 有人通过合法凭证开锁后，疑似有第二人尾随进入室内；约一分钟后又出现一次手动开锁开门，两次入户行为间隔极短且运动轨迹异常。",
  "reasoning": [
    "推理步骤1: 18:06:00 入户门锁通过 UserIndex=1 的合法凭证（OperationSource=3，即密码/指纹/卡片）解锁，门打开后住户进入，玄关和客厅运动传感器依次触发，这是正常回家流程。",
    "推理步骤2: 18:06:10-18:06:15 期间，living_room_occupancy 和 second_bedroom_occupancy 同时报告占用=1，说明至少有两个不同位置同时检测到人体活动。住户一人不可能同时出现在客厅和次卧，暗示室内存在第二人。",
    "推理步骤3: 仅约一分钟后（18:07:00），入户门锁再次被手动（OperationSource=Manual）解锁，门再次打开（front_door_contact=False），玄关运动传感器再次触发。这意味着在第一人刚进门、门已关闭的情况下，又有人从外部手动开门进入。",
    "推理步骤4: 第一次开锁使用了注册凭证（UserIndex=1），第二次开锁为 Manual 且无 UserIndex，说明第二次进入者没有使用任何已注册的认证方式，而是趁门未完全锁定时手动开门，符合典型的尾随入室模式。",
    "推理步骤5: 对比早晨 07:17 的正常出门流程——住户手动开锁、出门、门关闭后自动上锁，全程只有一次开锁事件且运动传感器无多点同时触发。18:06-18:07 的双重开锁和多点同时占用明显偏离正常模式。",
    "推理步骤6: 18:07:00 之后门锁未记录到自动上锁事件（LockState=1），且 front_door_contact 在 18:07:02 变为 False（开）后直到 21:56:35 才恢复为 True（关），说明入户门在长达近4小时内处于未关闭或未上锁状态，进一步加剧安全风险。"
  ],
  "key_evidence": [
    "18:06:00 合法凭证开锁（UserIndex=1）后，18:07:00 又出现一次无凭证的手动开锁，间隔仅1分钟",
    "18:06:10-18:06:15 客厅（living_room_occupancy=1）和次卧（second_bedroom_occupancy=1）同时检测到人体活动，单人不可能同时出现在两个房间",
    "第二次开锁 OperationSource=Manual 且无 UserIndex，表明进入者未使用任何注册认证",
    "入户门从 18:07:02 开启后直到 21:56:35 才关闭，长时间处于未锁定状态"
  ],
  "recommended_actions": [
    "立即触发室内警报（声光报警），对潜在入侵者形成威慑",
    "通过智能家居系统自动锁定入户门（远程发送 Lock 指令），防止更多人员进入或入侵者轻易逃离现场后再次进入",
    "向户主手机推送高优先级入侵告警通知，附带事件时间线和门锁操作详情",
    "自动拨打物业安保或 110 报警电话，告知疑似尾随入室事件及住址信息",
    "如有室内摄像头，立即开启录像并保存 18:05-18:10 时段的关键画面作为证据",
    "将客厅、玄关等区域灯光全部打开（已部分执行），提高室内可见度，降低入侵者隐蔽行动的可能",
    "事后建议：启用门锁的自动上锁功能（缩短自动上锁延迟至5秒以内），并开启"门未关提醒"功能，防止类似尾随事件再次发生",
    "事后建议：在玄关区域加装摄像头，配合门锁事件联动录像，便于事后取证和身份识别"
  ]
}
```


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "16:08 有人通过手动开锁进入后未关门、未上锁，随后 17:26 有人尾随进入，存在未授权人员入室的高度风险。",
  "reasoning": [
    "推理步骤1: 16:08 入户门通过 Manual 方式解锁（LockState=2），门被打开（StateValue=False），玄关检测到人（Occupancy=1）。但此后日志中没有关门（StateValue=True）和重新上锁的记录，说明门在 16:08 之后一直处于开启/未锁状态。",
    "推理步骤2: 17:26 入户门再次被解锁（LockOperationType=1, OperationSource=3, UserIndex=1），门开关传感器显示开-关序列（False→True），玄关检测到人。紧接着在极短时间内（17:26:10-17:26:15），客厅和次卧的运动传感器几乎同时触发，表明有多人快速分散进入不同房间。",
    "推理步骤3: 对比早晨 07:49 的正常出门模式（单人、线性移动、门迅速关闭并自动上锁）和晚间 18:00 的正常回家模式（开门→进入客厅→开灯开空调，行为连贯），17:26 的事件模式明显异常：多个房间的运动传感器在 5 秒内同时触发，说明至少有两人同时进入且分头行动。",
    "推理步骤4: 16:08 开门后长时间未关门（从 16:08 到 17:26 超过 1 小时 18 分钟），为尾随入室创造了条件。17:26 的 OperationSource=3 表示通过密码/凭证开锁（UserIndex=1），可能是住户本人回来，但同时有未授权人员跟随进入。",
    "推理步骤5: 17:26 进入后没有任何灯光、空调等生活设备被开启，直到 18:00 才有人再次开门并开始正常的居家活动（开灯、开空调）。这说明 17:26 进入的人的行为模式与住户的正常习惯不符，进一步佐证了尾随入侵的判断。"
  ],
  "key_evidence": [
    "16:08 手动开锁后门未关闭（无 StateValue=True 记录），未重新上锁，持续超过 1 小时",
    "17:26:10-17:26:15 仅 5 秒内 living_room_occupancy 和 second_bedroom_occupancy 同时触发，表明多人分散进入",
    "17:26 进入后无任何灯光或家电操作，与 18:00 住户回家后立即开灯开空调的正常模式形成鲜明对比",
    "16:08 至 17:26 期间入户门处于未锁/未关状态，为尾随创造了物理条件",
    "17:26 entrance_occupancy 在 17:26:04 和 17:26:12 两次触发，间隔仅 8 秒，暗示有前后两人经过玄关"
  ],
  "recommended_actions": [
    "立即触发室内警报（声光报警），震慑可能仍在室内的入侵者",
    "自动锁定入户门（发送 DoorLock.LockDoor 指令），防止入侵者轻易逃脱或更多人进入",
    "向住户手机推送高优先级入侵警报，附带事件时间线摘要，要求确认是否为已知访客",
    "如住户确认非授权人员，立即联系物业安保或报警（110），提供入侵时间点 16:08-17:26",
    "开启所有室内灯光（全屋灯光 OnOff=True），消除入侵者藏匿的暗处环境",
    "如有摄像头或门铃录像，立即保存 16:00-17:30 时段的录像作为证据",
    "事后建议：启用入户门未关闭超时告警（如 5 分钟未关门即推送提醒），避免类似长时间门户大开的情况再次发生",
    "事后建议：检查并更换门锁密码，排除密码泄露的可能性"
  ]
}
```

16:08 至 17:26 期间入户门处于未锁/未关状态，为尾随创造了物理条件

立即触发室内警报（声光报警），震慑可能仍在室内的入侵者

向住户手机推送高优先级入侵警报，附带事件时间线摘要，要求确认是否为已知访客

开启所有室内灯光（全屋灯光 OnOff=True），消除入侵者藏匿的暗处环境

如有摄像头或门铃录像，立即保存 16:00-17:30 时段的录像作为证据

事后建议：检查并更换门锁密码，排除密码泄露的可能性


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "16:34 入户门被手动开锁后未关闭、未上锁，随后 17:06 出现无物理开锁记录的第二次入门事件，且室内多区域同时检测到人员活动，高度疑似尾随入室。",
  "reasoning": [
    "推理步骤1: 16:34 入户门通过 Manual 方式解锁（LockState=2 即 Unlocked），门被打开（StateValue=False），玄关检测到人员。但此后日志中没有关门（StateValue=True）和重新上锁（LockState=1）的记录，说明门在 16:34 之后处于未关/未锁状态。",
    "推理步骤2: 17:06 出现第二次入门事件——门锁记录了 LockOperationType=1（Unlock）、OperationSource=3（可能为远程/按键等非钥匙方式）并带有 UserIndex=1，门再次打开（StateValue=False）然后关闭（StateValue=True）。关键问题是：门在 16:34 后本就未关未锁，理论上不需要再次解锁操作，这暗示可能有人在门未完全关闭的窗口期进入，或者有人利用了门未锁的状态。",
    "推理步骤3: 17:06:10 起，客厅和次卧运动传感器几乎同时触发（living_room_occupancy 和 second_bedroom_occupancy 在 17:06:10~17:06:15 间同时报告 Occupancy=1），说明至少有两个不同区域同时存在人员活动。结合住户为两室一厅的小户型，一个人不可能在 5 秒内同时出现在客厅和次卧。",
    "推理步骤4: 对比 07:23 的正常出门模式（关灯→锁门→开门关门→自动上锁，整个流程紧凑且有完整的关门上锁记录）和 17:41 的正常回家模式（开门→进入→开灯开空调），16:34~17:06 这段时间的行为模式明显异常：门长时间未关未锁，随后出现多区域同时有人的情况。",
    "推理步骤5: 17:41 住户正常回家后开灯开空调，说明 17:06 进入的人并非住户本人。住户在 17:41 才真正到家，而 16:34~17:06 期间的入门活动极可能是未授权人员利用门未锁的漏洞进入。"
  ],
  "key_evidence": [
    "16:34 入户门手动解锁并打开后，无关门（StateValue=True）和上锁（LockState=1）记录，门持续处于未关/未锁状态超过 30 分钟",
    "17:06 出现第二次解锁进入事件（OperationSource=3, UserIndex=1），门打开后关闭，但此时住户尚未到家（17:41 才回家开灯开空调）",
    "17:06:10~17:06:15 客厅和次卧运动传感器几乎同时触发，表明至少两人同时在不同房间活动",
    "17:41 住户正常回家的完整行为链（开门→客厅灯→空调）与 17:06 的进入行为形成对比，17:06 进入后无任何灯光或电器操作，行为隐蔽"
  ],
  "recommended_actions": [
    "立即触发室内警报（声光报警），震慑可能仍在室内的入侵者",
    "自动锁定入户门（发送 DoorLock.LockDoor 命令），防止入侵者轻易逃脱或更多人进入",
    "向住户手机推送高优先级入侵警报通知，附带事件时间线（16:34 门未锁 → 17:06 可疑进入 → 多区域同时有人）",
    "自动拨打物业安保或 110 报警电话，提供住址和事件摘要",
    "开启所有室内灯光（全屋灯光打开），消除入侵者的隐蔽条件",
    "记录并保存 16:30~17:45 时间段所有设备日志作为证据，防止日志被篡改",
    "建议住户到家前不要独自进入房间，等待安保人员到场后一同检查",
    "事后排查：检查 16:34 手动开锁的原因（是否为住户误操作或有人复制了物理钥匙），并启用门锁的自动上锁超时功能（如 30 秒未关门则报警）"
  ]
}
```

立即触发室内警报（声光报警），震慑可能仍在室内的入侵者

自动拨打物业安保或 110 报警电话，提供住址和事件摘要

开启所有室内灯光（全屋灯光打开），消除入侵者的隐蔽条件

记录并保存 16:30~17:45 时间段所有设备日志作为证据，防止日志被篡改

建议住户到家前不要独自进入房间，等待安保人员到场后一同检查


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "17:15 有人通过合法用户开锁后尾随进入室内，多个房间几乎同时出现占用信号，且入户门未重新上锁。",
  "reasoning": [
    "推理步骤1: 17:15:00 入户门锁通过 OperationSource=3（远程/密码）由 UserIndex=1 解锁，这是一次合法开锁操作。",
    "推理步骤2: 17:15:04 玄关运动传感器触发，17:15:08 入户门关闭（StateValue=True），说明有人进入后关门。但紧接着 17:15:10 客厅运动传感器触发、17:15:12 玄关运动传感器再次触发、17:15:15 次卧和客厅运动传感器同时触发——在短短 7 秒内，客厅、玄关、次卧三个不同区域几乎同时检测到人体存在，单人不可能在如此短的时间内同时出现在这些分散的位置。",
    "推理步骤3: 对比当天其他两次进出门事件（07:44 出门、18:20 回家），均为单人正常动线：玄关→客厅依次触发，不会出现多房间同时占用的情况。17:15 的模式明显异常。",
    "推理步骤4: 17:15 开锁后，日志中没有出现 LockOperationType=0（上锁）事件，入户门在此后长时间处于未锁定状态，直到 22:24:14 才自动上锁，进一步印证住户可能未意识到有人尾随。",
    "推理步骤5: 15:59 有一次手动开锁和入户门打开事件，但同样没有关门和上锁记录，这可能是住户短暂开门（如取快递），也可能为尾随者提供了踩点机会。17:15 的远程开锁紧随其后，时间间隔约 1 小时 16 分钟，存在被跟踪后伺机尾随的可能。"
  ],
  "key_evidence": [
    "17:15:10 客厅、17:15:12 玄关、17:15:15 次卧+客厅运动传感器在 5 秒内同时触发，单人无法做到",
    "17:15 开锁后无任何上锁记录，入户门持续处于未锁定状态直到 22:24",
    "15:59 入户门手动开锁后也无关门上锁记录，可能存在前期踩点",
    "对比 07:44 和 18:20 的正常进出模式，17:15 的多房间同时占用明显异常"
  ],
  "recommended_actions": [
    "立即远程锁定入户门（发送 DoorLock.LockDoor 命令），防止更多人员进入或嫌疑人再次出入",
    "触发全屋警报：开启所有灯光（客厅、卧室、厨房、阳台）并将亮度调至最高，起到威慑作用",
    "通过手机推送或短信立即通知住户：'检测到 17:15 有疑似尾随入室，次卧和客厅同时检测到人员活动，请确认是否为已知访客'",
    "如住户确认非已知人员，立即拨打 110 报警，并保留完整设备事件日志作为证据",
    "关闭主卧窗帘（已于 22:24 关闭）并确认所有窗户传感器状态，防止嫌疑人从窗户逃离或再次进入",
    "事后排查：检查 15:59 手动开锁事件是否为住户本人操作；审查门锁用户列表，确认 UserIndex=1 的身份；考虑为入户门增加自动上锁策略（开锁后 N 秒无操作自动上锁）",
    "长期建议：在玄关或入户门处加装摄像头，配合运动传感器实现可视化确认，减少此类尾随事件的判断盲区"
  ]
}
```

17:15 开锁后无任何上锁记录，入户门持续处于未锁定状态直到 22:24

15:59 入户门手动开锁后也无关门上锁记录，可能存在前期踩点

如住户确认非已知人员，立即拨打 110 报警，并保留完整设备事件日志作为证据


温度异常上升但无合理热源（空调关闭/制冷模式，灶具关闭） 上升速度超过正常烹饪或日照导致的范围

火灾风险警报，建议住户检查该区域电器

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "厨房在14:00前后出现极端高温异常，随后烟雾报警器触发，高度疑似电器过热起火。",
  "reasoning": [
    "推理步骤1: 全天各房间温度传感器呈现一致的自然昼夜变化曲线（夜间约23.0°C，午间峰值约25.8°C），属于正常的夏季室温波动。",
    "推理步骤2: 13:57 厨房温度传感器突然报告 MeasuredValue=3777（即37.77°C），相比3分钟前13:30的25.68°C骤升超过12°C，且该读数使用了缩写属性名（MeasuredValue 而非 TemperatureMeasurement.MeasuredValue），说明这是一次非常规的突发事件上报。",
    "推理步骤3: 14:02 厨房温度传感器再次以缩写属性名上报 MeasuredValue=3200（32.00°C），虽然较37.77°C有所回落，但仍远高于同时刻其他房间的25.4°C左右，说明厨房仍存在局部高温热源。",
    "推理步骤4: 14:00 的常规半小时上报中，厨房温度已回落至25.35°C，与其他房间一致，这可能意味着传感器在短暂高温后恢复了正常采样，但局部热源仍在持续。",
    "推理步骤5: 14:07 厨房烟雾报警器触发 SmokeState=1（检测到烟雾），距首次高温异常仅10分钟，形成了「极端高温 → 持续高温 → 烟雾检测」的完整火灾证据链。",
    "推理步骤6: 其他房间在同一时段温度完全正常，排除了全屋性传感器故障或环境因素，确认异常严格局限于厨房区域，指向厨房内某电器或灶具过热起火。"
  ],
  "key_evidence": [
    "13:57 厨房温度传感器骤升至37.77°C（MeasuredValue=3777），较正常值高出约12°C",
    "14:02 厨房温度传感器仍报32.00°C（MeasuredValue=3200），持续异常高温",
    "14:07 厨房烟雾报警器触发 SmokeState=1，确认产生烟雾",
    "同时段其他房间温度均在25.3-25.5°C范围内，排除全局性故障"
  ],
  "recommended_actions": [
    "立即切断厨房电源总闸，停止厨房灶具（kitchen_cook_surface）和洗碗机（kitchen_dishwasher）等所有电器的供电，消除持续热源",
    "远程关闭厨房燃气阀门（如有智能燃气阀），防止燃气泄漏加剧火情",
    "打开厨房窗户（kitchen_window_contact 对应窗户）进行通风排烟，同时关闭通往客厅的门以防烟雾蔓延",
    "通过智能门锁（front_door_lock）远程解锁入户门，确保逃生通道畅通",
    "打开玄关灯（entrance_light）和客厅灯，照亮疏散路线，引导住户迅速撤离",
    "立即拨打119火警电话，通知消防部门前往处置",
    "向住户手机推送紧急火灾警报通知，附带疏散指引",
    "关闭客厅空调和卧室空调（living_room_ac、master_bedroom_ac），避免空调系统将烟雾扩散至其他房间",
    "火情解除后，安排专业人员检查厨房灶具和电器，排查过热起火的根本原因，并检查烟雾报警器是否已恢复正常状态（SmokeState=0）",
    "检查厨房温度传感器的属性上报格式异常（缩写属性名），确认传感器固件是否需要更新或传感器本身是否受损"
  ]
}
```

同时段其他房间温度均在25.3-25.5°C范围内，排除全局性故障

远程关闭厨房燃气阀门（如有智能燃气阀），防止燃气泄漏加剧火情

通过智能门锁（front_door_lock）远程解锁入户门，确保逃生通道畅通

立即拨打119火警电话，通知消防部门前往处置

向住户手机推送紧急火灾警报通知，附带疏散指引


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "18:02 住户回家后未锁门，18:46 有人通过未锁的入户门尾随进入，随后直接前往次卧，疑似未经授权的入室行为。",
  "reasoning": [
    "推理步骤1: 18:02 住户通过手动操作解锁入户门（LockOperationType=1, OperationSource=Manual），进入后门锁未触发自动上锁，入户门持续处于未锁状态。",
    "推理步骤2: 18:46 入户门再次被打开（front_door_contact StateValue=False），此次开锁事件的 OperationSource=3（远程/外部方式）且关联 UserIndex=1，但住户此时已在客厅内（living_room_occupancy 持续为1），说明不是住户本人在门口操作。",
    "推理步骤3: 18:46:04-18:46:15 的运动轨迹显示：入口检测到人（entrance_occupancy=1）→ 客厅检测到人（living_room_occupancy=1）→ 次卧检测到人（second_bedroom_occupancy=1），同时客厅也持续有人。这表明家中同时存在至少两个人——一个在客厅（原住户），一个移动到了次卧（新进入者）。",
    "推理步骤4: 在18:02住户回家到18:46之间，没有任何门锁上锁记录（LockOperationType=0），说明入户门在这44分钟内一直处于未锁定状态，给尾随入室创造了条件。",
    "推理步骤5: 新进入者在15秒内快速穿过入口→客厅→次卧，行为模式不像是被邀请的访客（通常会在客厅停留），更像是趁机潜入并直奔目标房间。"
  ],
  "key_evidence": [
    "18:02 住户回家后入户门未上锁，直到18:46期间无任何 LockOperationType=0 的上锁记录",
    "18:46 门锁被以 OperationSource=3（远程/外部）方式解锁，而住户本人此时在客厅内",
    "18:46:04-18:46:15 入口、客厅、次卧运动传感器依次触发，同时客厅 occupancy 持续为1，表明家中同时存在至少两人",
    "新进入者在约15秒内快速穿越至次卧，未在客厅或入口区域停留"
  ],
  "recommended_actions": [
    "立即触发室内警报（声光报警），震慑入侵者并提醒住户注意安全",
    "自动锁定入户门（发送 DoorLock.LockDoor 命令），防止入侵者逃脱或更多人进入",
    "向住户手机推送高优先级入侵告警通知，附带事件时间线和涉及区域（次卧）",
    "自动拨打物业安保或110报警电话，提供家庭地址和入侵详情",
    "开启全屋灯光（所有房间灯设为 OnOff=True），消除入侵者的隐蔽条件",
    "如有摄像头设备，立即开始录像并保存入口及次卧区域的画面作为证据",
    "建议住户不要独自前往次卧对峙，退至安全区域等待安保人员到达",
    "事后排查：检查入户门锁的自动上锁策略，建议启用关门后自动上锁功能（Auto-Lock），避免类似事件再次发生"
  ]
}
```

