TAPX-Net：面向医疗物联网网络流量的可解释流式异常检测与跨环境迁移方法

《Scientific Reports》：Attentive temporal patch filtering for explainable streaming intrusion detection in medical IoT traffic

摘要

医疗物联网（IoMT）中的网络流量构成了一个无界的多变量时间序列，其统计特性会随设备、协议和采集环境的变化而漂移；在其中检测恶意片段是一个流式时间序列分类问题，该问题受到有界每窗口延迟、对时间定位化解释的必要性以及对分布偏移鲁棒性的约束。本研究工作提出了TAPX-Net，一种窗口局部分类器，它将每个流量窗口分解为时间补丁，应用通道感知深度卷积过滤，并通过堆叠双向循环层建模补丁序列，之后经过注意力池化和双分类与重建头。每个窗口独立分类，循环状态在每个窗口边界处重置，使模型具有窗口因果性。一个时间归因模块（TAM）通过集成梯度（IG）生成补丁级和特征级的解释，并与因果输入级消融进行验证。一个特征和谐化适应阶段通过最大均值差异对齐结合有限标签微调，将训练好的模型迁移到新网络环境。在CICIoMT2024基准上，TAPX-Net在误报率（FPR）为1%时达到0.9541的召回率，在十个留出攻击类别上达到0.8963的零日攻击召回率，在所有检测指标上超越7个基线，并且在所测配置下仅使用CPU推理时，以每秒108.7个窗口的速度处理连续流，98.8%的决策在每窗口10毫秒的边界内完成。在所有攻击类别上，IG比注意力权重（AW）更紧密地跟踪因果消融，而向通用UNSW-NB15和ToN-IoT基准的跨数据集迁移（CDT）在仅使用5,000个有标签目标窗口时恢复了大部分可实现的性能增益。重建头为零日攻击召回率贡献了7.46个百分点的提升，主要集中在泛化区间。