員工出勤分析：誰在建築物內、多久來一次以及停留多久

員工在場分析利用 802.1X 驗證與 RADIUS 計費，來顯示誰在建築物內、他們的存取頻率以及停留時間。透過將連線階段連結至 Microsoft Entra ID 或 Okta 等身分提供者，它能將網路連線轉換為個人出勤紀錄，而非單純的裝置計數。

什麼是員工在場分析？

員工在場分析回答了關於在您建築物內工作人員的三個問題：誰在這裡？他們多久來一次？他們停留多久？

它利用每位員工現有的登入資訊，直接從 WiFi 網路提供答案。您不需要安裝新的感測器、攝影機或刷卡機。

它與訪客分析的差異在於身分。員工裝置使用屬於特定具名人士的憑證加入網路。光是這個事實，就能將裝置數量轉化為出勤紀錄。

驗證機制能帶來哪些可衡量的指標

當員工連線至基於身分識別的網路時，網路會記錄三件事：驗證身分者是誰、連線階段何時開始，以及何時結束。從這三個事實，您可以推導出四項衡量指標：

• 個人出勤狀況： 特定具名員工、承包商或派遣人員在給定日期是否在場。
• 造訪頻率： 每個人每週或每月在每棟建築物的出勤天數。
• 在場時間： 每人每天從第一次連線到最後一次斷線的時間跨度。
• 同時段容納人數： 在星期二上午 11:00，依建築物或樓層劃分的特定在場人數。

每一項指標都來自您網路原本就會產生的驗證紀錄。

為何訪客數據是趨勢，而非精確人頭計數

訪客在場通常始於探測請求（probe request）。探測請求是手機在搜尋已知網路時廣播的簡短管理框架。它帶有 MAC 位址，但不包含任何身分資訊。

現代手機會隨機化該位址。Apple 在 iOS 14 中引進了私密 WiFi 位址。自 Android 10 起，Android 已預設使用針對每個網路隨機化的位址。

其結果是可以預見的。同一支手機在一天內可能會顯示為多台裝置。一個人攜帶手機、平板電腦和手錶會被計算為三人。行經車輛中的手機也會被算入。探測請求也落在 802.11w 保護的框架之外，正如我們的指南 受保護的管理框架：2026 年實用指南 所解釋的。

因此，請向您的董事會坦誠說明：訪客在場數據顯示的是趨勢，而非精確人數。它們適合用來比較這個星期六與上個星期六的差異。它們不是精確的人頭計數，絕不應該作為人頭計數來呈報。

透過 Captive Portal 登入的訪客屬於部分特例。Captive Portal 是在存取網際網路之前顯示的登入頁面。每位登入的訪客都有一個身分，但只有一部分訪客會選擇登入。請將 WiFi Analytics 中的登入數據視為訪客的抽樣統計。如果您計劃新增自動連線，請閱讀 Passpoint 與訪客行銷：在訪客自動連線時保留第一方資料。

	基於 Probe 的訪客出沒偵測	已登入的訪客 WiFi	員工出沒偵測（已驗證）
計算項目	所偵測到的裝置 MAC 位址	完成登入的訪客	具備工作憑證的具名人員
附加身分	無	訪客選擇分享的詳細資訊	來自身分提供者的工作身分
MAC 隨機化的影響	膨脹數據	再次光臨的裝置可能看似新裝置	無，身分在產生新 MAC 位址後依然保留
漏掉的人員	關閉 WiFi 的裝置	從未登入的訪客	未註冊裝置的員工
錯誤計入的人員	建築物外的路人	無	無
每人造訪頻率	不可靠	對再次登入的訪客而言可靠	可靠
停留時間	根據偵測結果估算	基於連線階段	基於連線階段（來自 RADIUS 帳務）
適用於人數統計	否，僅供趨勢參考	否，僅供抽樣參考	是，適用於已註冊員工
最佳用途	週與週之間的比較	重複造訪與行銷受眾	出勤、頻率與空間規劃

為什麼員工出沒偵測對您的網路至關重要？

大多數企業組織早已擁有這些資料，卻從未進行讀取分析。您的無線基地台能看到每一台加入的員工裝置，您的 RADIUS 伺服器會記錄每一次驗證。員工出沒分析能將這些記錄轉化為有價值的決策依據。

