HIFN-Mamba：融合信息论正则化与线性时间选择性状态空间建模的医疗物联网入侵检测方法

《Scientific Reports》：HIFN-Mamba: hybrid information flow networks with selective state-space sequence modeling for intrusion detection in the Internet of Medical Things

　　

摘要

医疗物联网（Internet of Medical Things, IoMT）的指数级增长——这一由数十亿设备组成的基础设施，涵盖临床关键传感器、监测设备和联网医疗设备——极大地扩展了针对医疗网络的勒索软件、横向移动和协议特定漏洞利用的攻击面。现有针对该领域的深度学习入侵检测系统（IDSs）存在三个相互关联的局限性：固定的信息瓶颈超参数无法适应异构的协议分布；依赖昂贵的事后可解释性方法（如SHAP、LIME），这些方法为延迟敏感的监控流水线增加了逐样本的计算开销；以及二次代价的注意力机制，对于高吞吐量的网关检查而言成本过高。本文提出了HIFN-Mamba，一种混合架构，将双层混合信息流网络（Hybrid Information Flow Network, HIFN）主干与一系列选择性状态空间（Mamba/S6）序列块相结合。每个HIFN层端到端地学习四个信息论调节器：一个提供内在样本不变特征可解释性的静态门控向量、一个防止隐空间坍缩的幅度缩放因子、一个取代变分信息瓶颈（Variational Information Bottleneck, VIB）中固定β的信息保留系数，以及一个对隐式微分熵施加铰链约束的熵预算。我们证明了HIFN严格推广了VIB，并且所有四个调节器在任何有限训练动态下均保持有界。我们评估的一个显著特点是泄漏控制协议：在HIFN门控自身的引导下——它将一个异常主导的字段排在特征重要性首位——我们通过对CICIoMT2024的每个特征进行归一化互信息（NMI）与标签关系的审计，识别出会话级捕获标识符（identificador，NMI \(=0.95\)）和一个潜在的每次捕获时间代理（IAT，NMI \(=0.97\)）作为测试台伪影，将两者排除后，在三个随机种子下，基于严格拟合训练的70/15/15协议重新评估。在此排除伪影的协议下，HIFN-Mamba在CICIoMT2024的19类任务上达到99.23 ± 0.08%的准确率和0.9892 ± 0.0014的宏平均F1分数，在CICIoMT2024二分类上达到99.72 ± 0.04%的准确率（包含伪影特征时，同一流水线饱和在99.995–99.999%，我们仅将其报告为伪影驱动的上界），在两个跨域基准测试（UNSW-NB15、CICIDS-2017）上表现一致，且批量GPU推理延迟低于1毫秒（0.0129–0.0170毫秒/样本）。静态门控以零推理成本提供全局特征排名，补充了如SHAP等逐样本事后归因方法。据我们所知，HIFN-Mamba是第一个在明确进行泄漏控制的19类IoMT评估下，结合学习的信息论正则化与线性时间选择性状态空间建模的IoMT入侵检测系统。