《Scientific Reports》：A generative adversarial network-augmented dual-stream Mamba-transformer framework for advanced intrusion detection and cyber threat mitigation in smart healthcare networks
编辑推荐：
医疗物联网（IoMT）的快速普及显著扩大了智能医疗网络的攻击面，包括分布式拒绝服务（DDoS）、欺骗、侦察与勒索软件在内的网络威胁持续针对IoMT基础设施，危及患者安全。传统入侵检测系统（IDS）难以应对IoMT环境中固有的协议异构性、高维流量数据与严重类别不
医疗物联网（IoMT）的快速普及显著扩大了智能医疗网络的攻击面，包括分布式拒绝服务（DDoS）、欺骗、侦察与勒索软件在内的网络威胁持续针对IoMT基础设施，危及患者安全。传统入侵检测系统（IDS）难以应对IoMT环境中固有的协议异构性、高维流量数据与严重类别不平衡问题。本文提出GAN-Mamba Former-IDS，一种面向智能医疗网络高级网络威胁检测的新型入侵检测框架，集成三项核心创新：（i）协议感知特征路由（PAFR）模块，将网络流量特征划分为四个语义一致的协议组；（ii）双流Mamba-Transformer编码器，通过线性时间状态空间模型捕获序列依赖，并通过多头自注意力捕获全局特征交互；（iii）基于条件表格生成对抗网络（CTGAN）的增强策略，缓解少数攻击类别的类别不平衡。全部实验在NVIDIA A100 40GB GPU上基于PyTorch 2.1实现。所提框架在19类CICIoMT2024测试集上取得97.71%的准确率、0.7901的宏平均F1分数与0.9842的ROC-AUC，优于MLP、1D-CNN、BiLSTM、仅Transformer与仅Mamba等基线模型。CTGAN增强使最稀有攻击类别的少数类宏平均F1最高提升+0.2109。结果在五个随机种子下得到验证（均值±标准差：准确率=97.71±0.38%，宏平均F1=0.7901±0.014）。GAN-Mamba Former-IDS为下一代IoMT环境提供了一种可扩展、可复现且有效的网络安全解决方案，并在五个异构物联网安全基准上展现出泛化能力。
研究背景与问题 医疗物联网（Internet of Medical Things，IoMT）设备的快速普及使远程患者监测、诊断与治疗等医疗服务得以连续开展，但互联程度的提升也显著扩大了攻击面，DDoS、勒索软件、数据泄露与拒绝服务（DoS）等威胁直接危及患者数据与临床服务连续性。IBM Security报告显示医疗行业数据泄露平均成本连续十三年居全球首位，2023年达1093万美元，较三年前上升53.3%，超过跨行业均值445万美元的两倍以上；美国卫生与公众服务部记录2023年重大黑客事件531起，逾7000万患者记录受影响。传统基于支持向量机（SVM）、决策树与随机森林的入侵检测系统（Intrusion Detection System，IDS）难以适应IoMT流量的复杂特性与新型威胁识别需求；深度学习方案虽提升了特征提取能力，但长短期记忆网络（LSTM）在长序列建模上存在可扩展性问题，卷积神经网络（CNN）受局部感受野限制难以捕获全局特征交互，SMOTE等过采样方法生成的合成样本可能偏离真实分布，扁平化特征表示亦无法刻画协议特有行为。研究人员据此提出需同时解决协议异构性、长程时序依赖、严重类别不平衡与边缘计算实时约束四类问题。
研究内容与结论 研究人员提出GAN-Mamba Former-IDS混合框架，在CICIoMT2024数据集上实现97.71%准确率、0.7901宏平均F1与0.9842 ROC-AUC，优于MLP、1D-CNN、BiLSTM、仅Transformer、仅Mamba及CNN-Transformer等基线；在CICIoT2023、UNSW-NB15、Edge-IIoTset与WUSTL-EHMS-2020四个跨域基准上宏平均F1分别为0.7589、0.7369、0.7522与0.7436，验证了泛化能力。消融实验表明，移除PAFR、Mamba流、Transformer流或CTGAN增强均导致性能下降，其中去除CTGAN对少数类F1影响最大（由0.6477降至0.4812）。该研究意义在于为下一代IoMT医疗网络提供了兼顾检测精度、计算效率与实时性的可扩展、可复现网络安全方案。