新进入者在约15秒内快速穿越至次卧，未在客厅或入口区域停留

立即触发室内警报（声光报警），震慑入侵者并提醒住户注意安全

向住户手机推送高优先级入侵告警通知，附带事件时间线和涉及区域（次卧）

自动拨打物业安保或110报警电话，提供家庭地址和入侵详情

开启全屋灯光（所有房间灯设为 OnOff=True），消除入侵者的隐蔽条件

如有摄像头设备，立即开始录像并保存入口及次卧区域的画面作为证据

建议住户不要独自前往次卧对峙，退至安全区域等待安保人员到达


火灾风险警报，建议住户检查该区域电器

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "客厅温度传感器在19:02出现异常高温读数（36.09°C），随后厨房烟雾报警器于19:12触发，高度疑似电器过热引发火灾风险。",
  "reasoning": [
    "推理步骤1: 19:00各房间温度正常（约24.2-24.4°C），但仅2分钟后（19:02）客厅温度传感器上报3609（36.09°C），较正常值骤升约12°C，且该条日志缺少完整的Cluster前缀（MeasuredValue而非TemperatureMeasurement.MeasuredValue），可能是传感器在极端条件下的异常上报。",
    "推理步骤2: 19:07客厅温度传感器再次上报3200（32.00°C），虽较36°C有所回落但仍远高于同时段其他房间的24°C水平，说明客厅存在持续的局部高温热源。",
    "推理步骤3: 19:12厨房烟雾报警器触发（SmokeState=1），表明已检测到烟雾。厨房灶具在18:53已关闭，且厨房窗户已打开通风，厨房本身不应产生新的烟雾，烟雾更可能从相邻的客厅扩散而来。",
    "推理步骤4: 18:20客厅空调开启（制冷模式SystemMode=3），空调在持续运行中可能因电气故障过热。客厅是此时段唯一出现异常高温的房间，空调是客厅中最大功率的电器，高度怀疑空调过热起火。",
    "推理步骤5: 19:30温度回落至24.28°C，可能是住户已发现并采取了初步措施（如关闭空调），或火势尚处于初期阶段。但烟雾报警已触发，风险不可忽视。",
    "推理步骤6: 16:13入户门解锁后未见关门/上锁记录，入户门可能处于未关闭状态，这在火灾场景下会加速空气流通助长火势，但也有利于人员疏散。"
  ],
  "key_evidence": [
    "19:02 客厅温度传感器异常飙升至3609（36.09°C），远超正常室温，且上报格式异常（缺少Cluster前缀）",
    "19:07 客厅温度仍高达3200（32.00°C），确认持续局部高温而非单次数据抖动",
    "19:12 厨房烟雾报警器触发 SmokeState=1，检测到烟雾",
    "18:20 客厅空调开启制冷模式并持续运行，是客厅中最可能的过热源",
    "厨房灶具18:53已关闭且窗户已开，排除厨房自身为烟雾源的可能",
    "16:13 入户门解锁开门后无关门记录，门可能未关闭"
  ],
  "recommended_actions": [
    "【立即】远程关闭客厅空调（living_room_ac），切断疑似过热源的电力供应",
    "【立即】通过智能家居系统向住户手机推送火灾警报通知，提醒立即确认现场情况",
    "【立即】如住户确认有明火或浓烟，拨打119火警电话",
    "【疏散】打开所有智能窗帘（客厅、主卧、次卧）并解锁入户门锁，确保逃生通道畅通",
    "【疏散】开启玄关灯和阳台灯，照亮疏散路径",
    "【控制】关闭厨房窗户（如可远程控制），减少氧气流通以抑制火势蔓延",
    "【控制】关闭客厅以外的房间门窗（如有联动能力），防止烟雾扩散",
    "【排查】火情解除后，安排专业电工检查客厅空调的电气线路、压缩机及电路板，确认过热原因",
    "【排查】检查客厅温度传感器是否因高温损坏（两次异常上报缺少标准Cluster前缀），必要时更换",
    "【长期】为大功率电器（空调、灶具）增加独立的温度/电流监控模块，设置过载自动断电保护"
  ]
}
```

18:20 客厅空调开启制冷模式并持续运行，是客厅中最可能的过热源

厨房灶具18:53已关闭且窗户已开，排除厨房自身为烟雾源的可能

16:13 入户门解锁开门后无关门记录，门可能未关闭

【立即】通过智能家居系统向住户手机推送火灾警报通知，提醒立即确认现场情况

【立即】如住户确认有明火或浓烟，拨打119火警电话

【疏散】打开所有智能窗帘（客厅、主卧、次卧）并解锁入户门锁，确保逃生通道畅通

【疏散】开启玄关灯和阳台灯，照亮疏散路径

【控制】关闭厨房窗户（如可远程控制），减少氧气流通以抑制火势蔓延

【控制】关闭客厅以外的房间门窗（如有联动能力），防止烟雾扩散


火灾风险警报，建议住户检查该区域电器

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "凌晨1:12厨房温度传感器检测到异常高温（34.27°C），随后烟雾报警器触发，疑似电器过热起火事件。",
  "reasoning": [
    "推理步骤1: 01:00时厨房温度正常（22.90°C），但01:12突然飙升至34.27°C，01:17仍高达32.00°C，10分钟内升温超过11°C，远超正常波动范围。",
    "推理步骤2: 01:22烟雾报警器触发（SmokeState=1），与温度异常高度吻合，确认存在烟雾/燃烧迹象。",
    "推理步骤3: 事发时间为凌晨1点，住户处于睡眠状态（无任何灯光/运动传感器活动），无人在厨房操作灶具，排除正常烹饪导致的升温。",
    "推理步骤4: 厨房灶具（cook_surface）在该时段无开启记录，温度异常可能来源于其他电器故障（如冰箱压缩机、电路短路等）。",
    "推理步骤5: 01:30温度恢复正常（22.95°C），说明火情可能自行熄灭或为短暂过热，但烟雾报警已触发，风险不可忽视。",
    "推理步骤6: 另外注意18:00厨房温度再次出现异常（28.55°C→28.70°C），18:59报告None值，传感器可能存在间歇性故障，需排查硬件问题。"
  ],
  "key_evidence": [
    "01:12 厨房温度从22.90°C骤升至34.27°C，01:17仍为32.00°C",
    "01:22 厨房烟雾报警器触发（SmokeState=1）",
    "事发时段无人活动，厨房灶具未开启，排除正常烹饪",
    "18:00厨房温度异常升至28.55°C，18:59传感器报告None值，存在设备不稳定迹象"
  ],
  "recommended_actions": [
    "立即检查厨房所有电器（尤其是持续通电设备如冰箱、微波炉、电热水壶等），排查过热或短路痕迹",
    "检查厨房电路和插座是否有烧焦、变色或异味，必要时请电工进行线路检测",
    "确认烟雾报警器当前状态，若仍处于报警状态需立即疏散并拨打119",
    "对厨房温度传感器进行校准或更换，18:59出现None值表明传感器可能已受损或连接不稳定",
    "在厨房加装独立式灭火器，并确保其在有效期内",
    "设置自动化规则：当厨房温度异常升高且无人在家时，自动切断厨房电路（需配合智能断路器）",
    "设置烟雾报警联动规则：触发时立即推送手机通知、开启所有灯光、解锁入户门以便逃生",
    "建议夜间对非必要厨房电器断电，降低无人值守时的火灾风险"
  ]
}
```

事发时段无人活动，厨房灶具未开启，排除正常烹饪

检查厨房电路和插座是否有烧焦、变色或异味，必要时请电工进行线路检测

确认烟雾报警器当前状态，若仍处于报警状态需立即疏散并拨打119

在厨房加装独立式灭火器，并确保其在有效期内

设置烟雾报警联动规则：触发时立即推送手机通知、开启所有灯光、解锁入户门以便逃生

建议夜间对非必要厨房电器断电，降低无人值守时的火灾风险


烟雾报警器低电量时发生事件

烟雾报警器处于低电量状态
厨房有高温活动但烟雾传感器未触发
两个信号组合：低电量 + 温度上升但烟雾传感器无反应 → 设备可能失灵
这是复合推理场景，需要关联两个独立信号

警告住户烟雾报警器可能失灵，建议更换电池/设备

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "厨房烟雾报警器处于低电量状态，而厨房灶具在无人明确操作迹象的时段异常开启，且厨房温度曾飙升至30.36°C，存在火灾隐患与报警失效的双重风险。",
  "reasoning": [
    "推理步骤1: 2026-06-21T21:41:00 烟雾报警器上报 BatteryAlert=1，表示电池电量低，报警器可能无法在烟雾浓度达到阈值时正常发出警报。",
    "推理步骤2: 2026-06-22T21:41:00 厨房灶具被开启（OnOff=True），但日志中此时段没有玄关入户门开锁/开门记录，也没有厨房灯开启记录，与早晨(06:59)和傍晚(18:18)正常做饭时先开灯再开灶的行为模式不一致，存在异常操作或误触的可能。",
    "推理步骤3: 2026-06-22T21:51:00 厨房温度传感器上报 MeasuredValue=3036（即30.36°C），而同一时刻其他房间温度均在23.5°C左右，厨房温度比其他房间高出约7°C，说明灶具确实在加热。",
    "推理步骤4: 2026-06-22T21:51:00 烟雾报警器上报 SmokeState=0（正常/无烟雾），但考虑到电池低电量状态，其检测可靠性存疑——若烟雾浓度逐渐升高，低电量的报警器可能无法及时触发警报。",
    "推理步骤5: 日志中灶具开启后没有后续关闭记录，也没有开窗通风（kitchen_window_contact 未变化），说明灶具可能处于无人看管的持续加热状态。",
    "推理步骤6: 住户在22:46已关闭客厅灯和空调、进入主卧并关灯就寝，入户门也已上锁，说明住户已入睡，厨房灶具仍在运行属于高风险场景。"
  ],
  "key_evidence": [
    "2026-06-21T21:41:00 烟雾报警器 BatteryAlert=1，电池电量低",
    "2026-06-22T21:41:00 厨房灶具异常开启，无对应的开灯、入户等前置操作",
    "2026-06-22T21:51:00 厨房温度飙升至30.36°C，远高于同时段其他房间的23.5°C",
    "灶具开启后日志中无关闭记录，住户22:46已就寝，灶具处于无人看管状态",
    "正常做饭模式（早07:00和晚18:18）均为先开厨房灯再开灶具，21:41的操作缺少此模式"
  ],
  "recommended_actions": [
    "立即远程关闭厨房灶具（kitchen_cook_surface），消除持续加热引发火灾的风险",
    "通过智能家居系统向住户手机发送高优先级告警通知，提醒厨房灶具异常开启且烟雾报警器电量低",
    "远程开启厨房灯（kitchen_light）并打开厨房窗户通风，便于住户醒来后查看情况并散热",
    "尽快更换厨房烟雾报警器（kitchen_smoke_alarm）的电池，恢复其正常报警能力",
    "排查灶具异常开启的原因：检查是否存在误触、自动化规则误配置、或设备故障，必要时禁用灶具的远程/自动开启功能",
    "建议设置安全规则：当所有卧室进入就寝状态（灯关闭+有人占用）时，若厨房灶具仍处于开启状态则自动关闭并告警",
    "建议设置烟雾报警器低电量的定期提醒机制，确保电池在耗尽前及时更换"
  ]
}
```

灶具开启后日志中无关闭记录，住户22:46已就寝，灶具处于无人看管状态

建议设置烟雾报警器低电量的定期提醒机制，确保电池在耗尽前及时更换


漏水传感器持续触发超过10分钟
全屋无人（所有 occupancy = 0，门锁为 Locked）
无人处理导致损失持续扩大

紧急通知住户，如有智能水阀立即关闭

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "凌晨1:56至2:26期间，卫生间漏水传感器在无人在家的情况下持续触发三次报警，表明存在真实漏水且无人处置。",
  "reasoning": [
    "推理步骤1: 漏水传感器在01:56、02:06、02:26连续三次报告StateValue=True，间隔约10-20分钟，说明漏水并非瞬时误触，而是持续性漏水事件。",
    "推理步骤2: 分析住户在家状态——住户在前一天07:26通过手动操作解锁入户门并离家（门锁解锁→门打开→门关闭→自动上锁），直到当天18:20才回家开门。漏水发生在01:56-02:26，此时段无任何运动传感器触发、无灯光操作、无门锁事件，确认家中无人。",
    "推理步骤3: 卫生间运动传感器在漏水前后均无触发（最近一次触发是06:44），进一步排除了有人在卫生间用水导致溅水误报的可能性。",
    "推理步骤4: 漏水持续至少30分钟（01:56到02:26）且无人干预，期间无任何自动关阀或止水措施被触发，存在水损扩大的风险，可能影响地板、墙体及楼下邻居。",
    "推理步骤5: 日志中未见漏水传感器后续恢复为False的记录，无法确认漏水是否已自行停止，需按最坏情况处理。"
  ],
  "key_evidence": [
    "01:56 bathroom_water_leak StateValue=True（第一次报警）",
    "02:06 bathroom_water_leak StateValue=True（第二次报警，10分钟后仍在漏水）",
    "02:26 bathroom_water_leak StateValue=True（第三次报警，30分钟后仍在漏水）",
    "07:26 住户才离家（门锁手动解锁+开关门），18:20回家，漏水时段01:56-02:26家中确认无人",
    "漏水时段内无任何运动传感器、灯光、门锁事件，排除人为用水可能",
    "日志中无漏水传感器恢复为False的记录，漏水可能仍在持续"
  ],
  "recommended_actions": [
    "【立即】远程关闭卫生间总水阀（如已安装智能水阀）或全屋总水阀，切断水源防止水损扩大",
    "【立即】向住户手机推送高优先级漏水警报通知，包含漏水位置（卫生间）、起始时间（01:56）和持续时长",
    "【立即】如住户无法及时返回，联系物业或预设的紧急联系人前往现场关闭水阀并查看情况",
    "【短期】住户到家后检查卫生间水管接头、马桶底部密封圈、洗手盆下水管、热水器连接处等常见漏水点",
    "【短期】检查卫生间地面及相邻房间（如客厅、卧室）墙壁底部是否有渗水痕迹，评估水损范围",
    "【短期】联系楼下邻居确认是否有渗水情况，避免造成邻里纠纷",
    "【改进】建议安装智能水阀并与漏水传感器联动，实现检测到漏水后自动关阀",
    "【改进】在自动化规则中增加：漏水传感器触发且无人在家时，立即推送通知并自动关闭水阀的应急场景"
  ]
}
```

漏水时段内无任何运动传感器、灯光、门锁事件，排除人为用水可能

日志中无漏水传感器恢复为False的记录，漏水可能仍在持续

【短期】联系楼下邻居确认是否有渗水情况，避免造成邻里纠纷

【改进】建议安装智能水阀并与漏水传感器联动，实现检测到漏水后自动关阀


伪装开锁（被盗/复制凭证）

合法凭证开锁，但进入后的行为模式与住户不符 不开灯（住户通常到家后开灯） 如果已知住户此时在别处（如还有工作GPS等外部信息），则更可疑 本场景的难点：单看门锁事件是合法的，需要结合行为模式判断

中等可信度警报，建议住户确认是否本人操作

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "19:59 的开锁事件使用远程/凭证方式（OperationSource=8）解锁，疑似被盗或复制凭证入侵，且入侵者行为模式与住户不一致。",
  "reasoning": [
    "推理步骤1: 住户于 07:12 手动开锁出门（OperationSource=Manual），门自动上锁，此后家中无人活动直到 18:05 住户手动开锁回家，行为链完整（开门→玄关灯→客厅→开空调→做饭），符合正常下班回家模式。",
    "推理步骤2: 19:59 出现第二次开锁事件，OperationSource=8（远程/凭证方式，非 Manual），且携带 UserIndex=1。此时住户已在家中（18:05 已回家，客厅持续有人），住户没有理由用远程凭证再次开锁自己的门。",
    "推理步骤3: 19:59 开锁后，入户门传感器显示门被打开（StateValue=False），玄关和客厅运动传感器均检测到人，但紧接着次卧灯被关闭（second_bedroom_light OnOff=False）。住户此前一直在客厅活动，次卧灯在日志中从未被开启过，关闭一个未开启的灯是异常操作，可能是入侵者误触或试探。",
    "推理步骤4: 对比住户 18:05 回家的行为模式（开门→开灯→开空调→做饭→洗碗），19:59 进入后的行为极为简短且无后续正常生活动作，不符合住户习惯。",
    "推理步骤5: 值得注意的是，19:59 开锁后入户门未记录关门和自动上锁事件（对比 07:12 和 18:05 均有完整的关门+自动锁定序列），说明门可能被保持打开状态，这是入侵者为方便逃离的典型行为。",
    "推理步骤6: 直到 21:48 才记录到 front_door_contact=True（门关闭）和自动上锁，中间近两小时入户门处于未关闭/未上锁状态，安全风险极高。"
  ],
  "key_evidence": [
    "19:59 开锁事件使用 OperationSource=8（远程/凭证），非住户惯用的 Manual 方式，且住户已在家中无需远程开锁",
    "19:59 开锁后入户门未关闭、未自动上锁，直到 21:48 才恢复关闭锁定状态，门敞开近 2 小时",
    "进入后立即关闭了从未开启过的次卧灯（second_bedroom_light），行为异常",
    "19:59 进入后无任何正常生活行为链（无开灯、无使用家电等），与住户 18:05 回家后的完整行为模式形成鲜明对比"
  ],
  "recommended_actions": [
    "【立即】远程锁定入户门锁，禁用 UserIndex=1 对应的凭证/密码/指纹，防止再次使用被盗凭证进入",
    "【立即】通过手机推送、短信等方式向住户发送高优先级入侵警报，确认 19:59 的开锁是否为本人操作",
    "【立即】开启所有房间灯光（客厅、卧室、厨房、阳台），激活所有运动传感器的高频上报模式，震慑可能仍在室内的入侵者",
    "【紧急】重置门锁所有用户凭证（密码、指纹、NFC 卡等），重新录入仅住户本人的凭证，消除被复制凭证的隐患",
    "【紧急】检查门锁的远程开锁权限设置，关闭不必要的远程开锁功能或增加二次验证（如手机确认）",
    "【短期】调取门锁完整的操作审计日志，排查 UserIndex=1 凭证的创建时间和使用历史，确定凭证泄露的时间窗口",
    "【短期】检查厨房窗户（19:38 被打开后无关闭记录）是否仍处于打开状态，排除入侵者通过窗户进出的可能",
    "【中期】为门锁启用异常开锁实时告警规则：非 Manual 方式开锁、非常用时段开锁、住户已在家时的重复开锁等场景自动报警",
    "【中期】考虑在入户门处加装摄像头，与门锁事件联动录像，为后续取证提供影像依据"
  ]
}
```

【中期】考虑在入户门处加装摄像头，与门锁事件联动录像，为后续取证提供影像依据


洗碗机运行期间厨房漏水传感器触发 两个事件的时间关联性

停止洗碗机运行，通知住户检查

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "卫生间漏水传感器在22:12触发报警，同时洗碗机已持续运行超过2小时仍未完成，存在漏水风险，需立即处置。",
  "reasoning": [
    "推理步骤1: 22:12 bathroom_water_leak 的 StateValue 变为 True，表明卫生间漏水传感器检测到积水。",
    "推理步骤2: 洗碗机于19:52启动（OperationalState=1，即运行中），在22:07和22:12两次上报状态仍为运行中，持续运行已超过2小时，运行时间偏长但尚在合理范围内。",
    "推理步骤3: 卫生间与厨房虽不在同一房间，但住宅管道通常共用排水管路。洗碗机长时间运行排水可能导致共用管道压力异常或回流，从而在卫生间地面出现积水。",
    "推理步骤4: 住户在21:50已关闭客厅灯和空调并锁门，推测已进入卧室休息，很可能未注意到漏水报警，若不及时处理水损风险将持续扩大。",
    "推理步骤5: 日志中未见洗衣机（balcony_laundry_washer）有任何运行记录，因此漏水与洗衣机无关，主要关联设备为洗碗机及卫生间排水系统。",
    "推理步骤6: 厨房窗户在19:38被打开后，日志中未见关闭记录，窗户仍处于开启状态，这不影响漏水但属于夜间安全隐患。"
  ],
  "key_evidence": [
    "[22:12] bathroom_water_leak | StateValue = True — 卫生间漏水传感器触发报警",
    "[19:52] kitchen_dishwasher 启动，至22:12仍在运行（OperationalState=1），持续超过2小时",
    "[21:50] 住户关灯、关空调、锁门，推测已就寝，可能无法及时发现漏水",
    "[19:38] kitchen_window_contact | StateValue = False — 厨房窗户打开后未见关闭记录"
  ],
  "recommended_actions": [
    "立即远程关闭洗碗机（kitchen_dishwasher），停止进水和排水以防止漏水进一步恶化",
    "向住户手机推送高优先级漏水警报通知，确保住户即使在卧室也能收到提醒",
    "如果智能家居系统接入了水阀控制器，建议关闭卫生间区域的进水总阀以止损",
    "住户应尽快前往卫生间查看积水情况，确认漏水来源（排水管回流、洗碗机管路渗漏、或卫生间自身管道问题）",
    "检查卫生间与厨房之间的共用排水管路是否存在堵塞或密封失效",
    "提醒住户关闭厨房窗户（自19:38起一直处于打开状态），夜间开窗存在安全隐患",
    "漏水处理完毕后，检查卫生间地面、墙角及楼下天花板是否有水渍，评估是否造成水损",
    "建议对洗碗机进行维护检查，确认排水管连接是否松动或老化，排除设备故障隐患"
  ]
}
```

[21:50] 住户关灯、关空调、锁门，推测已就寝，可能无法及时发现漏水

向住户手机推送高优先级漏水警报通知，确保住户即使在卧室也能收到提醒

如果智能家居系统接入了水阀控制器，建议关闭卫生间区域的进水总阀以止损

检查卫生间与厨房之间的共用排水管路是否存在堵塞或密封失效

提醒住户关闭厨房窗户（自19:38起一直处于打开状态），夜间开窗存在安全隐患

漏水处理完毕后，检查卫生间地面、墙角及楼下天花板是否有水渍，评估是否造成水损

建议对洗碗机进行维护检查，确认排水管连接是否松动或老化，排除设备故障隐患


门关闭后玄关再次检测到运动 同时有两个不相邻房间的运动信号（住户在客厅，另一人在次卧） 住户是独居的情况下不应有第二个人

疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "18:31 入户门解锁后，玄关和客厅、次卧几乎同时检测到占用，存在多人同时进入的尾随入室嫌疑。",
  "reasoning": [
    "推理步骤1: 18:31:00 入户门锁通过合法凭证解锁（LockOperationType=1 即 Lock→Unlock，OperationSource=3 即密码/PIN，UserIndex=1 即户主），这一步本身正常。",
    "推理步骤2: 18:31:02 门打开，18:31:04 玄关检测到有人，18:31:08 门关闭——从开门到关门仅 6 秒，属于正常单人进入的时间窗口。",
    "推理步骤3: 18:31:10 客厅检测到占用，18:31:12 玄关再次报告占用（说明玄关区域仍有人或有第二个人经过），18:31:15 次卧和客厅同时报告占用。同一时刻两个不同房间同时有人，暗示至少有两人在室内活动。",
    "推理步骤4: 全天 00:00–18:30 期间无任何运动传感器触发、无门锁事件，说明白天家中无人。户主刚回家就出现多房间同时占用，若家中本应只有一人，则高度可疑。",
    "推理步骤5: 不过也存在合理解释：户主可能与家人或朋友一同回家，或 UserIndex=1 对应的是家庭成员之一。因此置信度定为 medium，需要结合实际住户人数进一步确认。"
  ],
  "key_evidence": [
    "18:31:00 门锁由 UserIndex=1 通过 PIN 解锁，全天仅此一次入户事件",
    "18:31:12 玄关在户主已走向客厅后再次报告占用，提示有第二人经过玄关",
    "18:31:15 客厅和次卧同时报告占用（Occupancy=1），表明至少两人分处不同房间",
    "全天 00:00–18:30 无任何运动传感器触发，家中处于无人状态"
  ],
  "recommended_actions": [
    "立即通过手机推送或短信向户主（UserIndex=1）发送告警，确认是否有同行人员；若户主否认，立即启动入侵响应",
    "远程锁定入户门（front_door_lock 发送 Lock 指令），防止可疑人员自由出入",
    "打开全屋灯光（玄关灯、客厅灯、次卧灯等），制造有人在家的威慑效果，同时便于摄像头（如有）获取清晰画面",
    "若家中部署有摄像头，立即调取 18:31:00–18:32:00 时段玄关及客厅录像，确认进入人数和身份",
    "若确认为非法尾随入侵，立即拨打 110 报警，并将门锁事件日志和传感器时间线作为证据保留",
    "触发声光报警（如有智能音箱或警报器），通过语音播报"已检测到异常进入，监控已启动，警方已通知"进行威慑",
    "后续建议：在入户门外加装摄像头或可视门铃，实现进门前的人脸/人数识别，从源头预防尾随"
  ]
}
```


烟雾报警器低电量时发生事件

警告住户烟雾报警器可能失灵，建议更换电池/设备

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "厨房烟雾报警器处于低电量状态，而凌晨发生了灶具异常开启及厨房温度骤升事件，报警器可能无法在真正火灾时正常报警，存在严重消防安全隐患。",
  "reasoning": [
    "推理步骤1: 2026-06-01T01:55 烟雾报警器上报 BatteryAlert=1，表明电池电量低，设备处于降级工作状态。",
    "推理步骤2: 2026-06-02T01:55 凌晨近2点，厨房灶具被开启（OnOff=True），此时全屋无任何运动传感器触发、无灯光开启，属于无人活动时段，灶具启动来源不明，高度异常。",
    "推理步骤3: 2026-06-02T02:05 灶具开启10分钟后，厨房温度从约23.07°C骤升至28.86°C（MeasuredValue从2307跳至2886），短时间内升温近5.8°C，明显超出正常波动范围，指向灶具实际在加热。",
    "推理步骤4: 同一时刻02:05烟雾报警器上报SmokeState=0（无烟雾），但考虑到电池低电量状态，传感器灵敏度可能已下降，该读数的可靠性存疑。",
    "推理步骤5: 此后日志中未见灶具关闭记录，直到06:43住户起床后再次开启灶具做早餐，说明凌晨那次灶具开启后的关闭时间不明，或灶具可能持续处于开启状态数小时。",
    "推理步骤6: 厨房温度传感器在灶具使用期间多次上报MeasuredValue=None（06:44、07:07、18:12、19:23），传感器可能因高温或故障出现读数丢失，进一步削弱了厨房安全监测能力。",
    "推理步骤7: 烟雾报警器低电量 + 温度传感器间歇性失效 + 凌晨无人时段灶具异常启动，三者叠加构成严重的火灾风险盲区——即使发生火情，现有传感器链路也可能无法及时告警。"
  ],
  "key_evidence": [
    "2026-06-01T01:55 烟雾报警器 BatteryAlert=1，电池电量低",
    "2026-06-02T01:55 凌晨无人活动时段厨房灶具被开启，无对应的运动传感器或灯光触发",
    "2026-06-02T02:05 厨房温度10分钟内从23.07°C骤升至28.86°C，升幅约5.8°C",
    "2026-06-02T02:05 烟雾报警器在低电量状态下报告SmokeState=0，可靠性存疑",
    "厨房温度传感器多次上报MeasuredValue=None（06:44、07:07、18:12、19:23），存在间歇性故障"
  ],
  "recommended_actions": [
    "【立即】更换厨房烟雾报警器电池，确保其恢复正常工作状态；更换前可临时部署备用独立式烟雾报警器",
    "【立即】检查厨房灶具的远程控制权限和自动化规则，排查凌晨01:55无人时段灶具被开启的原因（可能是误触自动化场景、设备固件bug或未授权访问）",
    "【立即】检修厨房温度传感器，排查多次上报None的原因，必要时更换传感器",
    "【短期】为灶具设置安全联动规则：当无人活动（所有运动传感器无触发）超过一定时间时，自动关闭灶具并发送告警通知",
    "【短期】为灶具设置最大连续运行时间限制，超时自动断电并告警",
    "【短期】建立烟雾报警器电池电量监控自动化，低电量时立即推送通知到住户手机，避免长时间处于降级状态",
    "【中期】审查所有智能家居设备的访问权限和自动化场景配置，确认无未授权的远程控制入口",
    "【中期】考虑为厨房加装燃气泄漏传感器，与烟雾报警器形成双重防护"
  ]
}
```

