编辑推荐：
更新TinyML入侵检测器可能改变其决策，即使经过认证的构件被正确安装：预处理、数值表示、学习参数与操作阈值共同定义所部署的函数。研究人员将该发布形式化为流水线契约（Pipeline Contract），并区分认证安装（Authenticated Instal
更新TinyML入侵检测器可能改变其决策，即使经过认证的构件被正确安装：预处理、数值表示、学习参数与操作阈值共同定义所部署的函数。研究人员将该发布形式化为流水线契约（Pipeline Contract），并区分认证安装（Authenticated Installation）、与命名参考的决策一致性（Decision Agreement）以及检测质量（Detection Quality）。签名流水线包（Signed Pipeline Packages）与日志化发布选择（Journaled Release Selection）在ESP32-S3及两块ESP32-C3开发板上实现该契约。评估结合了按时间排列的TONIoT场景、独立的CICIoT2023发布实验、主机-设备数值检查与安装实验。保留早期阈值改变了浮点多层感知器（MLP，Multilayer Perceptron）15%的决策；在实算术中精确的导出规则仍改变了已实现的决策（某一场景中阈值折叠的Logistic回归（LR，Logistic Regression）导出改变了9.3%的决策），且针对性边界输入揭示了普通流量中不存在的设备间差异。替代量化改善了所测试的操作点，同时改变了参考整数发布。签名包体积为448至1588字节，比应用镜像小达800倍；相对于原始与压缩全镜像传输，在S3上将设备安装处理量减少约40倍，在C3上减少14至16倍。在包安装期间，188次经供电轨确认的物理供电中断中有185次返回了预期发布，未观察到意外或混合发布。上述结果支持将完整流水线作为部署单元，并依据显式参考验证其决策。
**研究背景与问题提出**
TinyML（微型机器学习）使推理在微控制器（MCU）资源限制下成为可能，嵌入式入侵检测系统（IDS）已在ESP32智能恒温器、充电基础设施等场景落地。然而，更新微控制器入侵检测器改变的不仅是学习权重：特征解释、归一化、量化和操作阈值共同决定部署的决策。因此，一个经过认证的参??文件可能实现与其发布前评估不同的检测器。已有工作多关注更新的认证与构件安装机制，以及反向兼容性下聚合精度的变化，但缺少对"后续部分更新是否仍实现已识别发布"这一问题的回答，尤其当预处理和阈值都是为该发布确定时。保持已识别的检测器与提升其检测质量是相互独立的目标，这构成本研究的核心动机。
**研究内容、结论与意义**
研究人员将该发布形式化为流水线契约（Pipeline Contract），区分认证安装、与命名参考的决策一致性和检测质量三个目标，并提出参考显式的验证程序。研究在实算术条件下推导兼容导出恒等式，同时在时间场景和边界探针中发现有限算术反例。主要结论包括：保留早期阈值改变了浮点MLP 15%的决策；精确导出规则仍改变已实现的决策；448至1588字节的签名包比应用镜像小达800倍，在ESP32-S3上将安装处理减少约40倍，在两块ESP32-C3上减少14至16倍；188次经电压轨确认的供电中断中185次恢复预期发布。这些结果支持将完整流水线作为部署单元，并依据显式参考验证其决策，为TinyML模型维护提供了可复现的验收流程。
**关键技术与方法**
研究人员采用的关键方法包括：发布契约形式化与兼容导出规则的代数推导（含命题与证明）；确定性bottom-k采样；签名包、双模型槽与两页轮换日志选择器的认证安装；含1024个分层输入与针对性决策边界探针的主机-设备数值一致性检查；基于Pico 2控制器与TPS22919EVM电源开关的物理供电中断装置。样本队列来源于TON
IoT网络组件（23个文件、22,339,021行，划分S1至S3时间场景）与CICIoT2023数据集（按SHA-256规则选取12个分片，共3,482,483行，其中测试行871,507）。
