《Journal of Cybersecurity and Privacy》：A Blockchain-Assisted Ensemble Learning Model for Real-Time Anomaly Detection in Industrial Cyber–Physical Systems
编辑推荐：
工业信息物理系统（ICPS）支持实时工业运营，其中不准确或被篡改的异常分数是严重关切。许多传统方法侧重于异常检测，而未解决检测决策的防篡改日志记录问题。本文提出了一种区块链辅助的集成异常检测框架，该框架结合了孤立森林（Isolation Forest）、单类支
工业信息物理系统（ICPS）支持实时工业运营，其中不准确或被篡改的异常分数是严重关切。许多传统方法侧重于异常检测，而未解决检测决策的防篡改日志记录问题。本文提出了一种区块链辅助的集成异常检测框架，该框架结合了孤立森林（Isolation Forest）、单类支持向量机（One-Class Support Vector Machine）和稀疏注意力自编码器（Sparse Attention Autoencoder）。检测分数使用因果滑动窗口归一化（causal sliding-window normalization）进行归一化，并使用基于F2分数的加权融合（F2 score-based weighted fusion）进行组合。融合权重在从测试数据中排除的小型标注验证子集上进行校准。对于每个检测到的事件，决策证据被确定性序列化，使用SHA-256进行哈希处理，分组为Merkle批次，并异步提交至仅追加的以太坊智能合约（Ethereum smart contract）。实验使用安全水处理（SWaT）数据集进行50次重复运行。该方法实现了逐点F1分数（point-wise F1-score）为0.805 ± 0.012，假阳性率（false positive rate）为0.05 ± 0.01，AUC-ROC为0.94 ± 0.01，并检测到35个攻击段中的88 ± 3%。在测试工作站上测量的平均关键路径延迟（mean critical path latency）为每次观测24.46 ms，处于1 s的SWaT采样间隔之内。所提出的方法优于单个检测器，且区块链层在本地以太坊测试环境中提供了对已提交记录的防篡改验证（tamper-evident verification）。
研究背景方面，在工业4.0时代，工业信息物理系统（ICPS）已成为推动制造业、能源、水处理等关键服务转型的基础要素，其集成了通信网络、传感器、执行器、可编程控制器和物理过程，支持实时监控、远程操作、自我优化等功能。随着工业环境互联程度提高，网络安全风险显著增加，异常检测在识别过程偏差、设备故障、网络攻击和通信故障方面发挥关键作用。然而，ICPS异常检测面临多重挑战：标注攻击数据稀缺，单一无监督模型难以捕捉所有类型的偏差；不同检测器家族捕捉不同的偏差类型，异构检测器的分数尺度不兼容，需要归一化后才能组合；检测过程必须在采样间隔内完成决策，而基于分布式共识的完整性机制因确认延迟无法直接置于检测路径上；传统日志不具备防篡改能力，现有区块链方案多仅存储最终告警或事件标识符，无法证明告警是如何生成的。研究人员开展了区块链辅助的集成异常检测框架研究，结合孤立森林（IF）、单类支持向量机（OCSVM）和稀疏注意力自编码器（SAAE）三种互补检测器，通过因果滑动窗口归一化和基于F2分数的加权融合进行分数组合，并为每个检测事件构建包含完整决策证据的载荷，经SHA-256哈希后以Merkle批次异步提交至以太坊智能合约。研究得出，该方法在SWaT数据集50次重复运行中实现了逐点F1分数0.805 ± 0.012、假阳性率0.05 ± 0.01、AUC-ROC 0.94 ± 0.01、攻击段检测率88 ± 3%，平均关键路径延迟24.46 ms，远低于1 s采样间隔，优于单个检测器及简单平均和多数投票方法，区块链层提供了已提交记录的防篡改验证。其重要意义在于提出了一个统一框架，集成了异常检测、决策验证和防篡改记录保存，解决了异构检测器分数融合、决策证据完整记录以及区块链确认延迟与实时检测解耦等关键问题。
关键技术方法方面，研究人员采用孤立森林（IF）进行基于划分的异常检测，使用100棵树、子采样大小ψ=256；采用稀疏注意力自编码器（SAAE），嵌入维度32、潜在维度16，在400,000条正常观测上训练，推理时间0.57 ms/观测；采用单类支持向量机（OCSVM），使用RBF核、ν=0.01；使用因果滑动窗口最小-最大归一化（窗口大小S=3600观测）对分数进行归一化；采用基于验证F2分数的加权融合，权重在包含正常和攻击观测的标注校准子集上计算；决策阈值T*通过正常阈值校准子集V2的融合分数第95百分位数确定；使用SHA-256进行密码学哈希，采用Merkle批次（N=60）聚合摘要后提交至Solidity ^0.8.19智能合约；异步日志队列将区块链确认与检测关键路径解耦。实验使用SWaT数据集，包含496,800条连续正常记录和449,919条攻击运行记录，按时间顺序划分为400,000条训练、50,000条超参数验证、25,200条正常数据融合校准、3,600条阈值校准、2,000条标注融合校准，最终测试集447,200条观测，排除719条预热记录。区块链评估使用本地Ganache以太坊网络，即时挖矿，10个资助账户，账户0为合约所有者。