【立即】检修厨房温度传感器，排查多次上报None的原因，必要时更换传感器

【短期】为灶具设置最大连续运行时间限制，超时自动断电并告警

【中期】考虑为厨房加装燃气泄漏传感器，与烟雾报警器形成双重防护


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "19:30 入户门开锁后，玄关和客厅、次卧几乎同时检测到多人活动，存在尾随入室的嫌疑。",
  "reasoning": [
    "推理步骤1: 19:30:00 入户门锁通过合法凭证（UserIndex=1，OperationSource=3 即密码/指纹）解锁，说明是住户本人开门。",
    "推理步骤2: 19:30:02 门被打开（contact=False），19:30:04 玄关检测到有人，19:30:08 门关闭（contact=True）——从开门到关门仅 6 秒，属于正常通过时间。",
    "推理步骤3: 但 19:30:10 客厅检测到有人后，19:30:12 玄关再次触发占用（Occupancy=1），说明在住户已经走到客厅之后，玄关区域又出现了人体活动，这不符合单人进门的运动轨迹。",
    "推理步骤4: 19:30:15 次卧和客厅同时检测到占用，表明至少有两个不同位置同时存在人员，进一步印证多人同时在室内活动。",
    "推理步骤5: 整个白天（约 09:05 至 19:30）家中仅有零星的厨房使用活动，运动传感器几乎无触发，说明家中长时间只有一人或无人，19:30 突然出现多点同时占用的模式是异常的。",
    "推理步骤6: 置信度定为 medium 而非 high，是因为也存在住户携带家人/朋友一同回家的可能性，但系统无法区分，应按潜在威胁处理。"
  ],
  "key_evidence": [
    "19:30:00 门锁由 UserIndex=1 通过密码/指纹解锁（合法用户操作）",
    "19:30:04 玄关检测到有人 → 19:30:10 客厅检测到有人 → 19:30:12 玄关再次检测到有人：住户已离开玄关后玄关再次触发，暗示第二个人存在",
    "19:30:15 次卧与客厅同时检测到占用，单人不可能同时出现在两个房间",
    "全天运动传感器模式显示通常只有单人活动，19:30 的多点同时触发属于异常模式"
  ],
  "recommended_actions": [
    "立即通过手机推送或短信向住户（UserIndex=1）发送告警，确认是否有同行人员，若住户确认是家人/朋友则解除警报",
    "若住户未在 2 分钟内确认安全，自动触发室内警报（声光报警），起到威慑作用",
    "立即锁定入户门（远程发送 DoorLock.LockDoor 指令），防止更多人员进入或嫌疑人轻易逃离后再次进入",
    "调取入户门附近的摄像头（如有）录像，保存 19:29–19:31 时段的影像作为证据",
    "若住户确认未携带他人回家，立即拨打 110 报警，并将门锁操作日志和传感器时间线提供给警方",
    "在警报解除前，保持所有门窗传感器处于高灵敏度监控状态，记录任何开关事件",
    "事后建议：在入户门外加装摄像头或可视门铃，以便未来直接通过视频确认尾随情况，降低误报率"
  ]
}
```

19:30:15 次卧与客厅同时检测到占用，单人不可能同时出现在两个房间

全天运动传感器模式显示通常只有单人活动，19:30 的多点同时触发属于异常模式

若住户未在 2 分钟内确认安全，自动触发室内警报（声光报警），起到威慑作用

在警报解除前，保持所有门窗传感器处于高灵敏度监控状态，记录任何开关事件


洗碗机运行期间厨房漏水传感器触发 两个事件的时间关联性

停止洗碗机运行，通知住户检查

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "卫生间漏水传感器在洗碗机运行期间触发报警，存在真实漏水风险，需立即响应。",
  "reasoning": [
    "推理步骤1: 08:42 洗碗机启动（OperationalState = 1），08:47 卫生间漏水传感器触发（StateValue = True），两者仅相隔5分钟。虽然漏水传感器位于卫生间而非厨房，但公寓中厨房与卫生间通常共用排水管路，洗碗机排水异常可能导致卫生间一侧管道溢水。",
    "推理步骤2: 08:34 卫生间有人活动（occupancy=1）并开灯，08:55 关灯离开，说明住户在卫生间期间漏水传感器触发，但日志中未见住户对漏水做出任何处置动作（如关闭洗碗机、关闭水阀等），漏水状态可能持续未被处理。",
    "推理步骤3: 整个日志时间线中，漏水传感器的 StateValue 仅在 08:47 触发了一次 True，之后再无 False 的恢复记录，说明漏水状态从未被解除，截至日志结束（23:30）漏水可能仍在持续。",
    "推理步骤4: 洗碗机在 08:47 仍报告 OperationalState = 1（运行中），后续 18:39 又再次启动了一轮洗碗机运行，说明住户并未意识到漏水问题，设备也未自动停机保护。",
    "推理步骤5: 卫生间漏水若长时间未处理，可能造成地板浸泡、渗漏到楼下、电气设备短路等严重后果，风险等级高。"
  ],
  "key_evidence": [
    "[08:42] kitchen_dishwasher OperationalState = 1（洗碗机启动运行）",
    "[08:47] bathroom_water_leak StateValue = True（卫生间漏水传感器报警触发）",
    "整个日志中漏水传感器未出现 StateValue = False 的恢复事件，表明漏水状态持续未解除",
    "[18:39] 洗碗机再次启动，住户未对漏水做出响应"
  ],
  "recommended_actions": [
    "立即关闭洗碗机并切断其进水阀，排查洗碗机排水管路是否存在堵塞、脱落或破裂",
    "立即前往卫生间确认漏水位置和严重程度，检查地面积水情况，必要时关闭卫生间总水阀",
    "检查厨房与卫生间之间的共用排水管道，确认是否存在管道堵塞导致的溢水回流",
    "清理卫生间积水，检查地板、墙面是否有渗水痕迹，防止水损扩大",
    "检查漏水区域附近的电气设备和插座，确保无短路或触电风险，必要时断开相关电路",
    "漏水传感器恢复正常（StateValue = False）后再恢复用水设备运行，并持续观察是否复发",
    "建议在厨房洗碗机下方也加装漏水传感器，实现更精准的漏水定位",
    "联系物业或水管维修人员进行专业排查，确认管道系统完好后再恢复正常使用"
  ]
}
```

卫生间漏水传感器在洗碗机运行期间触发报警，存在真实漏水风险，需立即响应。

[18:39] 洗碗机再次启动，住户未对漏水做出响应

立即关闭洗碗机并切断其进水阀，排查洗碗机排水管路是否存在堵塞、脱落或破裂

立即前往卫生间确认漏水位置和严重程度，检查地面积水情况，必要时关闭卫生间总水阀

检查厨房与卫生间之间的共用排水管道，确认是否存在管道堵塞导致的溢水回流

清理卫生间积水，检查地板、墙面是否有渗水痕迹，防止水损扩大

检查漏水区域附近的电气设备和插座，确保无短路或触电风险，必要时断开相关电路

建议在厨房洗碗机下方也加装漏水传感器，实现更精准的漏水定位

联系物业或水管维修人员进行专业排查，确认管道系统完好后再恢复正常使用


烟雾报警器低电量时发生事件

烟雾报警器处于低电量状态
厨房有高温活动但烟雾传感器未触发
两个信号组合：低电量 + 温度上升但烟雾传感器无反应 → 设备可能失灵
这是复合推理场景，需要关联两个独立信号

警告住户烟雾报警器可能失灵，建议更换电池/设备

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "厨房烟雾报警器处于低电量状态，而灶具正在使用且厨房出现过异常高温，一旦发生火灾烟雾报警器可能无法正常工作。",
  "reasoning": [
    "推理步骤1: 2026-06-20T09:11 厨房烟雾报警器上报 BatteryAlert = 1，表示电池电量低，该告警至今未被处理。",
    "推理步骤2: 2026-06-21T09:11 灶具开启（OnOff = True），10分钟后（09:21）厨房温度传感器飙升至 2988（约29.88°C），相比同时段其他房间的约25°C高出近5°C，说明灶具正在产生大量热量。",
    "推理步骤3: 09:21 烟雾报警器上报 SmokeState = 0（无烟雾），说明当前尚未触发烟雾告警，但这并不能排除报警器因低电量导致灵敏度下降或无法正常报警的风险。",
    "推理步骤4: 烟雾报警器是厨房最关键的安全设备。在电池低电量状态下，其检测能力和报警响度都可能受损。灶具使用期间恰恰是火灾风险最高的时段，两者叠加构成严重的安全隐患。",
    "推理步骤5: 09:30 之后厨房温度回落至正常水平（约25°C），说明灶具可能已关闭或烹饪结束，但低电量问题持续存在，下一次用火时风险依然存在。"
  ],
  "key_evidence": [
    "2026-06-20T09:11 kitchen_smoke_alarm BatteryAlert = 1（低电量告警，超过24小时未处理）",
    "2026-06-21T09:11 kitchen_cook_surface OnOff = True（灶具开启）",
    "2026-06-21T09:21 kitchen_temp_sensor MeasuredValue = 2988（厨房温度异常升高至约29.88°C，比其他房间高约5°C）",
    "2026-06-21T09:21 kitchen_smoke_alarm SmokeState = 0（烟雾状态正常，但在低电量下可靠性存疑）"
  ],
  "recommended_actions": [
    "立即更换厨房烟雾报警器（kitchen_smoke_alarm）的电池，恢复其正常工作状态。",
    "在电池更换完成前，尽量避免使用灶具，或确保有人全程看守厨房。",
    "更换电池后对烟雾报警器进行功能测试（按下测试按钮），确认报警功能正常。",
    "检查烟雾报警器的安装位置是否合理（距灶具适当距离），避免油烟频繁触发导致用户禁用报警器。",
    "在智能家居系统中设置自动化规则：当烟雾报警器电量低时，禁止或提醒用户不要远程开启灶具。",
    "建议增设联动规则：灶具开启超过一定时长（如30分钟）且无人在厨房时，自动关闭灶具并发送通知。",
    "定期检查所有安全类传感器（烟雾报警器、漏水传感器等）的电池状态，建议每季度检查一次。"
  ]
}
```

在电池更换完成前，尽量避免使用灶具，或确保有人全程看守厨房。

更换电池后对烟雾报警器进行功能测试（按下测试按钮），确认报警功能正常。


洗碗机运行期间厨房漏水传感器触发 两个事件的时间关联性

停止洗碗机运行，通知住户检查

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "卫生间漏水传感器在凌晨触发报警，同时洗碗机已连续运行超过4小时仍未完成，存在漏水风险。",
  "reasoning": [
    "推理步骤1: 2026-06-05T00:00:00 卫生间漏水传感器 bathroom_water_leak 的 StateValue 变为 True，表明检测到实际积水。",
    "推理步骤2: 洗碗机于 19:54 启动（OperationalState=1，即运行中），到 23:55 和次日 00:00 仍报告 OperationalState=1，持续运行超过4小时，远超正常洗碗周期（通常1-2小时），说明洗碗机可能出现故障或排水异常。",
    "推理步骤3: 厨房温度传感器在 18:53 和 19:51 两次报告 MeasuredValue=None，说明该传感器存在间歇性故障，提示厨房区域设备状态监测可能不完全可靠，需要人工确认。",
    "推理步骤4: 住户约 07:14 出门、18:04 回家、22:05 关灯锁门，凌晨 00:00 时家中无人活动，漏水无法被及时发现，风险进一步升高。",
    "推理步骤5: 卫生间与厨房虽不在同一房间，但公寓中共用排水管路，洗碗机排水异常可能导致管路回流或溢水波及卫生间；也不排除卫生间自身管道渗漏的独立故障。",
    "推理步骤6: 厨房窗户在 19:50 被打开（kitchen_window_contact StateValue=False）后日志中无关闭记录，深夜窗户仍处于开启状态，虽与漏水无直接关联，但属于安全隐患。"
  ],
  "key_evidence": [
    "2026-06-05T00:00:00 bathroom_water_leak StateValue=True — 卫生间漏水传感器触发报警",
    "洗碗机 19:54 启动后持续运行超过4小时（23:55 和 00:00 仍为 OperationalState=1），远超正常周期",
    "厨房温度传感器在 18:53 和 19:51 两次报告 None，存在传感器故障",
    "住户 22:05 已关灯就寝/离开，凌晨无人在场处理漏水",
    "厨房窗户自 19:50 打开后未关闭"
  ],
  "recommended_actions": [
    "立即远程关闭洗碗机（发送 OnOff.OnOff=False 指令至 kitchen_dishwasher），停止可能的持续进水/排水",
    "如果智能家居系统支持，远程关闭厨房和卫生间区域的水阀（若有智能水阀设备），从源头切断水源",
    "立即向住户手机推送高优先级漏水警报，告知卫生间已检测到积水，洗碗机运行异常，需尽快到场检查",
    "触发客厅和卫生间灯光闪烁或开启，配合蜂鸣提醒（如有智能音箱），以唤醒可能在家的住户",
    "住户到场后优先检查：(1) 卫生间地面积水来源及范围；(2) 洗碗机是否有溢水、排水管是否堵塞；(3) 厨房与卫生间之间的共用管路是否有渗漏",
    "关闭厨房窗户（kitchen_window_contact 自 19:50 起处于打开状态），防止夜间安全隐患",
    "安排检修厨房温度传感器（两次报告 None 值），确保监测系统完整可靠",
    "漏水处理完毕后，检查洗碗机故障原因（是否卡在运行状态），必要时断电并联系维修",
    "建议后续为洗碗机添加运行超时自动断电规则（如超过2.5小时自动关闭），防止类似事件再次发生"
  ]
}
```

住户 22:05 已关灯就寝/离开，凌晨无人在场处理漏水

厨房窗户自 19:50 打开后未关闭

安排检修厨房温度传感器（两次报告 None 值），确保监测系统完整可靠

漏水处理完毕后，检查洗碗机故障原因（是否卡在运行状态），必要时断电并联系维修


洗碗机运行期间厨房漏水传感器触发 两个事件的时间关联性

停止洗碗机运行，通知住户检查

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "卫生间漏水传感器在洗碗机运行期间触发报警，住户已外出，存在水损风险。",
  "reasoning": [
    "推理步骤1: 09:49 厨房洗碗机启动（OperationalState = 1），09:54 卫生间漏水传感器触发（StateValue = True），两者间隔仅5分钟，时间高度关联。",
    "推理步骤2: 住户在 07:50 通过入户门离开（门锁手动解锁→开门→关门→自动上锁），直到 16:24 才有人回来。漏水发生在无人在家期间，无法及时处置。",
    "推理步骤3: 漏水传感器位于卫生间而非厨房，说明可能是共用排水管道回溢、洗碗机排水管连接处泄漏沿地面蔓延至卫生间，或卫生间自身管道问题被洗碗机排水压力触发。",
    "推理步骤4: 从 09:54 到日志结束（23:30），未见漏水传感器恢复为 False 的记录，说明漏水状态持续未解除，水损可能在持续扩大。",
    "推理步骤5: 日志中阳台洗衣机（balcony_laundry_washer）全天无任何运行记录，可排除洗衣机漏水的可能，问题聚焦在洗碗机运行引发的漏水事件。"
  ],
  "key_evidence": [
    "09:49 洗碗机启动（kitchen_dishwasher | OperationalState = 1）",
    "09:54 卫生间漏水传感器报警（bathroom_water_leak | StateValue = True）",
    "漏水发生时住户不在家（07:50 出门，16:24 才返回）",
    "漏水传感器在整个日志周期内未恢复正常状态",
    "洗衣机全天无运行记录，排除洗衣机漏水"
  ],
  "recommended_actions": [
    "立即关闭洗碗机电源并远程停止其运行，防止继续进排水加剧泄漏",
    "如支持远程控制，关闭家中总水阀或洗碗机进水阀",
    "向住户手机推送高优先级漏水警报，告知漏水位置（卫生间）和持续时长",
    "检查卫生间地面积水情况，评估是否已渗透到楼下或损坏地板/墙体",
    "排查漏水根因：重点检查洗碗机排水管与下水道连接处、卫生间与厨房共用排水管道是否堵塞或回溢",
    "漏水解除后对卫生间漏水传感器进行功能校验，确认传感器工作正常",
    "建议在厨房也加装漏水传感器，以便更精确定位未来的漏水源头"
  ]
}
```

卫生间漏水传感器在洗碗机运行期间触发报警，住户已外出，存在水损风险。

漏水发生时住户不在家（07:50 出门，16:24 才返回）

漏水传感器在整个日志周期内未恢复正常状态

洗衣机全天无运行记录，排除洗衣机漏水

立即关闭洗碗机电源并远程停止其运行，防止继续进排水加剧泄漏

如支持远程控制，关闭家中总水阀或洗碗机进水阀

向住户手机推送高优先级漏水警报，告知漏水位置（卫生间）和持续时长

检查卫生间地面积水情况，评估是否已渗透到楼下或损坏地板/墙体

漏水解除后对卫生间漏水传感器进行功能校验，确认传感器工作正常

建议在厨房也加装漏水传感器，以便更精确定位未来的漏水源头


门关闭后玄关再次检测到运动 同时有两个不相邻房间的运动信号（住户在客厅，另一人在次卧） 住户是独居的情况下不应有第二个人

疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "16:17 入户门被手动开锁后未关闭、未上锁，且无后续居住活动，疑似有人尾随在17:56住户回家时一同进入室内。",
  "reasoning": [
    "推理步骤1: 16:17:00 入户门被手动开锁（LockOperationType=1, OperationSource=Manual），门传感器显示门打开（StateValue=False），玄关检测到有人（Occupancy=1）。但此后没有任何灯光开启、空调使用或其他居住活动，也没有门关闭或重新上锁的记录。这说明有人开门进入后门一直处于未关闭/未上锁状态。",
    "推理步骤2: 17:56:00 再次出现入户门手动开锁、开门、玄关检测到人的序列，随后住户进入客厅开灯、开空调，表现出正常的回家行为。这才是真正的住户回家。",
    "推理步骤3: 16:17 的开门事件与 17:56 的回家事件之间间隔约1小时39分钟，期间门未关闭（直到22:13才记录到 front_door_contact StateValue=True 和自动上锁）。16:17 开门后无任何正常居家活动（无灯光、无电器），行为模式异常——正常住户回家后会有明显的活动痕迹。",
    "推理步骤4: 19:07 出现第三次开门事件（OperationSource=3, UserIndex=1，疑似远程或密码开锁），进入后玄关和客厅同时检测到人，且次卧也检测到人（19:07:15），说明此时家中可能有多人分散在不同房间，与尾随入侵后潜伏的场景吻合。",
    "推理步骤5: 综合来看，16:17 的异常开门事件最可疑：无后续居家活动、门长时间未关闭，可能是陌生人趁机进入或为后续尾随做准备。17:56 住户回家时，入侵者可能已在室内或跟随进入。"
  ],
  "key_evidence": [
    "16:17:00 入户门手动开锁并打开，但此后无任何灯光、电器使用等居住活动，行为模式异常",
    "16:17:02 门打开后直到22:13:21才记录到门关闭（StateValue=True），门处于未关闭状态长达近6小时",
    "17:56:00 住户回家后正常开灯开空调，与16:17的无活动形成鲜明对比",
    "19:07:15 次卧和客厅同时检测到人体存在，暗示家中可能有多人分散在不同区域",
    "16:17 开门事件的 OperationSource=Manual 但无对应的关门和上锁操作，安全链条断裂"
  ],
  "recommended_actions": [
    "立即通过门锁远程锁定入户门，确认当前门锁状态为已上锁（LockState=1）",
    "远程触发全屋灯光开启，对可能的入侵者形成威慑",
    "通过运动传感器实时监控各房间占用情况，确认是否有非预期人员在次卧或其他区域",
    "立即联系住户确认16:17的开门操作是否为本人所为，若非本人操作则立即报警",
    "向住户手机推送高优先级安全告警，附带16:17至17:56期间的异常事件摘要",
    "联系物业或安保人员前往现场核实情况",
    "事后建议：检查门锁是否存在安全漏洞，启用门未关闭超时自动告警功能，设置离家模式下开门即触发警报的自动化规则",
    "建议在玄关或客厅加装摄像头，便于远程确认进出人员身份"
  ]
}
```

17:56:00 住户回家后正常开灯开空调，与16:17的无活动形成鲜明对比

立即通过门锁远程锁定入户门，确认当前门锁状态为已上锁（LockState=1）

远程触发全屋灯光开启，对可能的入侵者形成威慑

通过运动传感器实时监控各房间占用情况，确认是否有非预期人员在次卧或其他区域

立即联系住户确认16:17的开门操作是否为本人所为，若非本人操作则立即报警

向住户手机推送高优先级安全告警，附带16:17至17:56期间的异常事件摘要

联系物业或安保人员前往现场核实情况

建议在玄关或客厅加装摄像头，便于远程确认进出人员身份


伪装开锁（被盗/复制凭证）

合法凭证开锁，但进入后的行为模式与住户不符 不开灯（住户通常到家后开灯） 如果已知住户此时在别处（如还有工作GPS等外部信息），则更可疑 本场景的难点：单看门锁事件是合法的，需要结合行为模式判断

