员工在场分析：了解谁在楼内、到访频率及停留时间

员工到场分析利用 802.1X 身份验证和 RADIUS 计费来显示谁在大楼内、他们的访问频率以及停留时间。通过将会话与 Microsoft Entra ID 或 Okta 等身份提供商关联，它将网络连接转换为个人出勤记录，而非简单的设备计数。

什么是员工到场分析？

员工到场分析回答了关于在大楼内工作人员的三个问题。谁在这里？他们多久来一次？他们停留多久？

它通过 WiFi 网络，利用每位员工现有的登录信息来回答这些问题。您不需要安装新的传感器、摄像头或刷卡机。

与访客分析的区别在于身份信息。员工设备使用属于特定名义个人的凭据连接到网络。仅这一个事实，就能将设备计数转化为出勤记录。

身份验证如何带来可衡量性

当员工连接到基于身份的网络（Identity-Based Network）时，网络会记录三件事。它知道谁通过了验证、会话何时开始以及何时结束。基于这三个事实，您可以得出四项指标：

• 按个人出勤。 指定的员工、承包商或代理机构工作人员在特定日期是否在场。
• 访问频率。 每人按大楼计算，每周或每月到场的出勤天数。
• 在大楼停留时间。 每人每天从首次连接到最终断开连接的时间跨度。
• 实时并发占用率。 周二上午 11:00 时，按大楼或楼层计算的具体在场人数。

每项指标都来自于您网络已经生成的身份验证记录。

为什么访客数据是趋势而非确切人数

访客到场检测通常始于探测请求（probe requests）。探测请求是手机在搜索已知网络时广播的简短管理帧。它包含一个 MAC 地址，但没有任何身份信息。

现代手机会对该地址进行随机化处理。Apple 在 iOS 14 中引入了私有 WiFi 地址。自 Android 10 以来，Android 默认使用按网络随机化的地址。

结果是可以预见的。一部手机在一天内可能会显示为多个设备。一个人携带手机、平板电脑和手表，就会显示为三个设备。路过车辆中的手机也会被记录下来。正如我们在 保护性管理帧：2026年实用指南 中所解释的，探测请求也不属于 802.11w 所保护的帧范畴。

因此，请向您的董事会坦诚说明。访客到场数据反映的是趋势，而非精准的人数统计。它们非常适合用来对比本周六与上周六的情况。但它们绝不是确切的人数头计数，绝不应该作为实际人数进行汇报。

通过 Captive Portal 登录的访客属于部分例外情况。Captive Portal 是在连接互联网前显示的登录页面。每个已登录的访客都有一个身份信息，但只有一部分访客会选择登录。请将 WiFi Analytics 中的已登录数据视为访客的一个采样样本。如果您计划添加自动连接功能，请阅读 Passpoint 与访客营销：在访客自动连接时保留第一方数据。

	基于探针的访客感知	已登录访客 WiFi	员工感知（已身份验证）
统计内容	探测到的设备 MAC 地址	完成登录的访客	拥有工作凭据的具名人员
关联的身份	无	访客选择共享的详细信息	来自身份提供者的工作身份
MAC 随机化的影响	导致数据虚高	返回的设备可能显示为新设备	无影响，更换新 MAC 地址后身份依然保留
遗漏的对象	关闭 WiFi 的设备	从不登录的访客	未注册设备的员工
错误包含的对象	建筑物外的过路人	无	无
单人访问频率	不可靠	对于再次登录的访客可靠	可靠
在场时间	根据探测记录估算	基于会话	基于会话，来自 RADIUS 计费数据
是否适合计人数	不适合，仅反映趋势	不适合，仅作为样本	适合，适用于已注册员工
最佳用途	周同比比较	重复访问与营销受众分析	考勤、频次及空间规划

为什么员工感知对您的网络至关重要？

大多数企业已经拥有这些数据，却从未进行过解读。您的接入点能够感知到连接进来的每一台员工设备，您的 RADIUS 服务器会记录每一次身份验证。员工感知分析可以将这些记录转化为明智的决策。

