基于分数阶石斑鱼-棕熊优化的脉冲通道注意力卷积循环神经网络在异构联邦物联网中的入侵检测

《Array》：Fractional groupers brown-bear optimization based spiking channel attention-based convolutional recurrent neural network for intrusion detection in heterogeneous federated IoT networks

　　

在物联网（IoT）网络中，入侵检测对于保护互联设备免受未授权访问至关重要。既有方法在集中聚合敏感信息时面临可扩展性差和隐私担忧等问题。因此，引入联邦学习（FL）具有必要性，因为其能够在不共享原始数据的前提下，实现分布式IoT节点间的协同模型训练。本研究开发了一种用于异构IoT环境入侵检测的基于分数阶石斑鱼-棕熊优化的脉冲通道注意力卷积循环神经网络（FGBO_SCACRN-Net），该环境由资源受限设备与资源丰富节点共同构成。在FL框架内，每个IoT节点利用自身数据训练局部模型，并仅向中央服务器传输更新后的参数。为实现实际部署，计算密集型训练任务主要在网关或边缘节点上执行，而低功耗感知设备主要负责数据采集以及与邻近聚合器的通信。在训练模型中，入侵检测由SCACRN-Net完成，其参数由分数阶石斑鱼-棕熊优化（FGBO）进行调优。FGBO通过融合分数阶概念（FC）与石斑鱼-棕熊优化算法（GBOA）构建而成。其中，GBOA结合了石斑鱼-海鳗优化（GMEO）与棕熊优化算法（BOA）。SCACRN-Net集成了脉冲神经网络（SPSNet）与基于通道注意力的卷积循环神经网络（CACRN-Net）。最后，将可解释人工智能（XAI）方法，如Shapley加性解释（SHAP），应用于训练后的模型。此外，服务器端利用加权平均方法进行局部更新。FGBO_SCACRN-Net的有效性通过准确率、灵敏度和特异度等指标进行评估，分别达到95.78%、96.21%和96.00%的优异结果。

该文发表于《Array》，聚焦异构联邦物联网中的入侵检测问题。研究背景在于，物联网（IoT）设备数量庞大、类型异构、部署环境复杂，网络流量呈现显著的动态性与多样性，使传统集中式入侵检测系统（IDS）难以兼顾实时性、可扩展性与隐私保护。已有方法通常需要将原始流量数据集中上传至中心服务器，不仅带来通信开销和时延问题，也增加了敏感数据泄露风险。此外，资源受限终端的算力不足，使复杂深度学习（DL）模型难以直接在所有节点部署。虽然联邦学习（FL）为“数据不出端”的协同建模提供了可行路径，但如何在异构IoT环境中兼顾检测精度、模型轻量化、训练稳定性与结果可解释性，仍是当前研究中的关键难题。因此，开展面向异构联邦IoT网络的高性能入侵检测研究具有明确的理论价值与应用意义。

围绕上述问题，研究人员提出了FGBO_SCACRN-Net框架。该框架由中心服务器与多个IoT节点组成，在实际部署中，低功耗传感设备负责感知、收集和上传数据，网关、边缘节点、工业控制器、智能终端等资源较强设备承担本地模型训练任务。方法层面，研究首先对输入数据进行预处理，包括删除重复记录、填补缺失值；随后采用多项式白化（Polynomial Whitening）降低特征相关性，并通过自助法（Bootstrapping）进行数据增强；在检测模型方面，构建融合脉冲神经网络与通道注意力卷积循环网络的SCACRN-Net，用于联合提取时序与空间特征；在参数优化方面，设计FGBO算法，将分数阶概念（FC）与由GMEO和BOA组合而成的GBOA相结合，以增强搜索过程中的全局探索与局部开发能力；在联邦聚合方面，采用加权平均（FedAvg）汇总各节点局部模型参数；在模型解释方面，利用SHAP分析关键特征对预测结果的贡献。研究结果表明，该框架在Bot-IoT与UNB CIC IoT 2023数据集上均表现出优异的检测性能、可扩展性和较低的计算复杂度，说明其适用于分布式、隐私敏感且资源异构的IoT安全场景。

作者开展研究所采用的关键技术方法主要包括以下几个方面。其一，采用联邦学习（FL）框架组织分布式训练，由各本地节点独立学习后上传参数，再由服务器通过FedAvg聚合全局模型。其二，使用数据预处理、多项式白化和Bootstrapping增强数据质量与样本鲁棒性。其三，构建SCACRN-Net，将SPSNet中的短时傅里叶变换（STFT）、BiLSTM、脉冲块（Spike Block）和图关系块（Graph Block）与CACRN-Net中的卷积、深度可分离卷积（DSC）、Depthwise Over-parameterized Convolution（DO-Conv）及通道注意力机制结合。其四，利用FGBO对模型权重与偏置进行优化。样本队列来源于Bot-IoT数据集和UNB CIC IoT 2023数据集，其中后者涵盖来自105个IoT设备与33种攻击场景的网络流量数据。