中等可信度警报，建议住户确认是否本人操作

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "07:59 的开锁事件高度疑似使用被盗/复制凭证入侵，住户已于 07:27 离家，该时段家中应无人。",
  "reasoning": [
    "推理步骤1: 07:27 住户完成正常离家流程——关厨房灯、玄关运动传感器触发、手动开锁(Manual)开门、关门后自动上锁，符合典型出门模式。",
    "推理步骤2: 07:59 门锁再次被解锁，但 OperationSource=8，这不是 Manual（手动）也不是 Auto（自动），而是远程/凭证方式（如密码、NFC、远程指令等）。在住户刚离家 32 分钟后出现此类开锁，时间窗口高度可疑。",
    "推理步骤3: 07:59 开锁后入户门传感器显示门被打开（StateValue=False），玄关运动传感器检测到有人进入（Occupancy=1），随后客厅运动传感器也触发（Occupancy=1），说明确实有人进入室内并移动到客厅。",
    "推理步骤4: 07:59:25 次卧灯被关闭（OnOff=False），说明入侵者进入了次卧区域并操作了设备，行为模式与住户早晨离家后的空屋状态不符。",
    "推理步骤5: 该次开锁事件之后，直到 18:15 住户回家之前，没有任何正常的锁门/关门记录，入户门传感器未报告关闭（StateValue 未恢复为 True），门锁也未重新上锁，这进一步说明这不是住户本人的操作。",
    "推理步骤6: 对比 06:51 的正常起床活动（卫生间传感器→卫生间灯→厨房灯）和 07:27 的正常离家流程，07:59 的进入行为缺乏任何生活场景的前后关联，高度符合非授权入侵特征。"
  ],
  "key_evidence": [
    "07:27 住户手动开锁离家，门关闭后自动上锁（LockOperationType=0, OperationSource=Auto）",
    "07:59 门锁通过 OperationSource=8（非手动、非自动）被解锁，UserIndex=1，疑似凭证被复制或盗用",
    "07:59 开锁后玄关和客厅运动传感器依次触发，确认有人实际进入室内",
    "07:59:25 次卧灯被关闭，说明入侵者到达次卧区域",
    "07:59 至 18:15 之间无关门/上锁记录，入户门可能长时间处于未锁状态",
    "18:15 住户回家时使用手动方式开锁，说明 07:59 的操作并非住户本人"
  ],
  "recommended_actions": [
    "立即冻结门锁 UserIndex=1 对应的凭证（密码/指纹/NFC卡），防止再次被使用",
    "远程锁定入户门锁，将门锁设置为最高安全模式（仅允许物理钥匙或户主生物识别开锁）",
    "检查门锁全部已注册用户和凭证列表，删除所有不明或可疑的 UserIndex 条目",
    "立即通知住户本人确认 07:59 的开锁是否为其授权的访客操作，若非授权则报警",
    "调取 07:59-18:15 时段的所有摄像头录像（如有），保留入侵证据",
    "住户回家后检查家中贵重物品是否丢失，重点检查次卧（入侵者曾进入该区域）",
    "更换门锁所有数字凭证（密码、指纹重新录入），并考虑更换门锁固件或硬件以排除漏洞",
    "启用门锁异常开锁的实时推送告警，设置离家模式下任何开锁操作立即通知住户",
    "检查厨房窗户传感器状态——19:26 厨房窗户被打开后日志中未见关闭记录，需确认窗户当前是否已关好并锁好"
  ]
}
```

07:59 开锁后玄关和客厅运动传感器依次触发，确认有人实际进入室内

07:59:25 次卧灯被关闭，说明入侵者到达次卧区域

07:59 至 18:15 之间无关门/上锁记录，入户门可能长时间处于未锁状态

18:15 住户回家时使用手动方式开锁，说明 07:59 的操作并非住户本人

远程锁定入户门锁，将门锁设置为最高安全模式（仅允许物理钥匙或户主生物识别开锁）

立即通知住户本人确认 07:59 的开锁是否为其授权的访客操作，若非授权则报警

调取 07:59-18:15 时段的所有摄像头录像（如有），保留入侵证据

住户回家后检查家中贵重物品是否丢失，重点检查次卧（入侵者曾进入该区域）

更换门锁所有数字凭证（密码、指纹重新录入），并考虑更换门锁固件或硬件以排除漏洞

启用门锁异常开锁的实时推送告警，设置离家模式下任何开锁操作立即通知住户


伪装开锁（被盗/复制凭证）

中等可信度警报，建议住户确认是否本人操作

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "22:36 有人使用远程凭证开锁进入，但住户行为模式高度异常，疑似被盗/复制凭证入侵。",
  "reasoning": [
    "推理步骤1: 22:36 门锁事件显示 LockOperationType=1（开锁）、OperationSource=8（远程/凭证方式）、UserIndex=1，这是通过已注册凭证远程解锁，而非物理钥匙或手动操作。",
    "推理步骤2: 在此之前（21:51），住户刚刚完成了一套完整的离家流程——关闭客厅主灯、玄关灯、客厅空调，入户门关闭并自动上锁。这是典型的就寝或外出操作。仅 45 分钟后又有人通过远程凭证开锁进入，时间间隔短且行为不连贯。",
    "推理步骤3: 进入后的行为极其异常——入侵者经过玄关（22:36:05 运动传感器触发）、客厅（22:36:20 运动传感器触发），但全程没有开启任何灯光。在深夜 22:36 不开灯穿行房间，不符合正常住户习惯。",
    "推理步骤4: 22:36:25 次卧灯被关闭（OnOff=False），但此前日志中没有次卧灯被打开的记录，说明次卧灯可能在日志覆盖范围之前就已开启，或者这是一个异常的设备操作指令。入侵者直奔次卧的行为具有目的性。",
    "推理步骤5: 对比当天早晨 07:11 的正常出门和 18:25 的正常回家，住户均使用 Manual（手动/物理）方式操作门锁，而 22:36 这次使用的是 OperationSource=8（远程凭证），操作方式与住户日常习惯不一致。",
    "推理步骤6: 进入后没有关门上锁的记录（日志中未见 front_door_contact 恢复 True 或 LockState=1），入户门可能处于未关闭/未上锁状态，这进一步说明不是正常住户行为。"
  ],
  "key_evidence": [
    "22:36 门锁通过 OperationSource=8（远程凭证）解锁，与住户全天使用 Manual 方式操作的习惯不符",
    "21:51 住户刚完成完整离家/就寝流程（关灯、关空调、锁门），45 分钟后又有人开锁进入，时间逻辑矛盾",
    "入侵者深夜穿行玄关和客厅全程未开灯，不符合正常居住者行为",
    "入侵者直接前往次卧并关闭次卧灯，行为具有明确目的性",
    "进入后入户门未关闭、未重新上锁，无 front_door_contact 恢复 True 的记录"
  ],
  "recommended_actions": [
    "立即远程锁定入户门锁，并禁用当前所有远程凭证/PIN 码，防止入侵者再次使用相同凭证",
    "立即触发全屋警报（如有），同时向住户手机推送高优先级入侵告警通知",
    "联系物业安保或拨打 110 报警，告知有人使用疑似被盗凭证进入住宅",
    "远程开启全屋灯光（客厅、玄关、次卧、主卧），起到威慑作用并便于监控",
    "保存并导出 22:36 前后的完整设备日志作为证据，包括门锁操作记录中的 UserIndex 和 OperationSource 信息",
    "事后重置门锁所有用户凭证（PIN 码、指纹、远程密钥），重新录入仅限住户本人的凭证",
    "排查凭证泄露途径：检查门锁管理 App 是否有异常登录、是否存在共享凭证被滥用、手机是否丢失或被入侵",
    "建议在入户门处加装摄像头，为后续类似事件提供视频证据"
  ]
}
```

入侵者深夜穿行玄关和客厅全程未开灯，不符合正常居住者行为

入侵者直接前往次卧并关闭次卧灯，行为具有明确目的性

立即触发全屋警报（如有），同时向住户手机推送高优先级入侵告警通知

联系物业安保或拨打 110 报警，告知有人使用疑似被盗凭证进入住宅

远程开启全屋灯光（客厅、玄关、次卧、主卧），起到威慑作用并便于监控

建议在入户门处加装摄像头，为后续类似事件提供视频证据


漏水传感器持续触发超过10分钟
全屋无人（所有 occupancy = 0，门锁为 Locked）
无人处理导致损失持续扩大

紧急通知住户，如有智能水阀立即关闭

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "住户已离家且门锁自动上锁后，卫生间漏水传感器持续报警超过30分钟无人处理，存在水损风险。",
  "reasoning": [
    "推理步骤1: 22:58 客厅主灯和空调关闭，随后入户门关闭并自动上锁（LockOperationType=0, OperationSource=Auto），表明住户已离家。",
    "推理步骤2: 23:25 卫生间漏水传感器首次触发 StateValue=True，此时距住户离家已约27分钟，家中无人。",
    "推理步骤3: 23:35 和 23:55 漏水传感器持续报告 StateValue=True，说明漏水未停止，持续时间已超过30分钟且仍在恶化。",
    "推理步骤4: 整个漏水期间，卫生间运动传感器无任何触发记录（最后一次占用是 08:45-08:57），确认家中确实无人可以进行处置。",
    "推理步骤5: 持续漏水在无人干预的情况下可能导致地板、墙体浸泡，引发财产损失、楼下渗水，甚至电气安全隐患。"
  ],
  "key_evidence": [
    "22:58:25 入户门关闭，22:58:26 门锁自动上锁（LockState=1），住户离家",
    "23:25、23:35、23:55 卫生间漏水传感器连续三次报告 StateValue=True，漏水持续至少30分钟且未停止",
    "漏水期间全屋无任何运动传感器触发，确认无人在家"
  ],
  "recommended_actions": [
    "立即向住户手机推送高优先级漏水警报，包含具体位置（卫生间）和持续时间信息",
    "如果家中部署了智能水阀/总水阀，立即远程关闭总水阀或卫生间供水阀门以止水",
    "尝试远程关闭可能相关的用水设备（如检查洗衣机、洗碗机是否仍在运行），本次日志中洗碗机 18:41 启动后未见关闭记录，应远程停止",
    "通知物业或紧急联系人前往现场查看，排查漏水源头（可能是管道破裂、马桶溢水或设备故障）",
    "持续监控漏水传感器状态，若短时间内未恢复正常则升级告警等级并拨打紧急联系电话",
    "漏水解除后检查卫生间及相邻区域是否有积水、墙体渗水或电气设备受潮情况，必要时断开卫生间电路"
  ]
}
```

漏水期间全屋无任何运动传感器触发，确认无人在家

立即向住户手机推送高优先级漏水警报，包含具体位置（卫生间）和持续时间信息

如果家中部署了智能水阀/总水阀，立即远程关闭总水阀或卫生间供水阀门以止水

持续监控漏水传感器状态，若短时间内未恢复正常则升级告警等级并拨打紧急联系电话


伪装开锁（被盗/复制凭证）

中等可信度警报，建议住户确认是否本人操作

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "10:48 的开锁事件使用了远程/凭证方式（OperationSource=8）且入户门未记录关闭与重新上锁，存在凭证被盗用或复制的入侵风险。",
  "reasoning": [
    "推理步骤1: 当天共有三次入户门操作。07:21 和 18:23 两次均为 Manual 手动开锁，开门→关门→自动上锁流程完整，符合住户正常出入模式。",
    "推理步骤2: 10:48 的开锁事件 OperationSource=8（对应 Matter DoorLock 规范中的远程/Remote 操作源），并携带 UserIndex=1。这表明有人通过远程指令或预置凭证（如 PIN 码、RFID 卡、远程 App）触发了开锁，而非物理钥匙或手动操作。",
    "推理步骤3: 10:48 开锁后，入户门传感器报告 StateValue=False（门被打开），玄关和客厅运动传感器均检测到有人进入，但日志中没有记录入户门关闭（StateValue=True）和重新上锁（LockState=1）的事件。直到 21:56 才出现门关闭和自动上锁记录，中间长达约 11 小时门处于未锁定/未关闭状态，这极不正常。",
    "推理步骤4: 10:48 进入后仅触发了次卧灯关闭（second_bedroom_light OnOff=False），没有其他典型的居家活动（如开空调、开厨房灯做饭等），行为模式与 07:21 出门前和 18:23 回家后的丰富活动形成鲜明对比，暗示进入者可能不是住户本人。",
    "推理步骤5: 住户 07:21 出门时手动上锁并确认门已关闭和自动锁定，18:23 才手动开锁回家。10:48 的远程凭证开锁发生在住户外出期间，若非住户本人远程操作，则高度怀疑凭证（PIN/RFID/App 令牌）被盗用或复制。"
  ],
  "key_evidence": [
    "10:48 开锁事件 OperationSource=8（远程/凭证），UserIndex=1，非 Manual 手动操作",
    "开锁后入户门传感器报告门打开（StateValue=False），但无后续关门（StateValue=True）和重新上锁记录，门长时间处于开放/未锁定状态",
    "该事件发生在住户 07:21 出门后、18:23 回家前的无人时段",
    "进入后仅有次卧灯关闭操作，缺乏正常居家活动痕迹，行为模式异常"
  ],
  "recommended_actions": [
    "【立即】远程锁定入户门锁，确认当前门锁状态为已锁定（LockState=1），如支持则启用门锁封锁模式禁止所有远程开锁",
    "【立即】撤销或重置 UserIndex=1 对应的所有凭证（PIN 码、RFID 卡、App 授权令牌），重新生成新凭证并仅分发给可信住户",
    "【立即】检查门锁的完整操作审计日志，确认 OperationSource=8 的来源 IP/设备标识，排查是否有未授权设备接入智能家居网络",
    "【紧急】通知住户确认 10:48 是否为本人远程操作；若非本人，建议立即报警并检查家中是否有财物丢失",
    "【短期】检查家中所有房间（尤其是次卧）是否有被翻动或异常痕迹",
    "【短期】更改智能家居平台账户密码，启用双因素认证（2FA），检查是否有未知设备绑定到账户",
    "【短期】审查门锁固件版本，升级到最新版本以修补已知安全漏洞",
    "【长期】为远程开锁操作增加二次确认机制（如推送通知需住户确认后才执行开锁），设置非常规时段远程开锁的即时告警",
    "【长期】考虑在玄关区域加装摄像头，便于事后追溯和实时监控入户情况"
  ]
}
```

该事件发生在住户 07:21 出门后、18:23 回家前的无人时段

进入后仅有次卧灯关闭操作，缺乏正常居家活动痕迹，行为模式异常

【短期】检查家中所有房间（尤其是次卧）是否有被翻动或异常痕迹

【短期】审查门锁固件版本，升级到最新版本以修补已知安全漏洞

【长期】考虑在玄关区域加装摄像头，便于事后追溯和实时监控入户情况


洗碗机运行期间厨房漏水传感器触发 两个事件的时间关联性

停止洗碗机运行，通知住户检查

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "洗碗机运行期间厨房漏水传感器触发报警，且漏水状态持续未消除，存在水损风险。",
  "reasoning": [
    "推理步骤1: 13:28 洗碗机启动（OperationalState = 1），5分钟后的 13:33 厨房漏水传感器报警（StateValue = True），时间高度关联，指向洗碗机为漏水源。",
    "推理步骤2: 在 13:33 漏水报警触发的同一时刻，洗碗机仍处于运行状态（OperationalState = 1），说明漏水发生时洗碗机并未自动停机，水源持续存在。",
    "推理步骤3: 从 13:33 漏水报警触发后，整个日志中再未出现 kitchen_water_leak 的 StateValue = False 事件，说明漏水状态一直未被解除，水可能持续渗漏。",
    "推理步骤4: 当时家中无人——早上 07:22 全家出门（前门上锁），直到 15:56 才有人回来。漏水发生在无人在家的时段，无法被及时发现和处理，实际浸泡时间可能超过 2 小时。",
    "推理步骤5: 19:49 洗碗机再次启动，但此前漏水问题未见修复记录，若根本原因未排除，二次运行可能加剧漏水。"
  ],
  "key_evidence": [
    "13:28 kitchen_dishwasher OperationalState = 1（洗碗机启动）",
    "13:33 kitchen_water_leak StateValue = True（厨房漏水传感器报警）",
    "13:33 kitchen_dishwasher OperationalState = 1（漏水时洗碗机仍在运行）",
    "全天日志中无 kitchen_water_leak StateValue = False 事件（漏水状态未解除）",
    "07:22~15:56 期间家中无人，漏水无人处置",
    "19:49 洗碗机在漏水未确认修复的情况下再次启动"
  ],
  "recommended_actions": [
    "立即关闭洗碗机：远程发送停机指令，停止当前 19:49 启动的洗碗运行周期，切断潜在水源。",
    "关闭厨房水源总阀：如有智能水阀则远程关闭；如无，立即通知住户手动关闭厨房供水角阀。",
    "通知住户紧急处理：推送高优先级告警至住户手机，告知厨房漏水已持续数小时，需尽快到场检查。",
    "现场排查漏水点：重点检查洗碗机进水管接头、排水管连接处、机门密封胶条是否老化破损。",
    "评估水损范围：检查厨房地面、橱柜底部、相邻房间墙面是否有渗水痕迹，特别关注是否影响到楼下邻居。",
    "清理积水并干燥：使用吸水设备清除积水，开启通风防止霉变，必要时使用除湿设备。",
    "洗碗机维修前禁止使用：在专业人员排查并修复漏水原因之前，不要再次启动洗碗机。",
    "检查漏水传感器状态：确认传感器本身工作正常（非误报），清洁传感器探头，确保后续监测有效。",
    "设置自动化联动规则：建议配置当漏水传感器触发时自动关闭洗碗机和智能水阀的自动化场景，避免类似事件再次发生。"
  ]
}
```

洗碗机运行期间厨房漏水传感器触发报警，且漏水状态持续未消除，存在水损风险。

07:22~15:56 期间家中无人，漏水无人处置

19:49 洗碗机在漏水未确认修复的情况下再次启动

清理积水并干燥：使用吸水设备清除积水，开启通风防止霉变，必要时使用除湿设备。

洗碗机维修前禁止使用：在专业人员排查并修复漏水原因之前，不要再次启动洗碗机。


温度异常上升但无合理热源（空调关闭/制冷模式，灶具关闭） 上升速度超过正常烹饪或日照导致的范围

火灾风险警报，建议住户检查该区域电器

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "客厅温度传感器在22:25出现异常高温读数（345.1°C），随后烟雾报警器触发，高度疑似电器过热起火。",
  "reasoning": [
    "推理步骤1: 22:25客厅温度传感器上报MeasuredValue=3451（345.1°C），而5分钟前正常读数为2363（23.63°C），温度在极短时间内飙升超过300°C，远超任何正常室内温度波动。",
    "推理步骤2: 22:30再次出现异常读数MeasuredValue=3200（320.0°C），且该读数使用了非标准的短属性名'MeasuredValue'而非完整的'TemperatureMeasurement.MeasuredValue'，可能是传感器在极端高温下工作异常导致的报文格式退化。",
    "推理步骤3: 22:35客厅烟雾报警器触发（SmokeState=1），与高温事件在时间上高度吻合，间隔仅10分钟，进一步确认存在火灾/过热事件。",
    "推理步骤4: 当时客厅空调处于制冷运行状态（17:53开启，SystemMode=3），空调长时间运行约4.5小时后发生异常，空调本身是最可能的过热起火源。",
    "推理步骤5: 22:42住户关闭客厅灯和空调、进入主卧、关闭主卧窗帘并确认前门上锁，说明住户已察觉异常并做出了反应，但未见开窗通风或撤离动作。",
    "推理步骤6: 厨房温度传感器在当天多次出现MeasuredValue=None的异常空值（06:55、07:29、18:18、19:06），虽与灶具使用时间相关可能是高温干扰，但也反映传感器在高温环境下的可靠性问题，需一并关注。"
  ],
  "key_evidence": [
    "22:25 living_room_temp_sensor上报MeasuredValue=3451（345.1°C），较正常值飙升约321°C",
    "22:30 living_room_temp_sensor再次上报异常值MeasuredValue=3200（320.0°C），且报文格式异常（缺少Cluster前缀）",
    "22:35 living_room_smoke_alarm触发SmokeState=1，确认烟雾/火灾告警",
    "客厅空调自17:53起持续运行约4.5小时（制冷模式SystemMode=3），是最可能的过热源",
    "22:42住户关闭空调和客厅灯，进入主卧——说明已感知到异常但应急措施不充分"
  ],
  "recommended_actions": [
    "立即断电：远程关闭客厅所有电器（空调已关闭，确认客厅氛围灯、副灯等也已断电），如有全屋断路器控制应切断客厅回路电源",
    "触发火灾警报：向所有家庭成员推送紧急通知，提示客厅可能发生电器过热起火，要求立即撤离并拨打119火警电话",
    "通风控制：远程打开客厅窗帘（living_room_window_1）并确认窗户状态，但如果火势明显则不应开窗以避免助燃——需根据现场判断",
    "关闭燃气：如家中有燃气总阀智能控制，立即远程关闭，防止火灾引发燃气泄漏",
    "隔离火源区域：关闭通往客厅的门（如有智能门控），防止烟雾和火势向卧室蔓延",
    "检查厨房窗户：日志显示厨房窗户在07:28和19:05被打开后未见关闭记录（BooleanState=False表示开启），应确认其状态以评估通风路径",
    "事后排查：安排专业人员检查客厅空调是否存在电路短路、压缩机过热等故障，同时检查客厅温度传感器和烟雾报警器的工作状态",
    "修复传感器问题：厨房温度传感器多次报告None值，客厅温度传感器出现非标准报文格式，均需检修或更换以确保监测可靠性"
  ]
}
```

22:42住户关闭空调和客厅灯，进入主卧——说明已感知到异常但应急措施不充分

关闭燃气：如家中有燃气总阀智能控制，立即远程关闭，防止火灾引发燃气泄漏

隔离火源区域：关闭通往客厅的门（如有智能门控），防止烟雾和火势向卧室蔓延


紧急通知住户，如有智能水阀立即关闭

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "家中无人期间次卫漏水传感器持续报警超过30分钟，存在水损风险。",
  "reasoning": [
    "推理步骤1: 07:27 全家出门——关灯、开门、锁门序列完整，入户门自动上锁，之后家中无运动传感器触发，确认无人在家。",
    "推理步骤2: 14:09 次卫漏水传感器首次报告 StateValue=True，随后 14:19、14:39 连续两次重复报警，说明漏水状态持续至少 30 分钟未消除。",
    "推理步骤3: 直到 16:28 有人回家（入户门解锁、儿童房运动传感器触发），期间超过 2 小时无人能现场处置，漏水可能已造成积水或渗透。",
    "推理步骤4: 次卫没有运动传感器，无法判断是否有人在场；且次卫灯自 06:53 开启后日志中未见关闭，说明出门时可能遗忘关灯，也未对卫生间做离家检查。",
    "推理步骤5: 厨房窗户在 07:13 被打开后日志中未见关闭事件，出门时厨房窗户可能处于开启状态，若漏水严重可能加剧室内湿度问题，但主要威胁仍是次卫漏水本身。"
  ],
  "key_evidence": [
    "14:09 second_bathroom_water_leak StateValue=True（首次报警）",
    "14:19 second_bathroom_water_leak StateValue=True（第二次报警，持续10分钟）",
    "14:39 second_bathroom_water_leak StateValue=True（第三次报警，持续30分钟）",
    "07:27 全家出门，入户门上锁，至 16:28 才有人回家，漏水期间无人在家",
    "次卫无运动传感器，无法远程确认现场情况"
  ],
  "recommended_actions": [
    "立即远程关闭总水阀（若已接入智能水阀）或通知物业/家人尽快到场手动关闭水源",
    "向住户手机推送高优先级漏水警报，附带持续时长（已超30分钟）和位置（次卫）",
    "联系物业或邻居代为查看次卫现场情况，防止水渗漏至楼下",
    "回家后第一时间检查次卫地面、墙角、管道接口，确认漏水源头并修复",
    "检查次卫相邻区域（次卧地板、墙面）是否有渗水痕迹",
    "建议在次卫加装智能水阀，实现漏水自动关阀联动；同时补装运动传感器以完善监控覆盖",
    "建立离家自动检查规则：出门锁门时自动巡检漏水传感器状态，若异常则立即告警阻止离家或提醒处理",
    "排查次卫灯出门未关的问题，建议将次卫灯纳入离家模式自动关闭列表"
  ]
}
```

家中无人期间次卫漏水传感器持续报警超过30分钟，存在水损风险。

07:27 全家出门，入户门上锁，至 16:28 才有人回家，漏水期间无人在家

次卫无运动传感器，无法远程确认现场情况

立即远程关闭总水阀（若已接入智能水阀）或通知物业/家人尽快到场手动关闭水源

向住户手机推送高优先级漏水警报，附带持续时长（已超30分钟）和位置（次卫）

联系物业或邻居代为查看次卫现场情况，防止水渗漏至楼下

回家后第一时间检查次卫地面、墙角、管道接口，确认漏水源头并修复

检查次卫相邻区域（次卧地板、墙面）是否有渗水痕迹

建议在次卫加装智能水阀，实现漏水自动关阀联动；同时补装运动传感器以完善监控覆盖

排查次卫灯出门未关的问题，建议将次卫灯纳入离家模式自动关闭列表


紧急通知住户，如有智能水阀立即关闭

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "次卫漏水传感器在住户就寝后持续报警超过30分钟，且无人响应处理，存在水漫损失风险。",
  "reasoning": [
    "推理步骤1: 次卫漏水传感器于 21:44 首次报告 StateValue=True，随后在 21:54 和 22:14 持续报告，说明漏水状态至少持续了30分钟且未被消除。",
    "推理步骤2: 分析住户活动轨迹——16:22 有人回家进入儿童房（推测为孩子放学回家），18:19 另一批人回家开灯开空调并做饭（推测为家长）。21:03 儿童房关灯拉窗帘（孩子就寝），22:38 客厅关灯关空调、主卧拉窗帘关灯并锁门（家长就寝）。漏水发生在 21:44-22:14 期间，横跨孩子已睡、家长即将就寝的时段。",
    "推理步骤3: 次卫灯在 07:04 开启后日志中再无关闭记录，且整天无次卫运动传感器触发事件，说明次卫当天几乎无人使用，漏水不太可能是正常用水行为导致的。",
    "推理步骤4: 漏水持续三次报警（21:44、21:54、22:14），间隔约10分钟，表明水量在持续积累而非偶发溅水。22:14 之后日志截止到 23:30 未见任何人前往次卫处理，说明住户可能完全未察觉。",
    "推理步骤5: 次卫紧邻次卧和儿童房区域，持续漏水可能渗透到地板下层或相邻房间，造成结构性损坏和财产损失。"
  ],
  "key_evidence": [
    "21:44 second_bathroom_water_leak StateValue=True（首次报警）",
    "21:54 second_bathroom_water_leak StateValue=True（第二次报警，漏水持续）",
    "22:14 second_bathroom_water_leak StateValue=True（第三次报警，漏水已持续至少30分钟）",
    "次卫全天无运动传感器触发记录，排除正常用水场景",
    "22:38 家长进入主卧关灯就寝，未前往次卫处理，说明住户未察觉漏水"
  ],
  "recommended_actions": [
    "立即推送高优先级告警通知至住户手机（含声音和震动），明确提示"次卫检测到持续漏水"",
    "如家中配有智能水阀（电动总阀/分区阀），立即远程关闭次卫区域供水或全屋总水阀，防止水损扩大",
    "自动开启次卫灯，引导住户注意该区域",
    "若住户5分钟内未确认告警，自动拨打住户紧急联系电话进行语音提醒",
    "记录漏水起始时间和持续时长，供后续维修和保险理赔使用",
    "漏水解除后，建议住户检查次卫水管接头、马桶底部密封圈、地漏等常见漏水点，必要时联系物业或水管维修人员上门排查",
    "在系统中为次卫漏水传感器设置升级告警规则：若漏水持续超过10分钟未处理，自动执行关阀和电话通知"
  ]
}
```