資產與空間規劃

混合辦公型態打破了總人數與固定座位之間的關聯。您需要的是按建築物和日期計算的高峰同時在場人數，而非週平均值。經過身分驗證的出沒統計會計算不重複的人數，因此同時擁有筆電、手機和平板電腦的使用者只會被計算為一人。

排班與實際狀況對比

飯店、零售門市與體育場館皆依據班表安排人力。出沒資料能顯示排班團隊實際抵達與離開的時間。落差往往集中在特定班次、據點或人力派遣公司，這能指引您從何處著手排查。

外包廠商與派遣員工

人力派遣公司的請款單是以小時化計算。為每位派遣員工建立獨立身分，讓您可以逐一比對請款時數與實際在場時間。

到職、異動與離職

出沒狀況也是一項安全性指標。將員工 WiFi 與您的身分提供者連結，當帳號被停用時，驗證就會立即停止。若離職員工的身分仍持續出現，可能代表使用了共享密碼或未撤銷的金鑰。Purple 的到職、異動與離職 (JML) 模型會在 Microsoft Entra ID、Okta 或 Google Workspace 中的帳號被停用時，同步撤銷存取權限。

員工出沒分析如何運作？

運作機制分為三個步驟：每個連線對應一個身分、記錄每個工作階段，以及將工作階段轉換為出席狀態的規則。

步驟 1：為每個連線提供一個身分

員工出席狀態取決於每個連線是否對應單一身分。實現此目標有兩種常見方法。

IEEE 802.1X 是基於連接埠之網路存取控制的標準。在 WiFi 上，裝置會在連線至網路前出示憑證。RADIUS 伺服器會對其進行檢查。RADIUS（遠端使用者驗證撥接服務，RFC 2865）是接受或拒絕每次登入的協定。

802.1X 採用多種 EAP 方法之一。使用 EAP-TLS 時，裝置會透過憑證證明身分。使用 PEAP 時，裝置會在加密隧道內傳送使用者名稱和密碼。

iPSK（身分預共享金鑰）在共享的網路名稱上，為每個人或裝置提供專屬的 WiFi 密碼。各廠商的命名有所不同：Cisco 稱之為 iPSK，HPE Aruba 稱之為 MPSK，而 Ruckus 則稱之為 DPSK。它非常適合個人手機以及無法執行 802.1X 的裝置。

Purple 的 Cloud RADIUS 將這兩種方法連結至 Microsoft Entra ID、Okta 或 Google Workspace 中的身分。出席記錄所顯示的名稱與您的目錄相同。

步驟 2：使用 RADIUS 計帳記錄每個工作階段

RFC 2866 中定義的 RADIUS 計帳（accounting）可將登入活動轉化為時間長度。當工作階段開始時，無線存取點會傳送狀態為 Start 的 Accounting-Request。當工作階段結束時，它會傳送另一個狀態為 Stop 的請求。

Stop 記錄包含 Acct-Session-Time，即以秒為單位的工作階段長度。Interim-Update 記錄會在工作階段期間按照 RFC 2869 中 Acct-Interim-Interval 屬性設定的時間間隔傳送。這些記錄能即時顯示誰目前在場，而非僅在人員離開後才顯示。

步驟 3：將工作階段轉換為出席狀態

原始工作階段資料通常較為雜亂。例如手機在樓梯間斷開 WiFi，兩分鐘後重新連線；筆記型電腦在午休時進入睡眠狀態；或者同一個人擁有三台裝置。在任何人閱讀報告之前，請先確認並同意以下規則：

• 依身分合併。 將以同一人身分進行驗證的所有裝置工作階段予以合併。
• 彌補短暫中斷。 將短於約定時間（例如 15 分鐘）的斷線視為持續出席。
• 設定最低造訪時間。 忽略低於約定長度的出席記錄，因此短暫停留不會被計為一個工作天。
• 固定天數邊界。 大夜班會跨越午夜，因此請按班次而非日曆來定義工作天。

以下是這些規則實際運作的方式。一名設施協調員的手機和筆記型電腦在星期三記錄了五個工作階段。第一個始於 08:12，最後一個結束於 17:04。其中兩次分別為四分鐘和九分鐘的中斷落在 15 分鐘的時間範圍內。計算結果為該員出席了 8 小時 52 分鐘。