**研究结果**
5.1 操作点：在S1未来流量上，完整B管道的MLP-F32召回率43.80%、误报率（FPR）2.15%，平衡准确率（BA，Balanced Accuracy）由57.78%升至70.83%，但B的LR召回率与FPR均劣于A，说明更新拟合历史并非对所有模型族都有益。
5.2 过期组件：保留A的阈值改变B MLP-F32的15.08%决策，FPR由2.15%升至21.93%，表明阈值主导该比较并将操作点推向更多告警；仅保留标量仅改变0.649%决策。
5.3 兼容导出：S1中概率保持LR导出与首层转换不改变任何标签，但阈值折叠在S3改变9.34%决策，float32 sigmoid舍入与严格比较改变了有效边界；首层转换在S2、S3各改变一个标签；max-abs整数转换在S1改变6.004%决策，FPR由2.190%升至28.810%，构成实算术恒等式与已实现决策差异的直接反例。
5.4 CICIoT2023发布一致性：完整B发布行加权召回率96.78%至98.57%，整数兼容转换仅改变0.05083%决策；但B-I8对33种攻击的宏平均召回率仅71.95%，DictionaryBruteForce与MITM-ArpSpoofing分别低至11.55%和14.18%，说明聚合精度高不等于攻击覆盖均匀。
5.5 阈值稳定性：校准窗口由6小时延至24小时，F32的FPR由2.50%升至13.44%，更大校准集并不单调改善后续性能，行重采样与时间块重采样给出的敏感性分位数差异进一步表明校准约束依赖重采样单元。
5.6 量化替代：固定99.9百分位导出在重校准后将FPR由28.81%降至1.26%、召回率降至8.84%；百分位方案取得召回率43.10%、FPR 1.76%的操作点，但相对B-I8仍改变3.246%决策，即更贴近F32的量化仍改变已批准的整数发布。
5.7 主机-设备数值一致性：每次构建26,624项比较中，-Og与-O2下均出现7个标签差异、9个概率容差超限及10,240个整数码比较中9个差异，均由针对性边界探针触发，512个真实输入与256个随机合成输入无差异，最大概率差为0.424。
5.8 安装成本：S3上包处理约为镜像路径的1/40，C3上14至16倍优势可重复出现，包体448至1588字节，而签名原始镜像为359,364字节。
5.9 供电中断恢复：188次经ADC确认的供电中断中185次返回预期旧或新发布，三个端点不可用但事后诊断恢复旧身份，未观察到意外或混合选择。
**讨论与结论翻译**
讨论部分指出，契约使预期检测器成为显式部署对象：认证识别允许的构件，应用二进制接口（ABI，Application Binary Interface）决定其解释方式，参考比较检验所得决策；完整打包与兼容导出是满足该义务的两条路径，后者仅在显式变换假设与已实现决策规则下保持保留表示。阈值折叠改变舍入后sigmoid输出与严格比较相遇的位置，首层转换改变浮点运算顺序，整数转换额外改变舍入与截断网格，因此参考选择决定如何解释改进后的转换器。行、等向量与限频评估回答不同的运行问题，均不能替代对缺失的旧攻击队列的未来保持力测试。研究同时承认所测检测质量不足以支撑独立运行的IDS（若攻击流行率为1%，隐含精确率约17%），正确安装发布无法补偿不足的检测器；安全仅限于受信运行时与预置验证密钥下的认证安装，安全启动、闪存加密与硬件防回滚未启用。
结论部分可概括为：研究人员将TinyML发布形式化为完整决策流水线，分离了认证安装、参考一致性与检测质量。组件替换表明保留的归一化、量化或阈值可改变预期检测器；兼容导出恒等式在实算术假设下成立，时间与边界测试则暴露有限算术反例与对所选参考的依赖；签名包比应用镜像小至800倍，S3处理减少约40倍、C3为14至16倍；每次可响应的端点在物理供电损失后均选择预期完整发布（185/188）。第二数据集与两块C3实例扩展了实证范围，但未将参考一致性转化为检测质量或通用可移植性的保证，发布契约与验证程序为TinyML模型维护提供了可复现的验收路径。