火灾风险警报，建议住户检查该区域电器

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "客厅在凌晨4:39-4:49期间发生异常高温事件并触发烟雾报警，高度疑似电器过热起火。",
  "reasoning": [
    "推理步骤1: 凌晨4:30客厅温度正常（2305，约23.05°C），但4:39突然飙升至3413（约34.13°C），4:44仍高达3200（约32°C），10分钟内温升超过11°C，这远超正常环境温度波动。",
    "推理步骤2: 4:49客厅烟雾报警器触发（SmokeState=1），与异常高温事件在时间和空间上高度吻合，确认存在烟雾/燃烧产物。",
    "推理步骤3: 该时段为凌晨深夜，全屋无人活动（无运动传感器触发、无灯光操作），排除人为烹饪或其他正常热源的可能。",
    "推理步骤4: 其他房间同时段温度正常（主卧2306、儿童房2296、厨房2304），说明热源局限于客厅，符合单点电器过热起火特征。",
    "推理步骤5: 5:00时客厅温度恢复至2303（约23°C），说明火情可能已自行熄灭或为短暂过热事件，但烟雾报警已触发，仍需紧急处置。"
  ],
  "key_evidence": [
    "4:39客厅温度从23.05°C骤升至34.13°C，4:44仍为32°C",
    "4:49客厅烟雾报警器触发 SmokeState=1",
    "事发时段凌晨4:30-5:00无任何人员活动记录",
    "同时段其他房间温度均正常，热源局限于客厅"
  ],
  "recommended_actions": [
    "立即触发全屋紧急警报，唤醒所有住户并通知紧急撤离",
    "自动切断客厅相关电器电源（空调、灯具等），防止持续供电加剧火情",
    "自动解锁入户门锁（front_door_lock），确保逃生通道畅通",
    "自动拨打119火警电话或通过智能家居平台推送紧急通知至户主手机",
    "开启客厅窗帘（living_room_window_1）辅助排烟，但需评估是否会助燃",
    "关闭全屋HVAC系统（所有空调），防止烟雾通过通风管道扩散",
    "事后排查客厅所有电器（特别是待机设备如电视、充电器、插排等），确认过热源头",
    "检查客厅烟雾报警器是否仍处于报警状态，确认火情是否完全消除",
    "建议安装独立式灭火装置或联动喷淋系统，提升自动灭火能力"
  ]
}
```

4:39客厅温度从23.05°C骤升至34.13°C，4:44仍为32°C
4:49客厅烟雾报警器触发 SmokeState=1
事发时段凌晨4:30-5:00无任何人员活动记录
同时段其他房间温度均正常，热源局限于客厅

立即触发全屋紧急警报，唤醒所有住户并通知紧急撤离

自动切断客厅相关电器电源（空调、灯具等），防止持续供电加剧火情

自动解锁入户门锁（front_door_lock），确保逃生通道畅通

自动拨打119火警电话或通过智能家居平台推送紧急通知至户主手机

关闭全屋HVAC系统（所有空调），防止烟雾通过通风管道扩散

事后排查客厅所有电器（特别是待机设备如电视、充电器、插排等），确认过热源头

检查客厅烟雾报警器是否仍处于报警状态，确认火情是否完全消除

建议安装独立式灭火装置或联动喷淋系统，提升自动灭火能力


门关闭后玄关再次检测到运动 同时有两个不相邻房间的运动信号（住户在客厅，另一人在次卧） 住户是独居的情况下不应有第二个人

疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": false,
  "confidence": "high",
  "threat_type": "none",
  "threat_description": "未检测到尾随入室威胁，19:29 的入户事件为正常的住户回家行为。",
  "reasoning": [
    "推理步骤1: 分析门锁事件 — 19:29:00 门锁记录 LockOperationType=1（解锁），OperationSource=3（PIN码/密码开锁），UserIndex=1（已注册的主用户）。这是一次经过身份验证的合法开锁操作，而非暴力破门或未授权开锁。",
    "推理步骤2: 分析入户门开关时序 — 19:29:02 门打开（StateValue=False），19:29:08 门关闭（StateValue=True），开门持续仅约6秒。尾随入室的典型特征是门长时间保持打开状态，或出现关门后短时间内再次开门的模式，此处均未出现。",
    "推理步骤3: 分析运动传感器轨迹 — 19:29:04 玄关检测到人（入门），19:29:10 客厅检测到人（经过），19:29:12 玄关仍有人，19:29:15 次卧和客厅同时检测到人。这个运动轨迹符合一人或家庭成员一起进门后分散到各房间的正常模式，并非多人在不同入口同时出现的异常模式。",
    "推理步骤4: 分析时间合理性 — 事件发生在 19:29（晚上7点半），属于典型的下班回家时间段。全天日志显示白天家中无任何运动传感器触发（无人在家），直到 19:29 才有人员活动，完全符合工作日白天外出、傍晚回家的生活规律。",
    "推理步骤5: 排除尾随特征 — 尾随入室的关键指标包括：(a) 门开时间异常长、(b) 未授权开锁方式、(c) 不合理的多区域同时触发、(d) 门关闭后外部再次有开门尝试。本次事件中这些指标均未出现。次卧和客厅在 19:29:15 同时有人，更可能是两位家庭成员一起回家后各自进入不同房间。",
    "推理步骤6: 温度数据佐证 — 全天温度曲线呈现自然的日间升温（凌晨约23°C → 中午约25.8°C）和傍晚降温的规律，无任何异常波动，说明门窗未被异常打开过，家中环境未受到入侵干扰。"
  ],
  "key_evidence": [
    "门锁通过已注册用户（UserIndex=1）的密码（OperationSource=3）正常解锁，属于授权访问",
    "入户门仅开启约6秒即关闭，时间窗口极短，不符合尾随入室的长时间敞开特征",
    "全天无任何室内运动传感器触发，直到19:29入户后才有活动，说明白天无人在家，排除了家中已有陌生人的可能",
    "运动轨迹为 玄关→客厅→次卧 的线性扩散，符合正常入户后的移动模式",
    "事件发生在19:29（傍晚），属于合理的回家时间"
  ],
  "recommended_actions": [
    "本次事件判定为正常回家行为，无需采取应急措施",
    "建议复查尾随检测算法的触发条件，当前场景中授权用户正常开锁、短暂开门、合理运动轨迹不应触发尾随告警，需调整规则以降低误报率",
    "如仍有疑虑，可调取入户门处的摄像头录像（如有），人工确认19:29前后是否有陌生人跟随进入",
    "建议在尾随检测逻辑中加入以下判断维度：门开持续时长阈值（如超过15秒才告警）、开锁方式是否为授权方式、门关闭后是否有二次开门事件"
  ]
}
```

未检测到尾随入室威胁，19:29 的入户事件为正常的住户回家行为。

入户门仅开启约6秒即关闭，时间窗口极短，不符合尾随入室的长时间敞开特征

运动轨迹为 玄关→客厅→次卧 的线性扩散，符合正常入户后的移动模式

事件发生在19:29（傍晚），属于合理的回家时间

本次事件判定为正常回家行为，无需采取应急措施


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "17:20 入户门解锁后，多个房间几乎同时检测到占用，疑似有未授权人员尾随合法用户进入室内。",
  "reasoning": [
    "推理步骤1: 17:20 前门通过 OperationSource=3（远程/密码）由 UserIndex=1 解锁，属于合法用户开门。但门开关时间极短（17:20:02 开 → 17:20:08 关，仅6秒），说明有人快速通过。",
    "推理步骤2: 入门后 17:20:04 玄关检测到占用，紧接着 17:20:10 客厅检测到占用，17:20:12 玄关再次检测到占用，17:20:15 次卧和客厅同时检测到占用。玄关传感器在极短时间内二次触发，说明有不止一人先后经过玄关区域。",
    "推理步骤3: 客厅和次卧在 17:20:15 同时检测到占用，意味着至少两人分别处于不同房间。而对比当天早晨 07:20 的正常出门场景（仅玄关单次触发）和 15:55 孩子回家场景（玄关→儿童房，路径单一），17:20 的多房间同时占用模式明显异常。",
    "推理步骤4: 15:55 已有人（疑似孩子）回家并进入儿童房，17:20 合法用户（UserIndex=1）回家后，次卧出现占用但此前次卧全天无任何活动记录，且没有对应的灯光开启操作，行为模式不符合家庭成员的正常习惯。",
    "推理步骤5: 17:20 开锁后未触发自动上锁（对比 07:20 出门后门锁立即自动上锁 LockState=1），直到 22:32 才重新上锁，说明门可能在较长时间内处于未锁定状态，增加了尾随入侵的可能性。"
  ],
  "key_evidence": [
    "17:20:04 玄关占用 → 17:20:12 玄关再次占用，间隔仅8秒，表明有多人先后通过玄关",
    "17:20:15 客厅与次卧同时检测到占用，说明至少两人分处不同房间",
    "次卧全天无任何活动记录，17:20:15 突然出现占用且无灯光开启，行为异常",
    "17:20 开锁后未触发自动上锁，与 07:20 出门后自动上锁的行为不一致",
    "对比 07:20 和 15:55 的正常进出模式，17:20 的多传感器同时触发模式明显偏离常规"
  ],
  "recommended_actions": [
    "立即触发室内警报（声光报警），对潜在入侵者形成威慑",
    "远程锁定入户门（DoorLock.LockState → 1），防止入侵者轻易逃离或更多人进入",
    "通过摄像头（如有）或运动传感器实时监控次卧和客厅区域，确认是否有陌生人",
    "向户主手机推送高优先级告警通知，附带 17:20 时段的传感器触发时间线",
    "如户主确认家中不应有其他人，立即拨打 110 报警并提供入侵时间和区域信息",
    "记录并保存 17:00-18:00 时段所有设备日志作为证据",
    "事后建议：为入户门启用尾随检测规则——若玄关传感器在单次开门期间多次触发占用，自动发出告警；同时检查自动上锁策略是否正常工作"
  ]
}
```

17:20:15 客厅与次卧同时检测到占用，说明至少两人分处不同房间

次卧全天无任何活动记录，17:20:15 突然出现占用且无灯光开启，行为异常

17:20 开锁后未触发自动上锁，与 07:20 出门后自动上锁的行为不一致

立即触发室内警报（声光报警），对潜在入侵者形成威慑

通过摄像头（如有）或运动传感器实时监控次卧和客厅区域，确认是否有陌生人

向户主手机推送高优先级告警通知，附带 17:20 时段的传感器触发时间线

如户主确认家中不应有其他人，立即拨打 110 报警并提供入侵时间和区域信息

记录并保存 17:00-18:00 时段所有设备日志作为证据


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "18:27 有人在首位住户进门仅8分钟后通过门锁开门进入，且随后次卧出现占用，疑似尾随或未授权人员入室。",
  "reasoning": [
    "推理步骤1: 18:19 第一次开门事件——门锁手动解锁（OperationSource=Manual），入户门打开后关闭，玄关检测到人，随后客厅有人，开灯、开空调，这是正常的住户回家模式。",
    "推理步骤2: 18:27（仅8分钟后）门锁再次被解锁，此次 OperationSource=3（远程/密码/PIN方式），携带 UserIndex=1。入户门再次打开又关闭，玄关和客厅均检测到人。关键异常：紧接着 second_bedroom_occupancy 检测到占用（18:27:15），而此前全天次卧无任何活动记录，且第一位住户已在客厅。",
    "推理步骤3: 如果是同一住户的家人正常回家，次卧出现占用本身可以解释。但结合以下疑点需要警惕：(a) 两次开门间隔极短（8分钟），第二次进入者直奔次卧而非与客厅的人汇合；(b) 18:27:12 玄关和客厅同时检测到占用，说明至少有两人分处不同位置；(c) 次卧此前全天无任何活动，第二个人进门后径直前往次卧，行为模式与正常家庭成员回家后先在公共区域活动有所不同。",
    "推理步骤4: 不能完全排除是家庭成员（如配偶）用自己的PIN码正常回家后直接进房间的可能，因此置信度为 medium 而非 high。但从安全角度出发，仍应按潜在尾随/未授权入室处理。"
  ],
  "key_evidence": [
    "18:19 门锁手动解锁，住户A进入客厅开灯开空调",
    "18:27（仅8分钟后）门锁再次通过 OperationSource=3/UserIndex=1 解锁，入户门开关",
    "18:27:15 次卧运动传感器检测到占用——此前全天次卧无任何活动",
    "18:27:12 玄关与客厅同时检测到占用，表明至少两人分处不同区域",
    "第二个进入者未在公共区域（客厅/餐厅）停留，直接进入次卧"
  ],
  "recommended_actions": [
    "立即通过智能家居系统向住户手机推送入侵警报，确认18:27进入的人员是否为授权家庭成员",
    "远程激活客厅和玄关的灯光闪烁/全亮模式，起到威慑作用",
    "如住户确认非授权人员：立即远程锁定入户门（DoorLock.LockState=1），防止入侵者轻易逃离或再次进入",
    "触发客厅烟雾报警器的蜂鸣功能（如支持）作为警报声源，引起注意",
    "自动拨打物业安保或110报警电话，提供入侵时间（18:27）和位置（次卧）信息",
    "保存并锁定18:15-18:35时间段所有设备日志作为证据，特别是门锁的 UserIndex 和 OperationSource 记录",
    "如有入户门/玄关摄像头，立即截取18:26-18:28时段的视频画面",
    "事后建议：审查门锁 UserIndex=1 对应的PIN码是否泄露，考虑更换门锁密码并启用双重认证（如PIN+指纹）"
  ]
}
```

18:19 门锁手动解锁，住户A进入客厅开灯开空调

18:27:15 次卧运动传感器检测到占用——此前全天次卧无任何活动

18:27:12 玄关与客厅同时检测到占用，表明至少两人分处不同区域

第二个进入者未在公共区域（客厅/餐厅）停留，直接进入次卧

远程激活客厅和玄关的灯光闪烁/全亮模式，起到威慑作用

触发客厅烟雾报警器的蜂鸣功能（如支持）作为警报声源，引起注意

自动拨打物业安保或110报警电话，提供入侵时间（18:27）和位置（次卧）信息

如有入户门/玄关摄像头，立即截取18:26-18:28时段的视频画面


漏水传感器持续触发超过10分钟
全屋无人（所有 occupancy = 0，门锁为 Locked）
无人处理导致损失持续扩大

紧急通知住户，如有智能水阀立即关闭

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "主卫漏水传感器在住户离家期间持续报警超过8小时未得到处理，存在水损风险。",
  "reasoning": [
    "推理步骤1: 主卫漏水传感器于 06:31 首次报告 StateValue = True，随后在 06:41 和 07:01 持续报告漏水状态，说明漏水未自行停止。",
    "推理步骤2: 住户于 07:42 关闭各房间灯光、手动开锁出门，入户门在 07:42:34 自动上锁，表明全家离开。此后直到 16:03 才有人通过前门回家，无人在家时段长达约 8 小时 20 分钟。",
    "推理步骤3: 在 07:01 最后一次漏水报警后，整个无人在家期间没有任何人进入主卫处理漏水问题（主卫运动传感器无触发记录），漏水很可能一直在持续。",
    "推理步骤4: 06:40 主卫有人进入（运动传感器触发、灯打开），但 06:41 漏水仍在报警，说明住户可能注意到了但未能彻底解决问题就出门了。",
    "推理步骤5: 长时间无人处理的漏水可能导致地板、墙体浸泡，引发结构损坏、霉菌滋生，甚至渗漏到楼下邻居，造成严重财产损失。"
  ],
  "key_evidence": [
    "06:31:00 master_bathroom_water_leak | StateValue = True（首次报警）",
    "06:41:00 master_bathroom_water_leak | StateValue = True（二次报警，住户在场但未解决）",
    "07:01:00 master_bathroom_water_leak | StateValue = True（三次报警，漏水持续）",
    "07:42:27 全家离开，入户门上锁，此后至 16:03 无人在家",
    "离家期间主卫无任何运动传感器触发记录，漏水无人处理"
  ],
  "recommended_actions": [
    "立即远程通知住户：通过手机推送、短信、电话等方式紧急告知主卫漏水持续未处理。",
    "远程关闭主水阀：如家中配备智能水阀，立即远程关闭总水阀或主卫区域水阀，切断水源止损。",
    "联系物业或紧急联系人：若住户无法及时返回，通知物业管理人员或预设的紧急联系人上门关闭水阀并检查现场。",
    "持续监控漏水传感器状态：关注传感器是否恢复正常（StateValue = False），确认止水措施是否生效。",
    "住户回家后立即检查主卫：排查漏水源头（水管接头、马桶、洗手台、热水器等），检查地面、墙面及天花板是否有水渍渗透。",
    "检查楼下邻居是否受影响：长时间漏水可能已渗透楼板，需确认是否造成邻居损失。",
    "排查主卫设备故障根因：漏水在 06:40 住户进入后仍未消除，需检查是否为管道破裂等需要专业维修的问题，而非简单的水龙头未关。",
    "建议加装智能水阀：若当前未配备可远程控制的智能水阀，强烈建议安装，以便在类似场景下远程止水。"
  ]
}
```

主卫漏水传感器在住户离家期间持续报警超过8小时未得到处理，存在水损风险。

07:42:27 全家离开，入户门上锁，此后至 16:03 无人在家

离家期间主卫无任何运动传感器触发记录，漏水无人处理

立即远程通知住户：通过手机推送、短信、电话等方式紧急告知主卫漏水持续未处理。

检查楼下邻居是否受影响：长时间漏水可能已渗透楼板，需确认是否造成邻居损失。


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": false,
  "confidence": "high",
  "threat_type": "none",
  "threat_description": "未检测到尾随入室威胁，17:09 的入户事件为正常的住户回家行为。",
  "reasoning": [
    "推理步骤1: 分析入户门事件序列。17:09:00 门锁触发 LockOperation，其中 LockOperationType=1（正常解锁）、OperationSource=3（通过密码/指纹等本地凭证方式）、UserIndex=1（已注册的家庭用户），说明这是一次合法的授权开锁。",
    "推理步骤2: 门传感器时序合理。17:09:02 门打开（StateValue=False），17:09:08 门关闭（StateValue=True），开门持续约 6 秒，符合单人进门后随手关门的正常时长。如果存在尾随，开门时间通常会更长，或者出现门反复开关的情况。",
    "推理步骤3: 运动传感器轨迹分析。17:09:04 玄关检测到人（entrance_occupancy=1），17:09:10 客厅检测到人（living_room_occupancy=1），17:09:12 玄关再次检测到人，17:09:15 次卧和客厅同时检测到人。这个模式可以解释为：一人进门经玄关到客厅，另一人随后经玄关到次卧——但这更符合两位家庭成员一起回家的场景，而非尾随入侵。",
    "推理步骤4: 关键判断依据——入侵者无法通过 OperationSource=3（本地凭证）解锁，且 UserIndex=1 是已注册用户。尾随入室的典型特征是：门锁被合法用户打开后，门长时间未关闭，或关闭后短时间内再次被物理打开（无解锁记录）。本次日志中门仅开关一次，且全程无异常。",
    "推理步骤5: 入户后无任何异常行为指标。没有触发任何报警器，没有异常的窗户/阳台门开启，没有深夜时段的可疑活动。全天温度数据呈正常的日间升温、夜间降温曲线，无设备异常。17:09 为傍晚下班回家的合理时间。"
  ],
  "key_evidence": [
    "17:09:00 门锁通过本地凭证（OperationSource=3）由已注册用户（UserIndex=1）正常解锁，非暴力或异常方式开门",
    "入户门从打开到关闭仅 6 秒（17:09:02 至 17:09:08），时长符合正常单次进门，未出现门长时间敞开或二次开启的尾随特征",
    "运动传感器显示人员从玄关分别移动至客厅和次卧，符合两位家庭成员同时回家的正常动线",
    "全天无任何报警器触发、无异常门窗开启事件、无未授权的开锁记录"
  ],
  "recommended_actions": [
    "当前无需采取应急措施，本次事件判定为正常住户回家",
    "如仍有疑虑，可查看入户门处的摄像头录像（如有），确认 17:09 前后是否有陌生人跟随",
    "建议为智能门锁启用「门未关提醒」功能，当门打开超过 15 秒未关闭时自动告警，作为防尾随的预防措施",
    "建议在玄关区域增设摄像头或可视门铃，为未来的尾随判断提供视觉证据支持"
  ]
}
```