地产与空间规划

混合办公打破了员工人数与工位之间的固定联系。您需要的是按建筑物和日期统计的并发在线峰值，而非每周平均值。已身份验证的感知功能可以统计独立个体，因此即使某人同时使用笔记本电脑、手机和平板电脑，也只会被计为一人。

排班与实际情况对比

酒店、门店和体育场馆通常按排班表配置员工。感知数据可以显示已排班团队何时到达和离开。人员缺口往往集中在特定的班次、站点或外包机构，这有助于您精准定位问题所在。

承包商与外包员工

外包服务按小时计费。通过为每位外包员工分配独立身份，您可以逐人对比计费工时与实际在场时间。

入职、异动与离职

感知数据也是一种安全信号。将 Staff WiFi 与您的身份提供者关联后，停用的账号将停止身份验证。如果已离职人员的身份仍旧出现，则意味着可能存在共享密码或未撤销密钥的问题。Purple 的入职、异动与离职 (JML) 模型会在账号于 Microsoft Entra ID、Okta 或 Google Workspace 中被停用时，自动撤销其访问权限。

员工感知分析是如何工作的？

运作机制分为三个步骤：每次连接对应一个身份、记录每个会话，以及将会话转化为驻留状态的规则。

第 1 步：为每次连接指定一个身份

员工驻留状态依赖于每次连接对应一个身份。实现这一目标有两种常见方法。

IEEE 802.1X 是基于端口的网络接入控制标准。在 WiFi 上，设备在接入网络前需出示凭据。RADIUS 服务器会对这些凭据进行核验。RADIUS（远程身份验证拨入用户服务，RFC 2865）是用于接受或拒绝每次登录的协议。

802.1X 支持多种 EAP 方法之一。使用 EAP-TLS 时，设备通过证书证明身份。使用 PEAP 时，设备会在加密隧道内发送用户名和密码。

iPSK（身份预共享密钥）在共享网络名称上为每台设备或每位员工提供专属的 WiFi 密码。不同厂商对其命名有所不同：Cisco 称其为 iPSK，HPE Aruba 称其为 MPSK，Ruckus 则称其为 DPSK。它适用于个人手机以及无法运行 802.1X 的设备。

Purple 的 Cloud RADIUS 将这两种方法与 Microsoft Entra ID、Okta 或 Google Workspace 中的身份相关联。驻留记录所显示的名称与您的目录完全一致。

第 2 步：使用 RADIUS 记账功能记录每个会话

RFC 2866 中定义的 RADIUS 记账功能可将登录转化为时间数据。当会话开始时，无线接入点会发送状态为“Start”的 Accounting-Request。当会话结束时，它会发送另一个状态为“Stop”请求。

Stop 记录包含 Acct-Session-Time，即以秒为单位的会话时长。Interim-Update 记录会在会话期间按照 RFC 2869 中 Acct-Interim-Interval 属性设定的时间间隔持续发送。它们能够展示当前的实时在场人员，而不仅仅是在人员离开后才提供数据。

第 3 步：将会话转化为驻留状态

原始会话数据通常包含干扰信息。例如手机在楼梯间断开 WiFi 并在两分钟后重新连接；笔记本电脑在午休期间进入睡眠状态；或者同一个人拥有三台设备。在任何人阅读报告之前，请先确认并统一以下规则：

• 按身份合并。 将以同一身份进行认证的所有设备的会话进行合并。
• 桥接短暂中断。 将小于设定时间窗口（例如 15 分钟）的断开连接视为连续驻留。
• 设置最短访问时长。 忽略低于设定时长的驻留，确保短暂停留不会被误计为完整的工作日。
• 确定日间界限。 夜班通常会跨越午夜，因此应按班次而非日历天来定义工作日。

以下是这些规则的实际应用示例。在某个星期三，一名设施协调员的手机和笔记本电脑共记录了五次会话。第一次始于 08:12，最后一次止于 17:04。期间两次分别为 4 分钟和 9 分钟的中断均小于 15 分钟的阈值时间窗口。最终计算结果为：该员工驻留时长为 8 小时 52 分钟。