研究结果方面，在性能分析中，通过50次重复运行评估，所提出的集成模型获得逐点F1分数0.805 ± 0.012、假阳性率0.05 ± 0.01、AUC-ROC 0.94 ± 0.01、攻击段检测率88 ± 3%，配对统计比较显示相对于评估基线的改进具有Holm校正p值低于0.001的统计显著性。在攻击段覆盖分析中，通过常规准则（每段至少一个告警）检测到35个攻击段中的31个（88.6%），但在30%段内覆盖阈值下降至28个（80.0%），50%严格阈值下降至24个（68.6%），表明基于单告警的事件级检测可能高估实际检测效果。在检测器互补性分析中，集成模型检测到31/35个攻击段，而IF、OCSVM、SAAE分别检测到26、27、22个，简单平均和多数投票分别检测到23和26个，分数级融合将个体弱或不完整的检测器响应转化为集体检测。在消融分析中，移除自注意力层使F1降至0.727 ± 0.015（ΔF1 = ?0.078），移除残差连接降至0.711 ± 0.018（ΔF1 = ?0.094），移除稀疏惩罚降至0.638 ± 0.020（ΔF1 = ?0.167）且攻击段检测降至24/35，移除滑动窗口归一化降至0.674 ± 0.017（ΔF1 = ?0.131）且检测25/35，表明稀疏正则化和滑动窗口归一化对逐点检测性能贡献最大。在检测器移除分析中，移除IF使F1降至0.798 ± 0.014（ΔF1 = ?0.007）且段检测降至29/35，移除OCSVM使逐点F1略升至0.810 ± 0.013（ΔF1 = +0.005）但段覆盖降至30/35，移除SAAE产生最大性能退化使F1降至0.746 ± 0.016（ΔF1 = ?0.059）且仅检测25/35。在与已发表方法比较中，所提出方法逐点F1分数0.805 ± 0.012处于已发表方法范围内，GDN报告略高的0.8087但缺乏直接性能优越性因预处理、超参数优化、数据划分和评估协议可能存在差异。在归一化和权重策略比较中，滑动窗口归一化配合F-β加权表现最佳，F1为0.805、逐点调整F1为0.880。在攻击持续性影响分析中，随着攻击持续性从50增至500样本，常规滑动窗口归一化下平均F1从0.800降至0.680，而异常门控归一化更稳定从0.805降至0.790，在最長评估持续时间下异常门控将平均F1提高0.110。在滑动窗口校准大小影响分析中，S=3600实现最高平均F1（0.805 ± 0.012）、最低平均假阳性率（0.05 ± 0.01）和最高平均AUC-ROC（0.94 ± 0.01）。在区块链开销比较中，Merkle批处理将摊销gas消耗从76,164降至1,330 gas/记录，吞吐量从27.18增至1,961.30事件/s，每记录成本从USD 4.5698降至USD 0.0798。在延迟分解中，关键路径平均每次观测需24.463 ms，约为1 s采样间隔的2.4%。在完整性验证实验中，100次篡改试验中每个修改记录均被检测到，原始与篡改摘要间平均汉明距离为127.92 ± 8.60位，接近128位，200次确定性试验中序列化在随机密钥顺序下字节完全相同，三个验证者在所有100条记录上达成一致，平均验证时间0.034 ms/记录。
讨论部分总结了检测器多样性与融合有效性，实验表明三种检测算法捕捉不同的异常行为，IF对特征级偏差最有效，OCSVM对正常操作的边界表示最有效，SAAE有效捕捉过程变量间的操作和多变量依赖关系，相对较低的成对相关性确认了检测器多样性和融合有效性，检测器消融进一步确认IF尽管单独性能较弱仍有贡献，OCSVM的纳入以少量逐点F1代价提高攻击段覆盖。实时操作与校准行为方面，SWaT系统平均关键路径延迟为24.463 ms/观测，约为测试配置下1 s采样间隔的2.4%，未测量最坏情况和高百分位延迟，异步日志将区块链确认保持在检测路径之外，长时间攻击可能影响表示正常行为的统计量，异常门控评估等抗污染更新可提高鲁棒性。区块链可审计性与完整性方面，区块链层提供已提交异常证据的防篡改和独立记录，所有100次篡改试验均被检测到，Merkle批处理将区块链成本从USD 4.5698降至USD 0.0798/记录并提高日志吞吐量，区块链层确保已提交证据的完整性而非原始传感器测量的正确性，区块链组件主要用于支持多参与方不完全信任单一日志管理员场景下的异常决策独立验证，传统集中式日志系统在集中可信权威管理时高效，异步区块链日志实现已提交记录的独立验证而不延迟异常检测和告警生成。总体意义方面，所提出方法结合了竞争性检测精度、远在采样间隔内的平均处理延迟和评估条件下的防篡改可审计性，加权集成通过利用检测器多样性改进异常检测性能，异步批处理区块链日志将证据记录保持在检测关键路径之外，结果确定校准鲁棒性和输入数据可信度作为实时工业环境部署的重要因素。研究结论部分翻译如下：本研究提出了一种区块链辅助的集成框架用于工业信息物理系统中的异常检测。每个检测器以不同方式识别异常；分数被归一化至共同尺度并使用基于性能的权重组合。对于每个检测到的异常，所提出方法构建包含融合权重、异常检测分数、校准值和决策阈值的规范形式载荷。载荷经序列化并使用SHA-256算法哈希，摘要以Merkle批次提交至仅追加智能合约，使独立审计员能够验证存储证据的完整性。实验使用SWaT数据集共946,719条原始记录，其中447,200条用于测试。在50次重复运行中，所提出模型实现了逐点F1分数0.805 ± 0.012、假阳性率0.05 ± 0.01、AUC-ROC 0.94 ± 0.01、攻击段检测率88 ± 3%。所提出方法优于单个检测器及简单平均和多数投票。消融结果表明系统整体性能受归一化和稀疏组件强烈影响。区块链层的有效实现提供了已提交记录的防篡改和独立验证以及Merkle批处理。Merkle批处理降低了本地测试环境中的链上日志成本。总体异常检测延迟在测试工作站上约为24.46 ms/观测，远在1 s SWaT采样间隔之内。