未检测到尾随入室威胁，17:09 的入户事件为正常的住户回家行为。

全天无任何报警器触发、无异常门窗开启事件、无未授权的开锁记录

当前无需采取应急措施，本次事件判定为正常住户回家

建议在玄关区域增设摄像头或可视门铃，为未来的尾随判断提供视觉证据支持


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "19:30 入户门解锁后，短时间内多个房间同时出现占用信号，疑似有未授权人员尾随家庭成员进入室内。",
  "reasoning": [
    "推理步骤1: 19:30:00 入户门锁通过 OperationSource=3（远程/密码）由 UserIndex=1 解锁，这是一次正常的授权开锁操作。",
    "推理步骤2: 门开后 2 秒内（19:30:02）门传感器检测到开门，19:30:04 玄关检测到有人，19:30:08 门关闭——这是正常的单人进门流程。",
    "推理步骤3: 然而在 19:30:10 客厅检测到占用，19:30:12 玄关再次检测到占用（说明玄关在短暂无人后又有人经过），19:30:15 次卧和客厅同时检测到占用。这意味着至少有两个人几乎同时分散到了不同房间。",
    "推理步骤4: 对比当天其他两次进门事件——07:45 出门（全家一起离开，无异常）和 16:01 回家（仅儿童房有占用，符合孩子放学回家的模式）、18:12 回家（仅客厅有占用，符合单人回家模式），这些事件中占用信号都集中在单一路径上。",
    "推理步骤5: 19:30 事件的独特之处在于：进门后极短时间内（约 11 秒），玄关出现了二次占用触发，且次卧和客厅同时出现占用，说明有不止一人通过入户门进入。如果是家庭成员，16:01 已有人回家（孩子），18:12 又有人回家（成人），19:30 的第三次进门可能是另一位家庭成员——但次卧和客厅同时被占用的模式暗示可能有人尾随进入。",
    "推理步骤6: 置信度定为 medium 而非 high，因为这也可能是家庭成员带朋友/访客回家的正常场景，但系统无法区分授权访客和尾随入侵者。"
  ],
  "key_evidence": [
    "19:30:00 入户门通过远程/密码方式解锁（OperationSource=3, UserIndex=1）",
    "19:30:04 玄关检测到占用后，19:30:12 玄关再次检测到占用，说明有第二个人经过玄关",
    "19:30:15 次卧和客厅同时检测到占用（OccupancySensing.Occupancy=1），表明至少两人分散在不同房间",
    "对比 16:01 和 18:12 的正常回家模式，占用信号均为单一路径，19:30 事件明显不同",
    "19:30 进门后未观察到门锁重新上锁（对比 07:45 出门后自动上锁、22:50 睡前自动上锁），门锁处于未锁定状态"
  ],
  "recommended_actions": [
    "立即通过智能家居系统向户主手机推送高优先级告警，确认 19:30 进入的第二人是否为授权人员",
    "自动开启全屋灯光（客厅、玄关、次卧、走廊），消除入侵者可能利用的暗区",
    "触发入户门锁自动上锁（DoorLock.LockState=1），防止更多人员进入或入侵者轻易逃离后再次进入",
    "如果户主在 60 秒内未确认为授权访客，自动激活客厅和玄关区域的安防摄像头（如有）进行录像取证",
    "如果户主确认不认识该人员，立即通过系统拨打 110 报警，并将门锁事件日志和传感器时间线作为证据保留",
    "在事件解除前，持续监控各房间运动传感器，追踪未知人员的移动轨迹并记录",
    "事后建议：为入户门增加视频门铃或人脸识别模块，从源头区分授权人员和尾随者；检查门锁自动上锁策略，确保每次关门后自动锁定"
  ]
}
```

自动开启全屋灯光（客厅、玄关、次卧、走廊），消除入侵者可能利用的暗区

在事件解除前，持续监控各房间运动传感器，追踪未知人员的移动轨迹并记录


伪装开锁（被盗/复制凭证）

合法凭证开锁，但进入后的行为模式与住户不符 不开灯（住户通常到家后开灯） 如果已知住户此时在别处（如还有工作GPS等外部信息），则更可疑 本场景的难点：单看门锁事件是合法的，需要结合行为模式判断

中等可信度警报，建议住户确认是否本人操作

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "17:18 的开锁事件高度疑似使用被盗/复制凭证的伪装入侵，入侵者进入后行为与正常住户模式不符。",
  "reasoning": [
    "推理步骤1: 17:18 的开锁事件使用 OperationSource=8（远程/凭证方式）并携带 UserIndex=1，但当天其他所有开锁操作均为 Manual 或 Auto 方式，说明该家庭日常习惯是手动开锁，远程凭证开锁属于异常操作来源。",
    "推理步骤2: 16:02 已有人通过手动开锁进入家中（孩子放学回家，直奔儿童房），说明 17:18 时家中已有人。然而 17:18 进入者的行为轨迹异常——经过玄关到客厅后，执行的唯一操作是关闭次卧灯（second_bedroom_light OnOff=False），而次卧灯在当天日志中从未被打开过，这是一个无意义或试探性的操作。",
    "推理步骤3: 17:18 进入者没有触发任何后续的正常居家行为（未开灯、未开空调、未进厨房做饭等），与 18:10 真正的家庭成员回家后立即开客厅灯、开空调、进厨房做饭的行为模式形成鲜明对比。",
    "推理步骤4: 入户门在 17:18 开锁后没有记录到关门（front_door_contact 恢复 True）和自动上锁的事件，直到 22:50 才出现关门上锁记录，说明入侵者可能未正常关门，或门锁状态被异常保持在未锁定状态长达数小时。",
    "推理步骤5: 综合来看——异常的开锁来源（远程凭证）、不合常理的室内行为（关闭一盏未开的灯）、缺失的关门/上锁记录，三项证据共同指向凭证被盗用或复制后的伪装入侵。"
  ],
  "key_evidence": [
    "17:18 开锁事件 OperationSource=8（远程凭证），与当天所有其他开锁的 Manual/Auto 来源不一致",
    "入侵者唯一操作是关闭次卧灯（该灯当天从未被打开），属于无意义的试探行为",
    "17:18 开锁后无对应的关门（front_door_contact=True）和自动上锁记录，门锁安全状态存疑",
    "16:02 已有人在家（孩子在儿童房），17:18 的进入者并未与家中人员产生正常互动",
    "18:10 真正住户回家后的行为模式（开灯→开空调→做饭）与 17:18 入侵者行为完全不同"
  ],
  "recommended_actions": [
    "【立即】远程锁定入户门锁，撤销 UserIndex=1 对应的所有数字凭证（密码/指纹/NFC卡），防止再次使用",
    "【立即】向所有家庭成员手机推送高优先级入侵警报，确认 17:18 是否为已知人员操作；如无法确认，立即报警",
    "【立即】检查门锁完整审计日志，排查 UserIndex=1 凭证的创建时间和历史使用记录，确定凭证是否被非法添加或复制",
    "【紧急】更换入户门锁所有用户凭证（重置密码、重新录入指纹），并启用双因素认证（如密码+指纹组合开锁）",
    "【紧急】检查家中是否有财物丢失或被安装异物（摄像头、窃听器等），重点检查次卧区域",
    "【短期】关闭门锁的远程开锁功能，或将远程开锁限制为需要家庭管理员实时确认后才可执行",
    "【短期】在玄关和客厅增设安防摄像头，为后续事件提供视频证据",
    "【长期】启用门锁异常开锁实时告警规则：当出现非常用操作来源、非常用时段、或开门后未在合理时间内关门时，自动触发警报"
  ]
}
```

入侵者唯一操作是关闭次卧灯（该灯当天从未被打开），属于无意义的试探行为

【短期】在玄关和客厅增设安防摄像头，为后续事件提供视频证据


烟雾报警器低电量时发生事件

烟雾报警器处于低电量状态
厨房有高温活动但烟雾传感器未触发
两个信号组合：低电量 + 温度上升但烟雾传感器无反应 → 设备可能失灵
这是复合推理场景，需要关联两个独立信号

警告住户烟雾报警器可能失灵，建议更换电池/设备

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "厨房烟雾报警器处于低电量状态，同时厨房温度传感器多次报告异常值（None 及 30.99°C 尖峰），削弱了厨房火灾预警能力。",
  "reasoning": [
    "推理步骤1: 2026-06-17T14:49 厨房烟雾报警器上报 BatteryAlert=1，表示电池电量低，报警器可能无法在烟雾浓度达到阈值时正常发出警报。",
    "推理步骤2: 厨房温度传感器在灶具开启期间多次报告 MeasuredValue=None（06:57、07:27、18:46、19:07），说明传感器存在间歇性故障或受灶具热源干扰导致读数丢失，无法提供可靠的温度监测作为火灾辅助判断依据。",
    "推理步骤3: 14:49 灶具开启后，14:59 厨房温度传感器报告 3099（约 30.99°C），相比同时段其他房间的 25°C 左右出现明显尖峰，虽然烟雾报警器同时报告 SmokeState=0（无烟雾），但此时报警器正处于低电量状态，其检测可靠性存疑。",
    "推理步骤4: 该家庭日常有两次使用灶具的习惯（早餐约 06:56-07:26，晚餐约 18:45-19:06），厨房是高频用火区域。烟雾报警器低电量意味着在最需要保护的场景下，安全防线存在缺口。",
    "推理步骤5: 入户门锁在 07:47 全家出门后自动上锁，家中长时间无人（约 8 小时），若此期间发生意外起火，低电量报警器可能无法及时触发远程告警，后果严重。"
  ],
  "key_evidence": [
    "2026-06-17T14:49 kitchen_smoke_alarm BatteryAlert=1，烟雾报警器电池电量低",
    "厨房温度传感器在灶具使用期间多次返回 None（06:57、07:27、18:46、19:07），传感器工作不稳定",
    "2026-06-18T14:59 厨房温度传感器出现 3099（30.99°C）异常尖峰，高出同期其他房间约 5-6°C",
    "家庭每日两次使用灶具，厨房为高火灾风险区域",
    "07:47-15:56 家中无人约 8 小时，期间缺乏有效火灾预警保障"
  ],
  "recommended_actions": [
    "立即更换厨房烟雾报警器（kitchen_smoke_alarm）的电池，恢复其正常报警能力，这是最高优先级措施",
    "检修厨房温度传感器（kitchen_temp_sensor），排查其在灶具开启时频繁返回 None 的原因，可能需要调整安装位置或更换设备",
    "在电池更换完成前，避免无人在家时使用灶具或其他明火设备；如必须外出，确认灶具已关闭且厨房窗户通风",
    "建议为烟雾报警器设置低电量自动提醒规则，在 BatteryAlert 触发时立即推送手机通知，避免长时间处于低电量状态而不自知",
    "考虑在厨房增设一个独立的燃气泄漏探测器作为冗余安全层，与烟雾报警器形成互补",
    "检查客厅烟雾报警器（living_room_smoke_alarm）的电池状态，确保全屋报警设备均处于正常工作状态"
  ]
}
```

家庭每日两次使用灶具，厨房为高火灾风险区域

07:47-15:56 家中无人约 8 小时，期间缺乏有效火灾预警保障

考虑在厨房增设一个独立的燃气泄漏探测器作为冗余安全层，与烟雾报警器形成互补


伪装开锁（被盗/复制凭证）

中等可信度警报，建议住户确认是否本人操作

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "22:03 入户门通过可疑远程/凭证方式解锁，存在被盗或复制凭证入侵的高风险。",
  "reasoning": [
    "推理步骤1: 22:03 的开锁事件使用 OperationSource=8（通常对应远程/凭证类开锁，如 RFID、PIN 码或远程指令），且指定了 UserIndex=1，但该事件仅执行了解锁（LockOperationType=1）而没有后续的关门上锁动作——直到 22:14:19 门才关闭并自动上锁，中间间隔超过 11 分钟。",
    "推理步骤2: 对比当天其他两次正常出入（07:45 和 17:58），均为 Manual 手动开锁，开门到关门仅 7 秒左右，符合住户正常进出习惯。而 22:03 这次开锁方式不同（非手动），且门长时间处于开启状态，行为模式明显异常。",
    "推理步骤3: 22:03 开锁后，入口和客厅运动传感器先后触发（22:03:05、22:03:20），说明确实有人进入室内。但紧接着 22:03:25 次卧灯被关闭（OnOff=False），而此前日志中次卧灯并无开启记录，这一操作本身就不合常理，可能是入侵者在室内活动。",
    "推理步骤4: 16:24 有人回家后一直在儿童房活动（孩子放学回家），21:13 儿童房灯关闭、窗帘关闭（孩子就寝）。22:03 时家中应处于就寝状态，此时通过非手动方式开锁进入极为可疑。",
    "推理步骤5: 22:14 主卧检测到有人活动，随后客厅灯和空调被关闭、主卧窗帘关闭、主卧灯关闭——这更像是住户被惊醒后的反应，而非正常就寝流程。门在 22:14:19 才关闭并自动上锁，进一步印证 22:03 的开门并非住户自主操作。"
  ],
  "key_evidence": [
    "22:03 开锁事件 OperationSource=8, UserIndex=1，非手动操作，与当天其他两次 Manual 开锁方式不一致",
    "开门到关门间隔超过 11 分钟（22:03:03 至 22:14:19），远超正常进出的 7 秒",
    "22:03:25 次卧灯被关闭，但此前无次卧灯开启记录，属于异常操作",
    "事件发生在 22:03 深夜就寝时段，儿童房 21:13 已熄灯就寝",
    "22:14 主卧传感器触发后迅速执行一系列关灯/关空调/关窗帘/锁门操作，疑似住户被惊醒后的应急反应"
  ],
  "recommended_actions": [
    "立即冻结 UserIndex=1 对应的门锁凭证（PIN码/RFID卡/数字钥匙），防止再次被利用",
    "远程强制锁定入户门锁，确认当前 DoorLock.LockState=1（已锁定）",
    "向住户手机推送高优先级入侵警报，确认 22:03 的开锁是否为本人操作",
    "调取门锁完整的凭证使用日志和 UserIndex 列表，排查是否存在未授权用户或被克隆的凭证",
    "如住户确认非本人操作，立即报警并保留所有设备日志作为证据",
    "重置门锁所有 PIN 码和数字凭证，重新为家庭成员分配新凭证",
    "检查门锁固件版本，升级至最新版本以修补可能的远程漏洞",
    "启用门锁双重认证机制（如 PIN + 指纹），提高开锁安全等级",
    "在玄关区域增设摄像头或启用现有摄像头的录像回放，核实入侵者身份",
    "临时启用全屋安防模式：所有门窗传感器进入布防状态，任何开启立即告警"
  ]
}
```

22:03 入户门通过可疑远程/凭证方式解锁，存在被盗或复制凭证入侵的高风险。

22:03:25 次卧灯被关闭，但此前无次卧灯开启记录，属于异常操作

事件发生在 22:03 深夜就寝时段，儿童房 21:13 已熄灯就寝

向住户手机推送高优先级入侵警报，确认 22:03 的开锁是否为本人操作

如住户确认非本人操作，立即报警并保留所有设备日志作为证据

重置门锁所有 PIN 码和数字凭证，重新为家庭成员分配新凭证

检查门锁固件版本，升级至最新版本以修补可能的远程漏洞

启用门锁双重认证机制（如 PIN + 指纹），提高开锁安全等级

在玄关区域增设摄像头或启用现有摄像头的录像回放，核实入侵者身份

临时启用全屋安防模式：所有门窗传感器进入布防状态，任何开启立即告警


住户外出期间（门锁显示已锁+无人在家）窗户被打开
随后出现多房间运动信号
入侵者未使用门锁（无 LockOperation 事件）

触发入侵警报，通知住户，建议报警

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "15:16 主卧窗户在无人占用情况下从外部被打开，短暂出现人体活动后窗户关闭、人员消失，疑似白天撬窗入室。",
  "reasoning": [
    "推理步骤1: 15:16 主卧窗户传感器报告 StateValue=False（窗户打开），而在此之前整段日志中主卧无任何运动传感器触发记录，说明开窗前房间无人。",
    "推理步骤2: 窗户打开 8 秒后（15:16:08）主卧运动传感器首次触发 Occupancy=1，时序上是'先开窗、后有人'，符合从窗外进入的模式，而非室内住户自行开窗（正常情况应先有人活动再开窗）。",
    "推理步骤3: 15:17 客厅运动传感器也触发 Occupancy=1，说明有人从主卧向客厅方向移动，与入侵者进入后在室内活动的行为一致。",
    "推理步骤4: 15:19 窗户关闭（StateValue=True），5 秒后主卧运动传感器归零（Occupancy=0），整个过程仅持续约 3 分钟，时间极短，不像正常通风行为。",
    "推理步骤5: 事件发生在下午 15:16，属于白天时段。整段日志从 00:00 到 15:15 期间无任何门锁、门磁、运动传感器事件，表明住户很可能不在家，这进一步增加了入侵的可疑性。",
    "推理步骤6: 入户门锁（front_door_lock）和入户门传感器（front_door_contact）在整个日志周期内无任何开启记录，说明此人并非通过正门进入，排除了住户正常回家的可能。",
    "推理步骤7: 置信度定为 medium 而非 high，是因为仅凭传感器日志无法 100% 排除住户从阳台/其他路径回家后去主卧开窗通风的小概率场景，且没有摄像头影像佐证。"
  ],
  "key_evidence": [
    "15:16:00 master_bedroom_window_contact StateValue=False — 主卧窗户被打开，此前房间无人",
    "15:16:08 master_bedroom_occupancy Occupancy=1 — 开窗 8 秒后才检测到人体，时序为'先开窗后有人'",
    "15:17:00 living_room_occupancy Occupancy=1 — 入侵者疑似从主卧移动至客厅",
    "15:19:00 窗户关闭、15:19:05 人体消失 — 整个过程仅约 3 分钟，行为短促",
    "全天无 front_door_lock / front_door_contact 事件 — 无人通过正门进出，住户大概率不在家"
  ],
  "recommended_actions": [
    "立即远程锁定入户门锁（front_door_lock），确认 DoorLock.LockState 为锁定状态，防止入侵者从正门离开或再次进入",
    "触发全屋警报：开启所有灯光（客厅、玄关、主卧等）并闪烁，模拟有人在家，震慑入侵者",
    "立即向住户手机推送高优先级入侵告警通知，附带事件时间线和涉及的传感器信息",
    "联系物业安保或拨打 110 报警，提供入侵时间（15:16-15:19）和入侵路径（主卧窗户）信息",
    "如有家庭摄像头，立即调取 15:15-15:25 时段的客厅和主卧录像，保存证据",
    "关闭主卧窗帘（master_bedroom_window）并确认主卧窗户已关闭（当前 StateValue=True 已关闭），检查窗户锁扣是否损坏",
    "住户回家前不要单独进入，等待安保人员陪同检查室内是否有人滞留或财物丢失",
    "事后检查主卧窗户物理锁具是否被破坏，考虑加装窗户防盗锁或振动报警器",
    "在主卧和客厅增设摄像头，提升后续类似事件的取证能力"
  ]
}
```

立即向住户手机推送高优先级入侵告警通知，附带事件时间线和涉及的传感器信息

住户回家前不要单独进入，等待安保人员陪同检查室内是否有人滞留或财物丢失

事后检查主卧窗户物理锁具是否被破坏，考虑加装窗户防盗锁或振动报警器

在主卧和客厅增设摄像头，提升后续类似事件的取证能力


洗碗机运行期间厨房漏水传感器触发 两个事件的时间关联性

停止洗碗机运行，通知住户检查

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "厨房洗碗机运行期间漏水传感器触发报警，存在真实漏水风险，需立即处置。",
  "reasoning": [
    "推理步骤1: 11:23 洗碗机启动（OperationalState = 1），仅 5 分钟后（11:28）厨房漏水传感器 kitchen_water_leak 报告 StateValue = True，时间高度吻合，说明漏水与洗碗机运行直接相关。",
    "推理步骤2: 11:28 时洗碗机仍处于运行状态（OperationalState = 1），并未因故障自动停机，意味着漏水可能在持续加剧。",
    "推理步骤3: 此时家中无人——住户于 07:38 关灯、锁门出门，直到 16:12 才有人回家。漏水从 11:28 到至少 16:12 长达近 5 小时无人处理，水损风险极大。",
    "推理步骤4: 日志中阳台洗衣机（balcony_laundry_washer）全天无任何运行记录，阳台区域也无漏水传感器触发，排除洗衣机漏水的可能。",
    "推理步骤5: 厨房温度传感器在 06:51、07:07、18:27、19:07 多次报告 None 值，说明厨房区域传感器可能存在通信不稳定或受潮干扰的情况，侧面印证厨房环境异常。"
  ],
  "key_evidence": [
    "11:23 洗碗机启动：kitchen_dishwasher | OperationalState = 1",
    "11:28 厨房漏水传感器报警：kitchen_water_leak | StateValue = True，洗碗机仍在运行",
    "07:38 住户出门锁门，16:12 才有人回家，漏水期间长时间无人在场",
    "厨房温度传感器多次报告 None 值（06:51、07:07），传感器工作状态异常"
  ],
  "recommended_actions": [
    "【立即】远程关闭洗碗机（发送 OnOff.Off 指令至 kitchen_dishwasher），停止进水以防漏水加剧",
    "【立即】如家中有智能水阀，远程关闭厨房供水总阀；若无智能水阀，立即通知住户或物业手动关闭",
    "【立即】向住户手机推送高优先级漏水警报，告知具体位置（厨房）和触发时间（11:28）",
    "【短期】住户到家后检查洗碗机进水管、排水管接口及底部密封圈，确认漏水点",
    "【短期】检查厨房地面积水范围，评估是否渗透到橱柜、墙体或楼下，必要时联系物业",
    "【短期】排查厨房温度传感器多次报告 None 的原因，检查是否因受潮导致传感器故障",
    "【长期】建议在厨房供水管路加装智能水阀，实现漏水时自动切断水源",
    "【长期】设置自动化规则：漏水传感器触发时自动关停洗碗机和洗衣机，并关闭智能水阀"
  ]
}
```

厨房洗碗机运行期间漏水传感器触发报警，存在真实漏水风险，需立即处置。

07:38 住户出门锁门，16:12 才有人回家，漏水期间长时间无人在场

【短期】住户到家后检查洗碗机进水管、排水管接口及底部密封圈，确认漏水点

【短期】检查厨房地面积水范围，评估是否渗透到橱柜、墙体或楼下，必要时联系物业

【长期】建议在厨房供水管路加装智能水阀，实现漏水时自动切断水源

【长期】设置自动化规则：漏水传感器触发时自动关停洗碗机和洗衣机，并关闭智能水阀


烟雾报警器低电量时发生事件

警告住户烟雾报警器可能失灵，建议更换电池/设备

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "厨房烟雾报警器处于低电量状态，而厨房灶具在使用期间出现温度异常飙升，报警器可能无法在真实火灾中正常工作。",
  "reasoning": [
    "推理步骤1: 2026-06-29T10:23:00 厨房烟雾报警器上报 BatteryAlert = 1，表示电池电量低，设备处于降级工作状态。",
    "推理步骤2: 2026-06-30T10:23:00 厨房灶具被开启，随后 10:33:00 厨房温度传感器读数从 2514（约25.1°C）骤升至 3021（约30.2°C），短短3分钟内上升约5°C，这是一个异常的温升速率。",
    "推理步骤3: 10:33:00 同时记录了 kitchen_smoke_alarm SmokeState = 0（无烟雾检测），但考虑到电池低电量状态，传感器灵敏度可能已下降，SmokeState = 0 的可信度存疑。",
    "推理步骤4: 厨房温度传感器在灶具使用期间多次报告 MeasuredValue = None（07:04、07:28、18:46、19:07），说明传感器本身也存在间歇性故障，进一步削弱了厨房安全监测的可靠性。",
    "推理步骤5: 该家庭有儿童（儿童房有人活动），灶具使用频繁（当天至少3次开启），烟雾报警器低电量叠加温度传感器不稳定，构成了显著的火灾安全盲区。",
    "推理步骤6: 低电量告警已持续超过24小时（6月29日10:23至6月30日全天），未见电池更换或设备恢复的记录，问题处于持续恶化状态。"
  ],
  "key_evidence": [
    "kitchen_smoke_alarm BatteryAlert = 1（2026-06-29T10:23:00），低电量告警持续超过24小时未处理",
    "厨房温度在灶具开启后3分钟内从约25.1°C骤升至约30.2°C（10:30 → 10:33），升幅异常",
    "kitchen_temp_sensor 多次报告 MeasuredValue = None（07:04、07:28、18:46、19:07），传感器间歇性失效",
    "烟雾报警器在温度异常飙升时报告 SmokeState = 0，但低电量下该读数可信度不足",
    "灶具当天被多次使用（07:03、10:23、18:45），厨房是高频用火区域"
  ],
  "recommended_actions": [
    "【紧急】立即更换厨房烟雾报警器（kitchen_smoke_alarm）的电池，恢复其正常检测能力",
    "【紧急】检查厨房温度传感器（kitchen_temp_sensor）的连接和供电状态，排查间歇性报告 None 的故障原因，必要时更换设备",
    "【重要】在烟雾报警器电池更换前，避免无人看管使用厨房灶具，尤其注意儿童不得单独进入厨房",
    "【重要】检查 10:33 温度骤升事件的原因——确认灶具是否存在异常大火或油烟情况，排除灶具本身的安全隐患",
    "【建议】为烟雾报警器设置低电量自动提醒规则，确保 BatteryAlert 触发后在12小时内完成电池更换",
    "【建议】增加厨房安全联动规则：当烟雾报警器处于低电量状态时，限制灶具的远程开启功能，并在灶具开启时向住户手机推送额外警告",
    "【建议】考虑为客厅烟雾报警器（living_room_smoke_alarm）也进行一次电池状态检查，预防类似问题"
  ]
}
```

灶具当天被多次使用（07:03、10:23、18:45），厨房是高频用火区域


温度异常上升但无合理热源（空调关闭/制冷模式，灶具关闭） 上升速度超过正常烹饪或日照导致的范围

火灾风险警报，建议住户检查该区域电器

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "客厅温度传感器出现异常高温读数，随后烟雾报警器触发，高度疑似电器过热起火。",
  "reasoning": [
    "推理步骤1: 19:30 客厅温度传感器正常报告 2436（约24.36°C），但在 19:34 突然跳升至 3764（约37.64°C），4分钟内飙升超过13°C，这不是正常环境温度变化。",
    "推理步骤2: 19:39 温度读数仍为 3200（约32°C），虽略有下降但仍远高于正常室温，且此时客厅空调处于制冷模式运行中（SystemMode=3），正常情况下温度不应如此异常。",
    "推理步骤3: 19:44 客厅烟雾报警器触发（SmokeState=1），确认存在烟雾，与温度异常高度吻合，形成火灾证据链。",
    "推理步骤4: 异常温度出现在客厅区域，当时客厅有人活动（18:04 运动传感器触发），空调和主灯均在运行，可能是空调或其他电器过热引发。",
    "推理步骤5: 20:00 的定时温度报告恢复至 2416（约24.16°C），说明火情可能已被控制或传感器恢复正常，但烟雾报警未见复位记录，需确认现场安全。"
  ],
  "key_evidence": [
    "19:34 客厅温度传感器异常读数 3764（约37.64°C），较4分钟前的24.36°C飙升13°C",
    "19:39 客厅温度传感器读数 3200（约32°C），持续异常高温",
    "19:44 客厅烟雾报警器触发 SmokeState=1，确认有烟雾产生",
    "客厅空调当时处于制冷运行状态（18:04开启，SystemMode=3），可能是过热源",
    "厨房温度传感器多次报告 None 值，存在传感器故障迹象，降低了厨房区域的监测能力"
  ],
  "recommended_actions": [
    "立即通知住户并拨打119火警电话，确认现场是否有明火",
    "远程关闭客厅空调（living_room_ac）及所有客厅电器，切断可能的过热源",
    "远程开启客厅窗帘（living_room_window_1）辅助通风散热排烟",
    "远程解锁入户门锁（front_door_lock）确保逃生通道畅通",
    "关闭全屋非必要电器，防止电路过载扩大火情",
    "检查客厅烟雾报警器是否复位，若持续报警需派人现场确认",
    "事后排查客厅空调及周边电器是否存在短路、过载或散热故障",
    "修复厨房温度传感器（多次报告None），确保全屋监测覆盖完整"
  ]
}
```