將這些每日記錄按人員進行彙整，您就能掌握出勤率、頻率和佔用率。

它與您現有的系統如何搭配運作？

員工出席分析並不會取代您的門禁控制、輪班表或 HR 系統，而是填補這些系統之間的空白。

您的無線存取點

Purple 獨立於硬體之外，並作為雲端重疊（overlay）運行。它適用於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。您的存取點已經能夠傳送驗證和計費記錄，因此無需拆除重裝。閱讀 為什麼您下次的 WiFi 升級不需要新硬體 以瞭解更廣泛的案例。

您的網路設計

請將員工 WiFi 與 Guest WiFi 保持在不同的 VLAN 上。VLAN（虛擬區域網路）是用於將一組設備與另一組設備隔離的邏輯分段。此分隔可防止訪客設備混入員工在場數據，並避免員工流量進入訪客報告中。2026 年場館與企業網路最佳實踐 將更深入地探討網路分段。

您的其他資料來源

每個資料來源都能回答不同的問題。請使用此矩陣選擇合適的來源。

您的問題	最佳資料來源	原因
今天是否有具名的員工在現場？	來自 802.1X 或 iPSK 的員工在場數據	每個工作階段都附有身分資訊
員工每次造訪停留多久？	來自 RADIUS 計費的員工在場數據	停止記錄可提供工作階段長度；多數刷卡系統僅記錄進入
每棟建築物需要多少張辦公桌？	員工在場數據、尖峰同時在場人數	計算最繁忙小時的獨立人數
有多少人走進門口？	安裝於門口的計數器	計算所有人，包含未註冊設備的員工
這個星期六比上個星期六更繁忙嗎？	基於 Probe 探測的訪客在場數據	每週採用相同方法，因此趨勢具有可比性
哪些訪客會回訪，頻率如何？	已登入的 Guest WiFi	訪客在登入時選擇分享身分資訊
是否由正確的人開啟安全門？	刷卡門禁控制	在進入點進行實體控制
具體案例 scenario：餐旅業、零售業與公共部門的員工在場數據

以下三個情境採用說明性數據。它們展示了具體狀況、採取的措施以及該方法產生的可衡量結果。

一家擁有 200 間客房的飯店將房務排班與實際在場狀況進行比對

狀況。 一家擁有 200 間客房的飯店僱用了 140 名員工，涵蓋房務、廚房、前台和維修部門。週末由派遣房務人員支援。營運總監懷疑週末的房務工作延遲開始，導致 15:00 辦理入住前的客房清理速度變慢。員工入口沒有刷卡機，因此無法確認。

採取的措施。 資訊部門將正職員工遷移至 802.1X 員工 WiFi，透過 Purple 的 Cloud RADIUS 向 Microsoft Entra ID 進行驗證。每位派遣房務人員皆獲得一組獨立的 iPSK 金鑰，並在派遣結束時撤銷。現有的存取點保持不變。飯店已完成資料保護影響評估，並事先發布了員工通知。

結果。 在連續四個週末中，排班表顯示從 07:00 開始有 14 名房務員。出席數據顯示，平均到了 07:30 現場僅有 10 名不同人員，直到 08:45 才達到 14 人。這個差距出現在派遣員工的抵達時間，而非正職員工。飯店隨後在派遣合約中加入了確認抵達的查核機制。在接下來的四個週末中，07:30 前在場人數平均達到了 14 人中的 13 人。關於飯店部署的更多資訊，請參閱我們的 飯店 頁面。

擁有 40 家門市的零售連鎖店評估區經理巡店狀況

情境。 一家擁有 40 家門市的連鎖企業設有八位區經理，每位負責五家門市。政策規定每家門市每月至少要被巡視兩次。先前巡店紀錄是由區經理自行在試算表中填報，但門市經理對這些數字存有爭議。

做法。 區經理的筆記型電腦與手機透過其 Okta 身分驗證連線至 Staff WiFi。由於每家門市都廣播相同的員工網路，因此出席狀況會跟著每位經理在所有據點間進行轉移。該零售商將巡店定義為在單一門市持續停留至少 30 分鐘。