将这些每日记录汇总到所有人员，您就能掌握出勤率、出勤频率和场地占用率。

它与您现有的系统如何协同工作？

员工驻留分析不会取代您的门禁控制、排班或人力资源系统。它是对这些系统之间盲区的有效补充。

您的无线接入点

Purple 与硬件无关，以云端叠加层的形式运行。它可与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 协同工作。您的无线接入点已具备发送认证与记账记录的功能，因此无需拆除或更换现有设备。阅读 为什么您的下一次 WiFi 升级不需要新硬件 了解更多信息。

您的网络设计

请将员工 WiFi 和 访客 WiFi 保持在独立的 VLAN 上。VLAN（虚拟局域网）是一个逻辑网段，用于将一组设备与另一组设备隔离。这种隔离可以防止访客设备影响员工在线数据，同时也能避免员工流量干扰访客报告。2026年场馆与企业网络最佳实践 更深入地介绍了网络切片与隔离。

您的其他数据源

每个数据源都能回答不同的问题。请参考以下矩阵选择最合适的数据源。

您的问题	最佳数据源	原因
今天指定的员工是否在场？	来自 802.1X 或 iPSK 的员工在线状态	每个会话都绑定了身份信息
员工每次出勤停留多长时间？	来自 RADIUS 记账的员工在线状态	停止记录提供会话时长；大多数门禁刷卡系统仅记录进入时间
每栋大楼需要多少张办公桌？	员工在线状态、高峰期并发占用率	计算最繁忙时段的具体人数
有多少人走进了大门？	安装在门上的客流计数器	统计所有人，包括未注册设备的员工
这周六比上周六更繁忙吗？	基于探针的访客在线状态	每周使用相同的方法，因此趋势具有可比性
哪些访客会再次光临，频率如何？	已登录的访客 WiFi	访客在登录时选择分享其身份信息
是否由正确的人员开启了安全门？	刷卡门禁系统	在入口点进行物理安全控制

实际案例：酒店、零售与公共部门的员工在线状态分析

以下三个案例采用了说明性数据。它们展示了实际情况、采取的措施以及该方法产生的可衡量结果。

拥有 200 间客房的酒店：将客房排班与实际在线状态匹配

情况。 一家拥有 200 间客房的酒店聘用了 140 名员工，涵盖客房部、厨房、前台和维保部门。中介客房保洁人员负责周末的工作。运营总监怀疑周末客房服务启动较晚，导致在 15:00 入住时间之前的客房打扫周转缓慢。员工入口没有安装刷卡机，因此无法进行核查。

采取的措施。 IT 部门将正式员工迁移至 802.1X 员工 WiFi，通过 Purple 的 Cloud RADIUS 对 Microsoft Entra ID 进行身份验证。每名中介保洁人员都获得了一个独立的 iPSK 密钥，在其服务结束时予以注销。现有的无线接入点保持不变。酒店先完成了数据保护影响评估，并向员工发布了通知。

**结果。**在连续四个周末中，排班表显示有 14 名家政人员从 07:00 开始上班。存在感数据表明，07:30 时现场平均只有 10 名不同人员，直到 08:45 才达到 14 人。这种差距源于中介外包人员的到达时间，而非正式员工。酒店随后在其中介合同中增加了“确认到岗”复核条款。接下来的四个周末中，07:30 前到岗人数提升至平均 13/14 人。有关酒店部署的更多信息，请访问我们的 酒店 页面。