客厅温度传感器出现异常高温读数，随后烟雾报警器触发，高度疑似电器过热起火。

19:39 客厅温度传感器读数 3200（约32°C），持续异常高温

19:44 客厅烟雾报警器触发 SmokeState=1，确认有烟雾产生

立即通知住户并拨打119火警电话，确认现场是否有明火

远程解锁入户门锁（front_door_lock）确保逃生通道畅通

关闭全屋非必要电器，防止电路过载扩大火情

检查客厅烟雾报警器是否复位，若持续报警需派人现场确认

事后排查客厅空调及周边电器是否存在短路、过载或散热故障

修复厨房温度传感器（多次报告None），确保全屋监测覆盖完整


门关闭后玄关再次检测到运动 同时有两个不相邻房间的运动信号（住户在客厅，另一人在次卧） 住户是独居的情况下不应有第二个人

疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "19:49 有人通过合法用户开门后尾随进入室内，客厅和次卧同时出现占用信号，疑似未授权人员入侵。",
  "reasoning": [
    "推理步骤1: 19:49:00 入户门锁通过合法方式解锁（LockOperationType=1 即 Lock/Unlock，OperationSource=3 即密码/PIN 操作，UserIndex=1 即户主），门锁事件本身是正常的。",
    "推理步骤2: 19:49:02 门打开（contact=False），19:49:08 门关闭（contact=True），开门持续约6秒，属于正常时长。",
    "推理步骤3: 19:49:04 玄关检测到有人，19:49:10 客厅检测到有人——这是户主从玄关走向客厅的正常动线。",
    "推理步骤4: 关键异常——19:49:12 玄关再次检测到占用（Occupancy=1），说明在户主已经走到客厅之后，玄关仍有人体存在。如果只有一人进入，此时玄关应无人。",
    "推理步骤5: 19:49:15 客厅和次卧同时报告 Occupancy=1。同一时刻两个不相邻的区域同时有人，说明室内至少存在两人。但门锁记录仅显示一次开锁事件、一个用户（UserIndex=1），没有第二次合法认证。",
    "推理步骤6: 全天日志显示从 00:00 到 19:49 之前，无任何运动传感器触发、无门锁事件，说明白天家中无人。19:49 是当天第一次有人回家，不存在'家中已有其他家庭成员'的可能。",
    "推理步骤7: 综合判断——一次开锁、一个用户认证，但室内出现至少两人的运动轨迹，且第二人没有经过任何身份验证，符合'尾随入室'（tailgating）的典型模式。"
  ],
  "key_evidence": [
    "19:49:00 仅一次门锁认证事件（UserIndex=1），全天无其他开锁记录",
    "19:49:12 户主已到达客厅后，玄关再次检测到人体占用，表明有第二人经过玄关",
    "19:49:15 客厅（living_room）和次卧（second_bedroom）同一秒同时报告占用，证实室内至少两人",
    "全天 00:00-19:49 期间无任何运动传感器触发，排除家中已有其他住户的可能"
  ],
  "recommended_actions": [
    "立即触发室内警报（声光报警），对潜在入侵者形成威慑",
    "自动锁定入户门锁（front_door_lock），防止入侵者轻易逃脱或更多人进入",
    "向户主手机推送高优先级通知，附带事件时间线，确认是否为已知访客",
    "如户主确认非已知人员，立即联系物业安保或报警（110）",
    "调取楼道/门口监控录像（如有），核实尾随人员身份",
    "开启全屋灯光（所有房间），消除入侵者藏匿的暗区",
    "记录并保存本次完整事件日志作为证据，包括门锁操作记录和所有传感器触发时序",
    "事后建议：在入户门外增设摄像头或门铃摄像头，启用门锁的'反尾随'模式（如开门后检测到多人通过则告警）"
  ]
}
```

立即触发室内警报（声光报警），对潜在入侵者形成威慑

向户主手机推送高优先级通知，附带事件时间线，确认是否为已知访客

如户主确认非已知人员，立即联系物业安保或报警（110）

调取楼道/门口监控录像（如有），核实尾随人员身份

开启全屋灯光（所有房间），消除入侵者藏匿的暗区

记录并保存本次完整事件日志作为证据，包括门锁操作记录和所有传感器触发时序


漏水传感器持续触发超过10分钟
全屋无人（所有 occupancy = 0，门锁为 Locked）
无人处理导致损失持续扩大

紧急通知住户，如有智能水阀立即关闭

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "次卫漏水传感器在住户就寝后持续报警超过30分钟，且无人处理，存在水损扩大风险。",
  "reasoning": [
    "推理步骤1: 次卫漏水传感器在21:19首次报警（StateValue=True），随后21:29、21:49持续报警，说明漏水未被止住，持续至少30分钟。",
    "推理步骤2: 16:14家中有人回来（儿童放学），17:42另一位住户回家，但22:28主卧灯关闭、窗帘关闭、前门上锁，表明住户已就寝。漏水从21:19开始，住户在22:28入睡，期间未对漏水做出响应。",
    "推理步骤3: 次卫靠近儿童房，长时间漏水可能导致地板渗水、墙体受损，甚至影响楼下邻居。21:49最后一次报警后日志中无任何关阀或处理动作，说明问题仍在持续。",
    "推理步骤4: 家中无智能水阀设备可远程关闭水源，需要人工干预或紧急通知住户。"
  ],
  "key_evidence": [
    "21:19/21:29/21:49 次卫漏水传感器连续三次报警 StateValue=True，间隔约10-20分钟，持续超过30分钟",
    "22:28 住户关灯、关空调、锁门就寝，漏水期间及之后无任何处理动作",
    "日志中无水阀关闭记录，漏水状态未解除"
  ],
  "recommended_actions": [
    "立即通过手机推送、电话或短信紧急通知住户，告知次卫漏水持续未止",
    "如有智能水阀或总阀控制器，立即远程关闭次卫或全屋进水阀",
    "触发室内警报（如智能音箱/蜂鸣器）唤醒住户，提示前往次卫检查",
    "通知物业或紧急维修人员待命，若住户无法及时处理可上门关阀",
    "记录漏水起始时间和持续时长，用于后续保险理赔或维修评估",
    "建议住户安装智能水阀，实现漏水自动关阀联动，避免类似事件再次发生"
  ]
}
```

次卫漏水传感器在住户就寝后持续报警超过30分钟，且无人处理，存在水损扩大风险。

Explanation: 推理步骤4: 家中无智能水阀设备可远程关闭水源，需要人工干预或紧急通知住户。

22:28 住户关灯、关空调、锁门就寝，漏水期间及之后无任何处理动作

日志中无水阀关闭记录，漏水状态未解除

立即通过手机推送、电话或短信紧急通知住户，告知次卫漏水持续未止 如有智能水阀或总阀控制器，立即远程关闭次卫或全屋进水阀 触发室内警报（如智能音箱/蜂鸣器）唤醒住户，提示前往次卫检查 通知物业或紧急维修人员待命，若住户无法及时处理可上门关阀 记录漏水起始时间和持续时长，用于后续保险理赔或维修评估 建议住户安装智能水阀，实现漏水自动关阀联动，避免类似事件再次发生


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "19:10 入户时检测到多人同时进入，存在尾随入室嫌疑：一人开锁进门后，客厅和次卧几乎同时出现占用信号，且玄关持续有人。",
  "reasoning": [
    "推理步骤1: 19:10:00 前门锁通过合法用户（UserIndex=1）密码/指纹开锁（OperationSource=3），门打开后2秒关闭，这是正常的单人进门时间窗口。",
    "推理步骤2: 19:10:04 玄关检测到有人，19:10:10 客厅检测到有人——这符合一个人从玄关走向客厅的正常动线。",
    "推理步骤3: 但在 19:10:12 玄关再次报告 Occupancy=1，同时 19:10:15 次卧和客厅同时报告有人占用。这意味着在合法用户已经走到客厅/次卧的同时，玄关仍有人存在，且次卧与客厅同一时刻同时有人。",
    "推理步骤4: 单人不可能同时出现在客厅和次卧（不同房间），也不可能在已到达客厅后玄关仍持续有人。这表明至少有两人在室内活动。",
    "推理步骤5: 全天直到 19:10 之前无任何运动传感器触发、无门锁操作，说明白天家中无人。只有一次开锁事件却出现多人活动模式，尾随入室的可能性存在。",
    "推理步骤6: 置信度为 medium 而非 high，因为也存在合理解释：家庭成员同行回家（一人刷锁、多人一起进入），或者运动传感器灵敏度导致余热误触发。但系统应按潜在威胁处理。"
  ],
  "key_evidence": [
    "19:10:00 仅一次开锁事件（UserIndex=1），门开关间隔仅4秒",
    "19:10:15 客厅和次卧同时报告 Occupancy=1，同时 19:10:12 玄关仍报告有人，表明室内至少两人分布在不同区域",
    "全天（00:00-19:10）无任何运动传感器触发和门锁操作，白天家中无人"
  ],
  "recommended_actions": [
    "立即触发室内警报（声光报警），对潜在入侵者形成威慑",
    "通过手机推送紧急通知给户主（UserIndex=1），确认是否有同行人员；若户主确认只有自己回家，立即报警",
    "自动锁定前门锁（防止更多人进入或入侵者轻易逃离后再次进入）",
    "开启所有区域灯光（玄关灯、客厅灯、次卧灯），消除暗区，增加入侵者暴露感",
    "如有摄像头，立即开始录像并截取 19:09-19:11 时段玄关画面用于事后取证",
    "若户主 60 秒内未确认安全，自动拨打物业安保或 110 报警",
    "记录本次事件所有传感器时间线，供后续安全审计使用"
  ]
}
```

全天（00:00-19:10）无任何运动传感器触发和门锁操作，白天家中无人

立即触发室内警报（声光报警），对潜在入侵者形成威慑

自动锁定前门锁（防止更多人进入或入侵者轻易逃离后再次进入）

开启所有区域灯光（玄关灯、客厅灯、次卧灯），消除暗区，增加入侵者暴露感

若户主 60 秒内未确认安全，自动拨打物业安保或 110 报警

记录本次事件所有传感器时间线，供后续安全审计使用


烟雾报警器低电量时发生事件

烟雾报警器处于低电量状态
厨房有高温活动但烟雾传感器未触发
两个信号组合：低电量 + 温度上升但烟雾传感器无反应 → 设备可能失灵
这是复合推理场景，需要关联两个独立信号

警告住户烟雾报警器可能失灵，建议更换电池/设备

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "厨房烟雾报警器处于低电量状态，而深夜无人时灶具异常开启并引发厨房温度骤升，存在严重火灾风险。",
  "reasoning": [
    "推理步骤1: 2026-06-02T22:23:00 厨房烟雾报警器报告 BatteryAlert=1，表明电池电量低，报警器可能无法在烟雾达到阈值时正常发出警报。",
    "推理步骤2: 2026-06-03T22:21:28 主卧灯关闭、窗帘关闭、入户门锁定，全屋灯光熄灭，表明住户已全部就寝。",
    "推理步骤3: 2026-06-03T22:23:00 厨房灶具在无人操作的情况下被开启（OnOff=True）。此时无任何运动传感器检测到厨房有人活动，也无厨房灯开启，属于异常启动。",
    "推理步骤4: 2026-06-03T22:33:00 厨房温度从约2352（23.52°C）骤升至2864（28.64°C），10分钟内上升超过5°C，明显是灶具无人看管持续加热所致。",
    "推理步骤5: 同一时刻烟雾报警器报告 SmokeState=0（正常），但由于电池低电量，其检测可靠性存疑。即使当前未触发烟雾报警，灶具持续无人看管运行将导致温度继续攀升，火灾风险随时间急剧增加。",
    "推理步骤6: 截至日志结束（23:30），灶具未见关闭记录，意味着它可能已持续运行超过1小时且仍在运行中。"
  ],
  "key_evidence": [
    "2026-06-02T22:23:00 厨房烟雾报警器 BatteryAlert=1，电池电量低",
    "2026-06-03T22:23:00 全屋就寝后厨房灶具异常开启（无运动传感器触发、无厨房灯开启）",
    "2026-06-03T22:33:00 厨房温度10分钟内从23.52°C骤升至28.64°C",
    "灶具开启后直至日志结束（23:30）无关闭记录，持续无人看管运行超过1小时",
    "烟雾报警器低电量状态下报告 SmokeState=0，检测可靠性不足"
  ],
  "recommended_actions": [
    "【立即】远程关闭厨房灶具（kitchen_cook_surface），消除持续加热的火灾隐患",
    "【立即】向住户手机推送高优先级紧急通知，告知灶具异常开启及厨房温度异常升高",
    "【立即】开启厨房灯以便住户起身查看时有照明，同时打开厨房窗户通风散热",
    "【紧急】尽快更换厨房烟雾报警器电池，恢复其正常报警能力；在更换前可临时启用客厅烟雾报警器作为辅助监测",
    "【排查】调查灶具深夜无人时自动开启的原因——检查是否存在自动化规则误触发、设备固件故障或未授权的远程控制指令",
    "【预防】为灶具设置安全策略：夜间时段（22:00-06:00）禁止远程/自动开启，或设置无人看管超时自动关闭机制（如15分钟无厨房运动传感器触发则自动断电）",
    "【预防】为所有烟雾报警器设置低电量提醒阈值，在 BatteryAlert 触发后24小时内未更换电池则持续提醒并升级通知级别"
  ]
}
```

灶具开启后直至日志结束（23:30）无关闭记录，持续无人看管运行超过1小时

烟雾报警器低电量状态下报告 SmokeState=0，检测可靠性不足

【立即】向住户手机推送高优先级紧急通知，告知灶具异常开启及厨房温度异常升高

【立即】开启厨房灯以便住户起身查看时有照明，同时打开厨房窗户通风散热


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "18:32 入户开锁后，玄关和客厅几乎同时检测到人体，随后次卧也立即出现占用，存在尾随入室的可能性。",
  "reasoning": [
    "推理步骤1: 18:32:00 入户门锁通过合法凭证解锁（LockOperationType=1 即 Unlock，OperationSource=3 即 PIN/密码，UserIndex=1 即户主），门锁操作本身是正常的。",
    "推理步骤2: 18:32:02 门打开，18:32:04 玄关检测到人体，18:32:08 门关闭，18:32:10 客厅检测到人体——到此为止是一个人正常进门的流程。",
    "推理步骤3: 关键异常出现在 18:32:12 和 18:32:15：玄关再次触发占用（Occupancy=1），同时客厅和次卧也同时触发占用。这意味着在门关闭后，玄关仍有人停留或再次出现人体，而与此同时客厅和次卧已经分别有人。一个人不可能同时出现在玄关、客厅和次卧三个位置。",
    "推理步骤4: 从时间线看，户主 18:32:10 已到达客厅，18:32:12 玄关再次检测到人体，说明有第二个人在玄关区域。18:32:15 次卧和客厅同时有人，进一步印证至少有两人在室内。",
    "推理步骤5: 整个过程只有一次开锁记录、一次开关门记录，没有第二次合法的门锁认证事件，说明第二个人并非通过正常认证进入，而是在户主开门时尾随进入。",
    "推理步骤6: 置信度定为 medium 而非 high，是因为也存在合理解释：可能是家庭成员一起回家（两人同行只需开一次锁），或者运动传感器因宠物/物体移动产生了余波触发。但多房间同时占用的模式更符合尾随场景。"
  ],
  "key_evidence": [
    "18:32:00 仅一次门锁解锁事件（UserIndex=1），全天无其他开锁记录",
    "18:32:08 门已关闭，但 18:32:12 玄关再次触发 Occupancy=1，说明玄关仍有人或再次出现人体",
    "18:32:15 客厅和次卧同时触发 Occupancy=1，一个人无法同时出现在两个不同房间",
    "次卧在户主进门仅 7 秒后就检测到占用，且此前全天无任何次卧活动记录，行为突兀"
  ],
  "recommended_actions": [
    "立即触发室内警报（声光报警），对潜在入侵者形成威慑",
    "向户主手机推送高优先级通知：'检测到可能的尾随入室，次卧区域有未识别的人体活动，请确认是否为家庭成员'",
    "自动锁定入户门（front_door_lock 发送 Lock 指令），防止更多人进入或入侵者轻易逃脱后再次进入",
    "开启全屋灯光（所有房间灯打开），消除入侵者可能利用的暗处藏匿条件",
    "如果家中有摄像头或可视门铃，立即开始录像并保存片段作为证据",
    "若户主在 60 秒内未确认为误报，自动联系物业安保或拨打 110 报警",
    "记录并保留 18:32:00–18:32:15 时间段所有传感器原始日志，供后续调查取证",
    "事后建议：为入户门加装摄像头，启用门锁的多人进入检测功能；考虑在玄关增加人数统计传感器以更精确识别尾随行为"
  ]
}
```

次卧在户主进门仅 7 秒后就检测到占用，且此前全天无任何次卧活动记录，行为突兀

立即触发室内警报（声光报警），对潜在入侵者形成威慑

开启全屋灯光（所有房间灯打开），消除入侵者可能利用的暗处藏匿条件

如果家中有摄像头或可视门铃，立即开始录像并保存片段作为证据

若户主在 60 秒内未确认为误报，自动联系物业安保或拨打 110 报警


住户外出期间（门锁显示已锁+无人在家）窗户被打开
随后出现多房间运动信号
入侵者未使用门锁（无 LockOperation 事件）

触发入侵警报，通知住户，建议报警

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "14:15主卧窗户在无人占用时被从外部打开，随后出现人体活动，疑似撬窗入室。",
  "reasoning": [
    "推理步骤1: 14:15主卧窗户传感器报告StateValue=False（窗户打开），但此前主卧运动传感器无人体检测（Occupancy=0），说明窗户不是由室内人员打开的。",
    "推理步骤2: 窗户打开8秒后（14:15:08）主卧运动传感器检测到人体（Occupancy=1），时序上符合从窗户外部进入室内的模式。",
    "推理步骤3: 14:16客厅运动传感器也检测到活动（Occupancy=1），说明入侵者可能从主卧移动到了客厅区域。",
    "推理步骤4: 14:18窗户被关闭（StateValue=True），随后主卧运动传感器立即归零（14:18:05），整个过程仅持续约3分钟，行为短促且有意掩盖痕迹。",
    "推理步骤5: 整个事件期间入户门锁和入户门传感器无任何触发记录，排除了住户正常从大门进入后开窗通风的可能性。"
  ],
  "key_evidence": [
    "14:15 主卧窗户在室内无人时被打开（窗户传感器StateValue=False，此前Occupancy=0）",
    "14:15:08 窗户打开仅8秒后主卧检测到人体活动",
    "事件期间入户门锁和入户门传感器无任何开启记录，排除正常入户",
    "整个过程仅约3分钟，窗户随即被关闭，行为模式异常短促"
  ],
  "recommended_actions": [
    "立即触发全屋警报（声光报警），震慑入侵者",
    "自动锁定入户门锁（front_door_lock），防止入侵者从正门逃离或再次进入",
    "向户主手机推送紧急入侵通知，附带事件时间线",
    "联系物业安保或拨打110报警，提供入侵时间（14:15-14:18）和入侵路径（主卧窗户）",
    "保存并锁定事件时段所有设备日志作为证据，防止被篡改",
    "如有摄像头，立即调取主卧及客厅14:14-14:20时段录像",
    "事后检查主卧窗户锁具是否被破坏，评估是否需要加装窗户防盗锁或震动报警器",
    "建议为高层以外住户的窗户加装入侵检测联动规则：窗户开启+室内无人时自动触发预警"
  ]
}
```