結果。 在第一個文字中，40 家門市中有 31 家達到了巡店兩次的標準。未達標的九家門市位於兩個轄區的邊緣，平均巡店次數不足一次。平均巡店時間為 95 分鐘，而預計時間為三小時。該零售商重新劃分了兩個轄區，下個月 40 家門市中即有 38 家達到標準。詳情請造訪我們的 零售 頁面。

市政廳辦公不動產規劃混合辦公模式

情境。 一個市政機構管理三棟辦公大樓，擁有 1,100 名實施混合辦公政策的員工。其主大樓設有 620 個座位。不動產管理團隊在釋出整層樓之前需要提出數據證明。

做法。 員工 WiFi 原本就已使用針對 Microsoft Entra ID 的 802.1X 驗證。市政廳啟用了 RADIUS 計費功能，並在八週內測量了每棟大樓每天的最高同時在場人數。報告僅提供給不動產管理部門，且層級僅限於大樓級別，絕不會向直屬主管揭露個人姓名。

結果。 主大樓的尖峰佔用人數在週二與週三達到 410 人。週一與週五的尖峰人數則低於 250 人。市政廳因此釋出了擁有 120 個座位的單一樓層，保留 500 個座位。這依然比觀察到的最高尖峰人數多出 90 個座位。

您應該瞭解哪些局限性？

員工出席分析對於其所測量的項目相當精準。但您必須清楚其應用範圍的邊界。

它統計的是已註冊的裝置，而不是每一個人

沒有配發工作裝置，或是從未連線至 Staff WiFi 的員工是無法被偵測到的。廚房助手和清潔人員往往屬於這一類別。您可以為他們的個人手機提供 iPSK，並在每份出勤數據旁同步陳報註冊覆蓋率。

訊號覆蓋盲區會變成出席缺口

冷藏庫、地下室與機房的訊號通常較弱。位於走入式冷凍庫內的廚師可能會從網路上斷線。過濾 bridge 規則可以隱藏短暫的斷線狀況，但持續存在的訊號死角則需要進行現場勘測。

這不是火災疏散的點名工具

裝置在人員離開後仍可能保持連線數分鐘，放在桌上的手機也依然會顯示為在場。請使用 WiFi 在場狀態來規劃人力排班，而非用來確認建築物是否已空無一人。您的消防安全管理程序仍應以現場點名為主。

這不是您的薪酬計算紀錄系統

WiFi 在場狀態僅顯示綁定員工身分的裝置何時處於連線狀態，並不能顯示特定人員何時開始工作。請繼續使用考勤系統作為薪酬計算的依據紀錄。

根據資料保護法，這屬於員工監控行為

根據 UK GDPR，測量具名員工何時在場屬於在工作場所處理個人資料。ICO 針對監控員工的指引要求保持透明度並具備明確目的。若監控行為可能帶來高風險，ICO 也要求根據第 35 條進行資料保護影響評估 (DPIA)。

由於雇主與員工之間存在權力不對等，同意聲明通常難以具備法律效力。大多數組織會轉而依賴第 6(1)(f) 條規定的合法利益。請落實第 5(1)(c) 條的資料最小化原則：僅在建築物層級進行報告，並將具名資料的存取權限限制於有實際需求的人員。在加州，自 2023 年 1 月 1 日起，員工資料已納入 CCPA 的管轄範圍。