某拥有 40 家门店的零售连锁企业评估区域经理巡店情况

**状况。**某拥有 40 家门店的连锁企业配备了八名区域经理，每人负责五家门店。公司规定每家门店每月至少接受两次巡店。过去巡店情况由个人在电子表格中自行上报，但门店经理经常对这些数据提出异议。

**应对措施。**区域经理的笔记本电脑和手机通过其 Okta 身份接入 Staff WiFi。所有门店广播相同的员工网络，因此存在感数据可以跟踪每位经理在整个区域内的行程。该零售商将一次有效巡店定义为在一家门店连续停留至少 30 分钟。

**结果。**在第一个月，40 家门店中有 31 家达到了两次巡店的标准。未达标的九家门店位于两个区域的边缘，平均巡店次数不足一次。平均巡店时长为 95 分钟，而计划时长为 3 小时。该零售商重新划分了这两个区域，接下来的一个月里，40 家门店中有 38 家达到了标准。了解更多信息，请访问我们的 零售 页面。

某议会办公区域针对混合办公模式进行规划

**状况。**某议会管理着三栋办公楼，共 1,100 名员工实行混合办公政策。其主楼拥有 620 个工位。不动产管理团队在腾退一层楼之前需要取得数据支撑。

**应对措施。**Staff WiFi 已结合 Microsoft Entra ID 使用了 802.1X。议会开启了 RADIUS 记账功能，并连续八周按天测量每栋楼的最高峰值并发独立人数。报告仅在建筑层级提交给不动产团队，绝不向直属经理透露个人姓名。

**结果。**主楼的最高出勤人数在周二和周三达到了 410 人。周一和周五的峰值低于 250 人。议会腾退了一层包含 120 个工位的办公楼层，保留了 500 个工位。这仍比观察到的最高峰值多出 90 个工位。

您应该了解哪些局限性？

员工存在感分析对于其所测量的项目是准确的。但您需要清楚其适用边界。

它统计的是已登记设备，而非每一个人

没有工作设备或从未接入 Staff WiFi 的员工是不可见的。厨房杂工和清洁人员往往属于这一群体。可以为其个人手机提供 iPSK，并在每项考勤数据旁一并报告登记覆盖率。

信号覆盖盲区会变成存在感盲区

冷库、地下室和机房的信号往往较弱。步入式冷冻室里的厨师可能会断开网络。弥合规则可以隐藏短暂的断网，但长期存在的盲区需要进行现场勘测。

它不能替代疏散名册

设备可能会在人员离去后的数分钟内保持连接状态，放在办公桌上的手机也依然会显示为在线。请使用 WiFi 驻留数据来规划人员配备，而非用来确认建筑物是否已空无人影。您的消防指挥流程仍应以点名为准。

这不是您的薪酬记录系统

WiFi 驻留数据仅显示绑定员工身份的设备何时处于连接状态，并不代表员工何时开始工作。请继续将考勤系统作为薪酬计算的唯一依据。

根据数据保护法律，这属于员工监控

在 UK GDPR 框架下，记录特定具名员工何时在场属于在工作场所处理个人数据。英国信息监管局（ICO）关于监控员工的指南要求保持透明度并具备明确目的。根据第 35 条规定，在监控可能存在高风险的情况下，还需要进行数据保护影响评估（DPIA）。

鉴于雇主与员工之间存在不对等的关系，同意条款通常难以生效。大多数组织转而依赖第 6(1)(f) 条规定的合法利益。请落实第 5(1)(c) 条的数据最小化原则：仅在建筑物层级进行报告，并将具名数据的使用权限限制给有需要的人员。在加利福尼亚州，自 2023 年 1 月 1 日起，员工数据已纳入 CCPA 的管辖范围。

Purple 已通过 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证。认证涵盖了我们处理数据的方式，但不包含您收集数据的具体目的。