14:15主卧窗户在无人占用时被从外部打开，随后出现人体活动，疑似撬窗入室。

14:15:08 窗户打开仅8秒后主卧检测到人体活动

事件期间入户门锁和入户门传感器无任何开启记录，排除正常入户

整个过程仅约3分钟，窗户随即被关闭，行为模式异常短促

立即触发全屋警报（声光报警），震慑入侵者

向户主手机推送紧急入侵通知，附带事件时间线

保存并锁定事件时段所有设备日志作为证据，防止被篡改

如有摄像头，立即调取主卧及客厅14:14-14:20时段录像

事后检查主卧窗户锁具是否被破坏，评估是否需要加装窗户防盗锁或震动报警器

建议为高层以外住户的窗户加装入侵检测联动规则：窗户开启+室内无人时自动触发预警


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": false,
  "confidence": "high",
  "threat_type": "none",
  "threat_description": "17:12 的入户事件为正常住户归家，未发现尾随入室的证据。",
  "reasoning": [
    "推理步骤1: 17:12 入户门锁通过合法方式解锁——LockOperationType=1（Lock/正常操作），OperationSource=3（通常对应密码/指纹/本地凭证），UserIndex=1（已注册的主用户）。这说明是授权用户主动开门，而非被撬或异常方式打开。",
    "推理步骤2: 门锁解锁后，入户门传感器在 17:12:02 变为 False（门打开），17:12:08 变为 True（门关闭），开门持续仅约 6 秒。尾随入室通常需要门保持较长时间的打开状态，或出现门反复开关的模式，这里并未出现。",
    "推理步骤3: 玄关运动传感器在 17:12:04 和 17:12:12 两次检测到有人，客厅运动传感器在 17:12:10 和 17:12:15 检测到有人，次卧运动传感器在 17:12:15 检测到有人。运动轨迹为：玄关→客厅→次卧，这是一条典型的归家后进入房间的路径，动线连贯合理。",
    "推理步骤4: 整个过程中入户门只开关了一次，没有出现二次开门或门长时间未关闭的情况。如果有尾随者，通常会看到门打开时间延长、门在关闭后短时间内再次打开、或者多个不同区域同时出现不符合单人动线的运动检测。这些特征均未出现。",
    "推理步骤5: 17:12 正值傍晚下班时段，住户归家时间合理。全天其余时段无任何入户门、门锁或玄关的异常事件，温度数据也呈现正常的昼夜变化曲线（夜间约 22.9°C，午间峰值约 25.9°C），无任何设备异常。",
    "推理步骤6: 日志中没有任何报警器触发（烟雾、漏水）、窗户/阳台门异常开启、或未授权的门锁操作事件，整体家庭安全状态正常。"
  ],
  "key_evidence": [
    "门锁通过 OperationSource=3（本地凭证）、UserIndex=1（注册主用户）合法解锁，确认为授权操作",
    "入户门仅开启约 6 秒即关闭（17:12:02 开 → 17:12:08 关），无二次开门或长时间敞开",
    "运动传感器轨迹为 玄关→客厅→次卧，符合单人归家的连贯动线",
    "全天仅此一次入户事件，无其他可疑的门窗或运动传感器触发"
  ],
  "recommended_actions": [
    "当前无需采取应急措施，本次事件判定为正常住户归家",
    "如仍有疑虑，可查看入户门处的摄像头录像（如有）确认进入人数",
    "建议保持尾随检测规则但调优阈值：可将门打开持续时间超过 15 秒、或关门后 30 秒内再次开门作为尾随告警的触发条件，以减少误报",
    "可考虑在玄关增设人数统计传感器（如 ToF 或双红外对射），从硬件层面精确检测是否有多人同时通过门口"
  ]
}
```

17:12 的入户事件为正常住户归家，未发现尾随入室的证据。

运动传感器轨迹为 玄关→客厅→次卧，符合单人归家的连贯动线

全天仅此一次入户事件，无其他可疑的门窗或运动传感器触发

当前无需采取应急措施，本次事件判定为正常住户归家

如仍有疑虑，可查看入户门处的摄像头录像（如有）确认进入人数


SmokeCoAlarm 的 COState 变为 Warning 或 Critical

CO 报警是严重安全事件，不同于烟雾报警

紧急通知所有住户撤离，开窗通风，联系燃气公司

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "health_concern",
  "threat_description": "厨房烟雾报警器于16:54检测到一氧化碳(CO)浓度升高并触发CO警报，家中有儿童在场，存在中毒风险。",
  "reasoning": [
    "推理步骤1: 16:54厨房烟雾报警器报告COState=1（CO检测到异常）、ExpressedState=2（警报激活状态）并触发COAlarm事件，确认CO浓度已达到报警阈值。",
    "推理步骤2: 回溯上下文，15:55有人通过前门进入，儿童房运动传感器随即触发（15:55:08），说明此时家中有儿童在场，CO泄漏对儿童健康威胁更大。",
    "推理步骤3: 报警时厨房灶具处于关闭状态（早晨06:50已关闭，晚间18:27才重新开启），排除当时正在烹饪导致的正常燃烧废气。CO来源可能是燃气管道微漏、热水器排气不畅或其他燃气设备故障。",
    "推理步骤4: 06:50:30厨房窗户曾被打开（StateValue=False表示非闭合），但日志中未见该窗户关闭的记录，说明厨房可能有一定通风，但CO仍然达到报警浓度，表明泄漏量不容忽视。",
    "推理步骤5: 厨房温度传感器在06:50和06:51连续报告MeasuredValue=None，18:28和19:08也出现None值，该传感器存在间歇性故障，可能影响对厨房环境的综合监测能力。",
    "推理步骤6: 报警发生后日志中未见任何人工消警、开窗通风或设备联动响应的记录，CO警报状态可能持续存在，需要立即人工干预。"
  ],
  "key_evidence": [
    "16:54:00 kitchen_smoke_alarm COState=1，确认检测到一氧化碳",
    "16:54:00 kitchen_smoke_alarm ExpressedState=2，报警器进入警报激活状态",
    "16:54:00 kitchen_smoke_alarm 触发COAlarm事件",
    "报警时厨房灶具处于关闭状态（06:50已关），非烹饪产生的正常燃烧废气",
    "15:55:08 儿童房运动传感器触发，确认报警时家中有儿童在场",
    "厨房温度传感器多次报告None值，存在传感器故障，削弱环境监测能力"
  ],
  "recommended_actions": [
    "【立即】通知所有在家人员（尤其是儿童）立即撤离至室外通风处，不要使用明火或电气开关",
    "【立即】远程或手动打开所有门窗进行通风：开启厨房窗户、阳台门、客厅窗帘/窗户，最大化空气流通",
    "【立即】关闭家中燃气总阀，切断可能的CO泄漏源",
    "【立即】拨打燃气公司紧急热线和119报警，请求专业人员上门检测CO来源",
    "【紧急】如有人出现头晕、恶心、头痛等CO中毒症状，立即拨打120急救电话",
    "【短期】联系专业人员检查厨房燃气灶具、热水器、燃气管道等所有可能的CO排放源",
    "【短期】检修厨房温度传感器（多次报告None值），确保环境监测系统完整可靠",
    "【长期】建议在厨房和其他有燃气设备的房间增设独立CO探测器，实现多点监测",
    "【长期】配置CO报警联动自动化规则：触发时自动关闭燃气阀门、打开门窗、开启排风、推送紧急通知到所有家庭成员手机"
  ]
}
```

报警时厨房灶具处于关闭状态（06:50已关），非烹饪产生的正常燃烧废气

15:55:08 儿童房运动传感器触发，确认报警时家中有儿童在场

厨房温度传感器多次报告None值，存在传感器故障，削弱环境监测能力

【立即】关闭家中燃气总阀，切断可能的CO泄漏源

【立即】拨打燃气公司紧急热线和119报警，请求专业人员上门检测CO来源

【紧急】如有人出现头晕、恶心、头痛等CO中毒症状，立即拨打120急救电话

【短期】联系专业人员检查厨房燃气灶具、热水器、燃气管道等所有可能的CO排放源

【短期】检修厨房温度传感器（多次报告None值），确保环境监测系统完整可靠

【长期】建议在厨房和其他有燃气设备的房间增设独立CO探测器，实现多点监测


门关闭后玄关再次检测到运动 同时有两个不相邻房间的运动信号（住户在客厅，另一人在次卧） 住户是独居的情况下不应有第二个人

疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "17:19 入户时检测到多人同时进入，客厅和次卧几乎同时出现占用信号，疑似有人尾随合法用户入室。",
  "reasoning": [
    "推理步骤1: 17:19:00 门锁通过合法方式开启（LockOperationType=1 解锁，OperationSource=3 为密码/指纹等本地操作，UserIndex=1 为注册用户），这是正常的回家行为。",
    "推理步骤2: 17:19:02 入户门打开，17:19:04 玄关检测到人，17:19:08 入户门关闭——从开门到关门仅6秒，时间合理。但随后 17:19:10 客厅检测到占用，17:19:12 玄关再次检测到占用（或持续占用），17:19:15 次卧和客厅同时检测到占用。",
    "推理步骤3: 关键异常在于 17:19:15 时刻客厅和次卧同时有人。一个人从玄关走到客厅再到次卧需要时间，不可能同时出现在两个不同房间。这表明至少有两人在室内活动。",
    "推理步骤4: 门锁记录仅有一次解锁事件（UserIndex=1），没有第二次合法开锁记录。如果是家庭成员同行，通常只需一次开锁，但次卧的即时占用模式暗示第二人直奔次卧，行为模式不像正常家庭成员一起回家（通常会先在客厅/玄关短暂停留）。",
    "推理步骤5: 全天直到17:19之前，所有运动传感器无任何触发记录，说明白天家中无人，这是一个空巢时段。尾随者可能观察到住户回家时机趁机跟入。"
  ],
  "key_evidence": [
    "17:19:15 客厅(living_room_occupancy)和次卧(second_bedroom_occupancy)同时检测到占用，单人不可能同时出现在两个房间",
    "门锁仅记录一次合法用户(UserIndex=1)解锁，无第二人的独立开锁记录",
    "17:19:12 玄关在用户已移动到客厅后再次检测到占用，暗示玄关仍有第二人"
  ],
  "recommended_actions": [
    "立即通过手机推送高优先级警报通知户主，确认是否有同行人员（家人/朋友），排除误报",
    "若户主确认无同行人员，立即远程锁定入户门（防止嫌疑人逃离或再次进入），并拨打110报警",
    "激活全屋灯光（尤其次卧、客厅、玄关），制造威慑效果，让入侵者知道已被发现",
    "如有摄像头或录像设备，立即开启录制并保存17:19前后的所有传感器日志作为证据",
    "通知物业安保人员前往查看，同时提醒户主在确认安全前不要独自进入次卧",
    "事后建议：在入户门外加装摄像头，设置尾随检测自动化规则（门锁单次开启后多房间同时占用即触发警报）"
  ]
}
```

门锁仅记录一次合法用户(UserIndex=1)解锁，无第二人的独立开锁记录

17:19:12 玄关在用户已移动到客厅后再次检测到占用，暗示玄关仍有第二人

激活全屋灯光（尤其次卧、客厅、玄关），制造威慑效果，让入侵者知道已被发现

如有摄像头或录像设备，立即开启录制并保存17:19前后的所有传感器日志作为证据

通知物业安保人员前往查看，同时提醒户主在确认安全前不要独自进入次卧


疑似尾随入侵警报，建议住户确认是否有同行人

```json
{
  "is_anomaly": true,
  "confidence": "medium",
  "threat_type": "intrusion",
  "threat_description": "18:36 入户门解锁后，短时间内多个房间同时检测到占用，疑似有未授权人员尾随家庭成员进入室内。",
  "reasoning": [
    "推理步骤1: 分析当天三次入户事件。第一次 07:12 出门（多灯关闭→开锁→关门→自动上锁），第二次 16:32 有人回家（开锁→开门→玄关有人→儿童房有人→开灯，符合孩子放学回家模式），第三次 17:41 又有人回家（开锁→开门→玄关有人→客厅有人→开灯开空调，符合成人下班回家模式）。这三次均为正常单人进出，运动传感器触发呈线性移动路径。",
    "推理步骤2: 重点分析 18:36 第四次入户事件。门锁以 OperationSource=3（远程/密码方式）由 UserIndex=1 解锁，门开（18:36:02）→门关（18:36:08）→仅6秒开门时间内，玄关（18:36:04）和客厅（18:36:10）几乎同时检测到有人。更关键的是 18:36:15 时刻，second_bedroom_occupancy 和 living_room_occupancy 同时报告占用=1，说明至少有两个人在不同房间同时存在。",
    "推理步骤3: 此时家中已有人（16:32 孩子在儿童房，17:41 成人在客厅），18:36 又有人进门。进门后 second_bedroom（次卧）立即检测到有人，而此前次卧全天无任何活动记录。一个正常归家的家庭成员不太可能在进门几秒内就出现在次卧，且同时客厅也有人——这意味着进门的不止一个人，或者有人尾随进入后直接进入了次卧。",
    "推理步骤4: 补充疑点：18:36 这次开锁后，日志中没有记录门锁重新上锁（前几次进出都有自动上锁记录），直到 22:43 才出现锁门记录，说明门可能长时间处于未锁状态，增加了安全风险。",
    "推理步骤5: 不过也存在合理解释的可能：UserIndex=1 通常是户主，可能是户主带了一位访客回家，访客被安排在次卧。因此置信度定为 medium 而非 high。"
  ],
  "key_evidence": [
    "18:36:15 second_bedroom_occupancy 和 living_room_occupancy 同时报告有人，而此前次卧全天无任何活动",
    "18:36 开锁后仅 13 秒内，玄关、客厅、次卧三个不同区域先后/同时检测到占用，移动速度不符合单人行为",
    "18:36 入户后门锁未记录自动上锁事件，与 07:12 出门时的自动上锁行为不一致",
    "该次开锁方式为 OperationSource=3（远程/密码），与当天其他手动开锁（OperationSource=Manual）方式不同"
  ],
  "recommended_actions": [
    "立即通过智能家居系统向户主手机推送安全警报，确认 18:36 进入次卧的人员是否为已知访客或家庭成员",
    "远程激活客厅和玄关区域的摄像头（如有），回放 18:36 前后的录像，确认进入人数和身份",
    "如户主确认无访客，立即远程锁定入户门（DoorLock.LockState→1），并触发全屋警戒模式（开启所有灯光、发出警报声）",
    "检查入户门锁 UserIndex=1 的凭证是否泄露，建议更换该用户的开锁密码/凭证",
    "启用门锁自动上锁策略，确保每次关门后自动上锁，避免长时间未锁定的安全漏洞",
    "在次卧和玄关增设摄像头或门磁传感器，提升对尾随入侵场景的检测能力",
    "如确认为入侵，立即报警并保留所有设备日志作为证据"
  ]
}
```

启用门锁自动上锁策略，确保每次关门后自动上锁，避免长时间未锁定的安全漏洞

在次卧和玄关增设摄像头或门磁传感器，提升对尾随入侵场景的检测能力

如确认为入侵，立即报警并保留所有设备日志作为证据


伪装开锁（被盗/复制凭证）

合法凭证开锁，但进入后的行为模式与住户不符 不开灯（住户通常到家后开灯） 如果已知住户此时在别处（如还有工作GPS等外部信息），则更可疑 本场景的难点：单看门锁事件是合法的，需要结合行为模式判断

中等可信度警报，建议住户确认是否本人操作

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "intrusion",
  "threat_description": "08:36 入户门被手动开锁进入，但老人06:59已外出且未返回，疑似被盗/复制凭证的伪装开锁入侵。",
  "reasoning": [
    "推理步骤1: 老人05:33起床，05:39去卫生间，06:07进厨房做早餐，06:40关灶，06:59手动开锁出门（LockOperationType=1, OperationSource=Manual），门关后自动上锁（LockState=1），这是正常的外出流程。",
    "推理步骤2: 08:36门锁再次被手动解锁（LockOperationType=1, OperationSource=Manual），门被打开（StateValue=False），玄关和客厅运动传感器依次触发，客厅灯被打开。但此时老人应在外出状态——没有任何证据表明老人在06:59至08:36之间返回过家中。",
    "推理步骤3: 关键异常——08:36的开锁事件使用的是 Manual（手动）方式，而非密码、指纹或远程等可追溯方式。对于独居老人的家，如果是老人本人返回，通常会使用与出门时相同的方式。更重要的是，这次开锁后门并未记录关门和自动上锁事件，说明入侵者可能让门保持了开启状态。",
    "推理步骤4: 09:16出现了第二次可疑开锁——OperationSource=8（非标准来源），携带UserIndex=1，这可能是通过复制/盗取的数字凭证（如被克隆的NFC卡、被盗的PIN码）远程或以编程方式开锁。进入后客厅灯被关闭（OnOff=False），行为模式与正常住户不同。",
    "推理步骤5: 08:36进入者在客厅活动后，直到09:16第二次开锁之间没有任何离开记录。09:16之后也没有明确的离开事件。而老人真正回家的迹象直到约12:32才出现（客厅灯关闭、卧室有人、拉窗帘午休），说明08:36-09:16期间家中的活动并非老人所为。",
    "推理步骤6: 两次入侵间隔约40分钟，且使用不同的开锁方式（Manual和Source=8），高度怀疑凭证已被复制或盗取，入侵者可能不止一人或多次尝试进入。"
  ],
  "key_evidence": [
    "06:59老人手动开锁外出，门自动上锁（LockState=1），此后无返回记录",
    "08:36门锁被Manual方式解锁（LockOperationType=1），但老人仍在外——无法解释谁在开门",
    "08:36开锁后门未记录关闭和自动上锁事件，门可能处于敞开状态",
    "09:16门锁被OperationSource=8（非标准/可疑来源）以UserIndex=1解锁，疑似使用被盗/克隆的数字凭证",
    "09:16进入后客厅灯被关闭，行为模式异常——正常访客不会主动关灯",
    "08:36至12:32之间的活动模式与老人日常习惯不符"
  ],
  "recommended_actions": [
    "立即锁定门锁：远程发送Lock指令将入户门锁强制上锁，阻止进一步出入",
    "凭证失效与重置：立即作废当前所有门锁凭证（PIN码、NFC卡、指纹），为老人重新录入全新凭证，特别关注UserIndex=1对应的凭证",
    "紧急联系：立即通知老人本人确认是否知情，同时通知紧急联系人（子女/社区）和物业安保",
    "报警处理：联系警方报案，提供08:36和09:16两次异常开锁的完整日志作为证据",
    "查看监控录像：如有门口摄像头，调取06:59至10:00时段的录像，确认入侵者身份",
    "全屋安全检查：老人回家前安排人员检查家中是否有财物丢失、设备被篡改、或隐藏的安全隐患",
    "门锁安全升级：考虑升级门锁固件，启用开锁异常告警（如非常规时段/非常规方式开锁时即时推送通知），并启用双因素认证（如密码+指纹）",
    "设置自动化规则：当老人外出状态下检测到任何开锁事件时，立即触发高优先级告警并推送至紧急联系人"
  ]
}
```

08:36开锁后门未记录关闭和自动上锁事件，门可能处于敞开状态

09:16进入后客厅灯被关闭，行为模式异常——正常访客不会主动关灯

08:36至12:32之间的活动模式与老人日常习惯不符

立即锁定门锁：远程发送Lock指令将入户门锁强制上锁，阻止进一步出入


CO 报警是严重安全事件，不同于烟雾报警

紧急通知所有住户撤离，开窗通风，联系燃气公司

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "fire_risk",
  "threat_description": "客厅一氧化碳（CO）报警器于20:10触发警报，老人在未做出任何应急处理的情况下继续正常就寝，存在严重的CO中毒风险。",
  "reasoning": [
    "推理步骤1: 20:10客厅烟雾/CO报警器报告 COState=1（CO警告）、ExpressedState=2（CO报警激活）并触发 COAlarm 事件，确认CO浓度已达到报警阈值。",
    "推理步骤2: 回溯CO可能来源——17:06-17:30厨房灶具使用了约24分钟，关火后厨房温度传感器在17:31仍报告None（可能受热影响），但灶具已于17:30关闭，距CO报警约2.5小时。更可能的来源是燃气灶不完全燃烧残留、燃气管道微漏，或室内其他燃烧源（如热水器）产生的CO在封闭环境中逐渐积累。",
    "推理步骤3: 报警触发时老人在客厅（19:31客厅有运动检测且灯光调暗至19%亮度），但报警后老人的行为序列为：20:33关客厅灯→去卫生间→20:37回卧室→关窗帘→关灯就寝。全程未见开窗（窗户contact传感器无变化）、未见开门通风（入户门保持关闭上锁状态），说明老人可能未意识到CO报警的严重性或听力/认知能力不足以做出正确应急反应。",
    "推理步骤4: 20:37卧室窗帘完全关闭（10000=100%关闭），卧室窗户传感器全天无开启记录，意味着卧室处于密闭状态。如果CO已扩散至卧室，老人在睡眠中将持续暴露于CO环境，极度危险。",
    "推理步骤5: 报警后直至23:30日志结束，未见CO报警解除（无COState=0的记录），说明CO浓度可能持续处于危险水平。厨房烟雾报警器未触发，提示CO源更可能在客厅附近或为全屋性扩散。",
    "推理步骤6: 该住户为独居老人，无其他家庭成员可协助应急，CO中毒风险因无人监护而显著放大。"
  ],
  "key_evidence": [
    "20:10 客厅CO报警触发：COState=1, ExpressedState=2, Event:COAlarm()",
    "报警后至日志结束（23:30）无CO解除记录，警报持续超过3小时",
    "全天所有窗户contact传感器无开启记录（bedroom_window_contact、living_room_window_contact均无StateValue=False），室内无通风",
    "入户门在20:37确认为关闭上锁状态（StateValue=True, LockState=1），无开门通风操作",
    "老人在CO报警后23分钟内正常就寝（20:37关灯、关窗帘），未采取任何应急措施",
    "厨房灶具当天使用三次（06:01、11:09、17:06），最后一次关闭后2.5小时触发CO报警，提示可能存在不完全燃烧或燃气泄漏"
  ],
  "recommended_actions": [
    "【立即】远程联系老人或其紧急联系人，确认老人当前状态，如无法联系应立即拨打119/120请求上门救援",
    "【立即】远程开启客厅和卧室窗帘（WindowCovering打开），如窗户支持远程控制则立即开窗通风；远程解锁入户门锁以便救援人员进入",
    "【立即】关闭家中燃气总阀（如有智能燃气阀），切断可能的CO产生源",
    "【立即】开启客厅和卧室所有灯光至最大亮度，尝试唤醒老人",
    "【短期】安排专业人员检查燃气灶具、热水器、烟道等可能的CO泄漏源，排查不完全燃烧问题",
    "【短期】检查厨房温度传感器多次报告None的故障原因，确保传感器工作正常以辅助异常检测",
    "【中期】在卧室增设独立CO报警器，确保老人睡眠区域有直接的CO监测能力",
    "【中期】配置CO报警联动自动化规则：触发时自动开窗通风、开启所有灯光、向紧急联系人发送通知、触发本地声光警报",
    "【中期】为独居老人配备可穿戴紧急呼叫设备或跌倒检测设备，弥补老人可能无法自主应急的风险"
  ]
}
```

报警后至日志结束（23:30）无CO解除记录，警报持续超过3小时

【立即】关闭家中燃气总阀（如有智能燃气阀），切断可能的CO产生源

【立即】开启客厅和卧室所有灯光至最大亮度，尝试唤醒老人

【中期】在卧室增设独立CO报警器，确保老人睡眠区域有直接的CO监测能力


漏水传感器持续触发超过10分钟
全屋无人（所有 occupancy = 0，门锁为 Locked）
无人处理导致损失持续扩大

紧急通知住户，如有智能水阀立即关闭

```json
{
  "is_anomaly": true,
  "confidence": "high",
  "threat_type": "water_leak",
  "threat_description": "卫生间漏水传感器在无人在家期间持续报警超过30分钟，存在水损风险，需立即应急处置。",
  "reasoning": [
    "推理步骤1: 老人于 07:04 手动开锁出门，门锁随后自动上锁（LockState=1），门传感器确认关闭（StateValue=True）。直到 08:34 老人回家开门，期间家中无人。",
    "推理步骤2: 在 15:59 卫生间漏水传感器首次报告 StateValue=True，随后 16:09、16:29 持续报告漏水状态，说明漏水未自行停止，持续至少 30 分钟。",
    "推理步骤3: 在漏水发生的 15:59~16:29 期间，没有任何运动传感器触发、没有灯光操作、没有门锁事件，表明老人当时在客厅且未察觉卫生间漏水，或虽在家但未前往卫生间处理。结合 08:34 回家后老人活动主要在客厅（living_room_occupancy 触发），卫生间无人关注。",
    "推理步骤4: 漏水持续且无人处置，可能导致地板浸泡、墙体渗水、电气短路等次生风险，对独居老人尤其危险（滑倒风险极高）。",
    "推理步骤5: 厨房温度传感器在灶具使用期间多次报告 MeasuredValue=None，属于附带发现的设备故障，但当前首要威胁是漏水。"
  ],
  "key_evidence": [
    "15:59 bathroom_water_leak StateValue=True，首次漏水报警",
    "16:09 bathroom_water_leak StateValue=True，漏水持续（10分钟后）",
    "16:29 bathroom_water_leak StateValue=True，漏水持续（30分钟后仍未解除）",
    "15:59~16:29 期间卫生间无运动传感器触发（bathroom_occupancy 无事件），无人前往处理",
    "整个漏水期间无任何卫生间灯光操作，确认无人进入卫生间"
  ],
  "recommended_actions": [
    "【立即】远程关闭卫生间总水阀（如已接入智能水阀），或通知物业/紧急联系人上门手动关闭水阀",
    "【立即】通过手机推送、电话、短信等多渠道向老人发送漏水警报，提醒其注意卫生间地面湿滑，避免滑倒",
    "【立即】同时通知老人的紧急联系人（子女/社区工作者），告知漏水情况及持续时长，请求协助上门查看",
    "【短期】如老人在家，语音播报提醒其不要进入卫生间，等待专业人员处理，防止滑倒受伤",
    "【短期】断开卫生间相关电气设备电源（如智能插座可控），防止漏水导致电气短路",
    "【短期】检查漏水原因：排查水管接头、马桶底座密封、热水器连接处等常见漏水点",
    "【中期】安装智能水阀并接入系统，实现漏水时自动关阀联动",
    "【中期】排查厨房温度传感器故障（多次报告 None 值），安排维修或更换",
    "【中期】在卫生间增设防滑垫，降低老人因地面积水滑倒的风险"
  ]
}
```

整个漏水期间无任何卫生间灯光操作，确认无人进入卫生间

【短期】断开卫生间相关电气设备电源（如智能插座可控），防止漏水导致电气短路

【短期】检查漏水原因：排查水管接头、马桶底座密封、热水器连接处等常见漏水点

【中期】安装智能水阀并接入系统，实现漏水时自动关阀联动

【中期】排查厨房温度传感器故障（多次报告 None 值），安排维修或更换

【中期】在卫生间增设防滑垫，降低老人因地面积水滑倒的风险