关键技术方法 研究采用五项主要技术：一是协议感知特征路由（Protocol-Aware Feature Router，PAFR），按领域知识将45维特征划分为流量、标志、传输与应用四组并施加软门控；二是选择性状态空间块构成的Mamba流，以线性时间建模协议令牌的状态转移；三是多头自注意力Transformer编码流，捕获协议组间非局部依赖；四是条件表格生成对抗网络（Conditional Tabular GAN，CTGAN）对七个少数类进行合成增强，共生成276,520个样本；五是加权交叉熵损失与焦点损失（focal loss）设计。数据来源为公开基准CICIoMT2024（约877万条流量记录、40台真实IoMT设备、25种物理攻击场景），并辅以四个公开IoT安全数据集开展跨域验证。
研究结果
总体性能比较 通过与五类基线在统一预处理、增强与划分条件下对比，得出所提模型在准确率、宏平均F1、加权F1与ROC-AUC上均居首位的结论。
数据集比较 通过在各基准上从头重训并固定超参数、仅调整分类层类别数，得出框架在五类异构IoT/IoMT环境中性能稳定的结论。
消融研究 通过替换PAFR为全局令牌投影、分别移除双流之一及去除CTGAN，得出各组件均正向贡献且双流互补的结论；双流较单流变体F1提升约0.059与0.066。
统计验证 通过五个随机种子的重复实验与显著性分析，得出性能波动小、相对单流基线改进具有统计学显著性的结论。
CTGAN增强影响 通过对比增强前后及与SMOTE、ADASYN的比较，得出CTGAN在宏平均F1与少数类F1上最优、对recon_ping_sweep（F1由0.3245升至0.5354）与recon_vulscan（由0.4123升至0.6058）提升最明显的结论。
训练收敛分析 通过逐轮记录训练与验证曲线，得出第6轮出现验证性能骤降系逆频率类权重、高方差合成少数样本与融合层特征对齐共同引发的优化冲击、而非数值发散的结论；第7轮恢复至最佳验证宏平均F1 0.7901，据此选取检查点。
讨论与结论 讨论部分指出，双流架构的理论贡献在于将IoMT流量表示分解为两种互补依赖视图：Mamba流施加选择性状态空间先验，适于建模有序协议状态转移；Transformer流施加注意力关系先验，适于建模流量、标志、传输与应用特征间的非局部依赖，二者融合降低了单一表示主导决策边界的风险，故完整模型优于任一单流变体。CTGAN增强通过生成更贴近原始分布的合成样本改善稀有攻击检测，但极稀有类别仍具挑战且过量合成存在过拟合风险。跨数据集一致表现与低推理时延（GPU 0.43 ms/流，Raspberry Pi 4B 6.8 ms/流）支持其在医院网关、边缘服务器与雾计算设备上的实时部署。结论部分译为：本文提出GAN-Mamba Former-IDS，一种旨在增强智能医疗与IoMT环境网络安全的入侵检测框架。该架构集成双流Mamba-Transformer编码器、协议感知特征路由器与基于CTGAN的少数类增强，以应对IoMT入侵检测中的协议异构性、序列流量依赖与严重类别不平衡等关键挑战。除组件集成外，其核心架构贡献在于双归纳偏置表示设计：Mamba流捕获高效的协议状态演化，Transformer流捕获全局协议间关系；PAFR机制实现协议特有特征学习，CTGAN增强通过生成高质量合成样本改善稀有攻击类别的表示。在CICIoMT2024数据集上的实验评估表明，该模型显著优于传统机器学习与深度学习基线，取得97.71%准确率、0.7901宏平均F1与0.9842 ROC-AUC；跨数据集比较进一步验证了框架在多样IoT安全基准上的稳健性与泛化能力。消融分析确认架构各组件均对整体性能有实质贡献，尤其在改善少数类检测方面；收敛分析亦阐明所观察到的暂时不稳定源于类权重、合成少数样本与双流融合的交互作用，而非持续性数值发散。上述结果凸显GAN-Mamba Former-IDS作为保护未来IoMT医疗基础设施的有效且可扩展网络安全方案的潜力。未来工作将聚焦集成联邦学习与实时边缘部署，以支持大规模医疗网络中的分布式入侵检测。