接下来您应该做什么？

从一个问题和一个楼宇开始，然后再推广有效的经验。

1. 明确决策目标。 列出数据将辅助的具体选择：退租某一层楼、调整排班表或变更劳务派遣合同。
2. 完成 DPIA。 明确使用目的、合法性基础、数据保留期限以及具名数据的查看权限。在收集任何数据之前，先向员工发布隐私声明。
3. 为每次连接赋予身份标识。 针对托管设备，结合 Microsoft Entra ID、Okta 或 Google Workspace 使用 802.1X。针对个人手机和外包派遣员工，请使用 iPSK。
4. 开启 RADIUS 记账。 确认您的无线接入点向 Purple 的 Cloud RADIUS 发送 Start、Stop 和 Interim-Update 记录。
5. 约定会话规则。 在任何人解读报告之前，先确定时间间隔窗口、最短访问时长和每日结算界限。
6. 试运行四到八周。 将分析结果与您的排班表或刷卡考勤数据进行比对。在根据差异采取行动之前，先理清造成差异的原因。
7. 将访客数据分开统计。 将访客驻留情况作为趋势报告，将员工驻留情况作为具体数值报告。切勿将两者混为一谈。

员工驻留分析适用于轮班制和多分支机构的场所，包括拥有大量派遣员工的 医疗卫生 机构。其实现方法在各地均一致：认证身份、记录会话、分析模式。

常见问题解答

我们是否需要专门为员工驻留分析配备新的接入点？

不需要。Purple 作为云叠加层运行在您现有的 AP 接入点上。支持的厂商包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。存在感知数据来自这些平台本身就会发送的身份验证和 RADIUS 记账记录。您只需将员工网络指向 Purple 的 Cloud RADIUS，无需添加任何传感器或摄像头。覆盖盲区比硬件品牌更重要，因此请先检查后勤区域的信号。

员工存在感知分析符合 GDPR 要求吗？

是的，只要您在运行时具备明确的目的、合法依据并进行了数据保护影响评估。ICO 关于监控员工的指南要求您告知员工收集的内容和原因。雇主和员工之间的同意声明通常很难生效，因此大多数组织依赖于合法利益。请在建筑层级进行报告、设置保留期限并限制具名数据。Purple 已通过 ISO 27001 认证并符合 GDPR。

与刷卡门禁数据相比，WiFi 员工出勤率的准确性如何？

对于日常出勤，每个携带已注册设备的员工数据都是准确的。在记录在场时间方面，它优于大多数门禁刷卡系统，因为 RADIUS 记账既记录会话何时结束，也记录何时开始。许多刷卡系统仅记录进入。在最初和最后几分钟，由于设备在信号覆盖边缘连接和断开，精确度会稍低。请将其与门禁卡结合使用，而不是替代门禁卡。

我们能否将访客 WiFi 存在感知数据用作访客总人数统计？

不能。基于探测（Probe）的访客数据统计的是设备，而不是人。iOS 和 Android 上的 MAC 地址随机化会让一部手机显示为多个设备。请将这些数据视为一种趋势：本周与上周相比，本站点与另一站点相比。已登录的访客数据只是选择登录的访客样本。要获取真实的访客人数，请使用门装式人流量计数器，并使用 WiFi 数据来解释趋势。

员工存在感知分析支持哪些身份提供商？

Purple 与 Microsoft Entra ID、Okta 和 Google Workspace 集成。员工使用现有的工作身份进行验证，因此存在感知记录包含与您的目录相同的姓名。当离职人员的账户被禁用时，其网络访问权限也会随之撤销。这种入职、异动和离职联动机制还能保持存在感知数据的干净，因为前员工的账户一经注销就会停止显示。

员工需要做些什么才能被计入统计吗？

员工只需使用工作凭据或个人 iPSK 密钥连接一次员工 WiFi 网络。此后，设备在每次访问时都会自动重新连接，每个会话都会被记录。存在感知来自网络记录，而不是来自监控设备的软件。从未连接过或关闭 WiFi 的员工不会被计入。请在报告出勤率的同时报告注册覆盖率，以便阅读者了解数据包含的人员范围。

员工存在感知数据能否替代我们的考勤系统？

不应该，系统也不应尝试这样做。WiFi 存在感数据仅显示持有员工身份标识的设备何时连接了网络，而非某人何时开始工作。请将其用于检验排班表是否符合实际情况以及规划空间。如果您在行为或薪酬争议中依赖该数据，请仅将其作为辅助证据。请在员工隐私声明中明确说明此用途。您的考勤系统仍是薪酬计算的唯一依据。