Purple 通過 ISO 27001、GDPR、CCPA 與 Cyber Essentials 認證。此認證涵蓋我們處理資料的方式，但不包含您收集資料的目的。

接下來您應該怎麼做？

從一個問題和一座建築物開始，然後將成功的經驗擴展推廣。

1. 記錄決策。 指出資料將輔助的具體選擇：樓層釋用、排班調整或派遣合約。
2. 完成 DPIA。 設定目的、法律依據、保留期限以及誰能查看具名資料。在收集任何資料之前，請先發布員工隱私聲明。
3. 為每個連線賦予身分。 針對受控裝置，對 Microsoft Entra ID、Okta 或 Google Workspace 使用 802.1X。針對個人手機與派遣人員，請使用 iPSK。
4. 啟用 RADIUS accounting。 確認您的無線基地台會傳送 Start、Stop 與 Interim-Update 紀錄至 Purple 的 Cloud RADIUS。
5. 約定會話規則。 在所有人讀取報告之前，先設定好間隔時間窗口、最短造訪時間與日邊界設定。
6. 進行四至八週的試點運作。 將結果與您的排班表或門禁刷卡資料進行比對。在採取行動之前，請先釐清差異原因。
7. 將訪客數據分開處理。 將訪客在場狀態回報為趨勢，將員工在場狀態回報為計數。切勿將兩者相加。
8. 員工在場狀態分析非常適合輪班制與多據點的大型設施，包含擁有大量派遣人力的 醫療照護 據點。無論在哪裡，方法都是相同的：驗證人員身分、紀錄會話，並回報行為模式。

常見問題

我們需要新的無線基地台來進行員工在場狀態分析嗎？

不需要。Purple 以雲端覆蓋層（Cloud Overlay）的方式運作於您現有的無線存取點上。支援的廠商包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。出席率資料來自這些平台本身就會傳送的認證與 RADIUS 計帳紀錄。您只需要將員工網路指向 Purple 的 Cloud RADIUS，無需新增任何感測器或攝影機。覆蓋死角比硬體品牌更為關鍵，因此請先檢查後勤區域的訊號強弱。

員工出席分析是否符合 GDPR 規範？

是的，只要您在執行時具備明確目的、合法依據並完成資料保護影響評估（DPIA）。英國資訊業者局（ICO）關於監控員工的指南要求您告知員工所收集的內容與原因。雇主與員工之間很少能成立有效的同意，因此大多數組織依賴合法利益（Legitimate Interests）。請以建築物層級進行報告、設定保留期限並限制具名資料。Purple 已通過 ISO 27001 認證且符合 GDPR 規範。

與感應卡刷卡資料相比，WiFi 員工出勤資料的精確度如何？

對於每日出勤狀況，針對每位持有已註冊裝置的員工而言都非常精確。在計算「在場時間」方面，它優於大多數感應卡系統，因為 RADIUS 計帳紀錄會同時記錄會話何時結束以及何時開始。許多感應卡系統僅記錄進入。但在剛抵達與離開的前後幾分鐘精確度較低，因為裝置會在訊號覆蓋邊緣連接與斷開。請將其與感應卡搭配使用，而非取代感應卡。

我們可以將訪客 WiFi 出席數據當作訪客總人數嗎？

不行。基於偵測（Probe）的訪客數據統計的是裝置數量，而非人數。iOS 與 Android 的 MAC 隨機化機制會讓一部手機顯示為多台裝置。請將這些數據視為趨勢：本週與上週比較、此據點與彼據點比較。已登入的訪客數據僅代表選擇登入的訪客樣本。若要獲得真實的人數統計，請使用安裝於門口的人流計數器，並使用 WiFi 資料來解釋趨勢。

員工出席分析支援哪些身份驗證提供者（Identity Providers）？

Purple 與 Microsoft Entra ID、Okta 及 Google Workspace 整合。員工可以使用現有的工作身份進行認證，因此出席紀錄會帶有與您的通訊錄相同的姓名。當離職者的帳號被停用時，其網路存取權限也會一併撤銷。這種入職、異動與離職的連動也能保持出席資料的乾淨，因為前員工在帳號停用後就不會再出現。

員工需要做任何操作才能被計入嗎？

員工只需使用其工作憑證或個人 iPSK 金鑰連接一次員工 WiFi 網路。此後，裝置每次造訪都會自動重新連接，且每次會話都會被記錄。出席率來自網路紀錄，而非來自監控裝置的軟體。從未連接或關閉 WiFi 的員工不會被計入。請在報告中同時呈現註冊覆蓋率與出勤狀況，讓閱讀者瞭解數據包含哪些對象。

員工出席資料可以取代我們的工時與出勤系統嗎？

不應該，系統也不應嘗試這麼做。WiFi 在場紀錄僅顯示帶有員工身分的裝置何時連線，而非某人何時開始工作。請將其用於測試班表是否符合實際狀況以及規劃空間。如果您在行為或薪資爭議中依賴此資料，請僅將其視為佐證。請在您的員工隱私聲明中說明此用途。您的出勤管理系統仍為薪資計算的依據。