在研究结果部分，论文首先在“4.1 Experimental setup”和“4.2 Description of dataset”中给出实验环境与数据来源。模型在Python环境下实现，设置了衰减因子、STFT窗口长度、BiLSTM与BiGRU单元数、批量大小、训练轮次等关键参数，并在Bot-IoT与UNB CIC IoT 2023两个基准数据集上进行验证，为后续比较提供统一实验基础。

在“4.4.1 Loss graph”中，研究人员通过损失曲线分析模型训练过程。结果显示，随着训练轮次增加，训练损失持续下降，例如在epoch为20、40、60、80和100时，损失分别为0.225、0.158、0.129、0.113和0.092，说明所提框架具有较好的收敛性与训练稳定性。

在“4.5 Federated analysis”中，研究从联邦学习场景评估模型在不同本地节点上的表现。基于Bot-IoT数据集时，在chunk_size=6条件下，随着本地节点数量从2增加至10，归一化均方根误差（RMSE）由0.369降至0.263，归一化相对均方根误差（RRSE）由0.405降至0.319。基于UNB CIC IoT 2023数据集时，RMSE由0.372降至0.253，RRSE由0.409降至0.310。该结果表明，在联邦协同训练中，随着参与节点增加，模型整体误差下降，体现出较好的分布式学习能力。

在“4.6 Scalability analysis”中，研究人员将FGBO_SCACRN-Net与EIDM、NSBPSO-DCNN、FL-LSTM-JSO、DID、FL-CNN-BiLSTM、BGH、SR-ShuffleNet和GBOA_SR-ShuffleNet等方法进行比较。在Bot-IoT数据集上，FGBO_SCACRN-Net取得97.68%的准确率、98.19%的灵敏度和97.24%的特异度，均高于对比方法。在UNB CIC IoT 2023数据集上，模型分别取得97.88%、98.38%和97.47%的结果，同样优于基线模型。通过可扩展性分析，论文说明所提方法在节点规模扩张情况下仍保持较高性能。

在“4.7 ROC analysis”中，研究利用受试者工作特征（ROC）曲线评价模型分类能力。Bot-IoT数据集上，当假阳性率（FPR）为0.8时，FGBO_SCACRN-Net的真阳性率（TPR）达到0.977；UNB CIC IoT 2023数据集上，当FPR为0.2时，TPR达到0.931，均优于其他方法，反映出其对攻击流量和正常流量具有较强区分能力。

在“4.8 Ablation study”中，研究通过消融实验验证各模块贡献。若移除数据预处理、多项式白化或Bootstrapping，模型准确率均出现下降；仅使用FGBO-SPSNet或FGBO-CACRN-Net时，性能低于完整模型；采用GMEO、BOA或GBOA替代FGBO进行优化时，效果也不及最终方案。完整FGBO_SCACRN-Net在Bot-IoT和UNB CIC IoT 2023数据集上的准确率分别达到97.62%和97.95%，说明数据处理、混合网络结构与分数阶优化策略均对性能提升具有实质贡献。

在“4.9 FL-based comparative evaluation”中，研究比较了不同联邦聚合策略，包括FedProx、FedNova和FedAvg。结果显示，在两个数据集上，采用FedAvg时模型准确率最高，Bot-IoT上为97.58%，UNB CIC IoT 2023上为97.90%，说明FedAvg更适合该研究提出的联邦入侵检测框架。

在“4.10 Explainability using SHAP”中，研究进一步分析模型可解释性。SHAP瀑布图、汇总图和多组图结果表明，不同数据集中的关键特征对模型预测具有不同方向和强度的影响。例如，在一组分析中，`pkSeqID`对预测有显著正向贡献，而`ltime`与`dport`产生负向影响；在另一组分析中，`Protocol Type`、`flow_duration`、`Covariance`、`Rate`等特征对模型决策具有较强影响。这表明模型不仅具有较高检测能力，也具备一定的决策透明性。

在“4.11 Computational complexity analysis”中，研究比较了内存占用、模型大小、浮点运算量（FLOPs）、功耗、训练时间与推理时间。FGBO_SCACRN-Net在Bot-IoT数据集上仅需214 MB内存、45 MB模型大小、7.9 GFLOPs、56 W功耗，训练时间1.86 s、推理时间0.47 ms；在UNB CIC IoT 2023数据集上分别为223 MB、45 MB、8.1 GFLOPs、58 W、1.94 s和0.51 ms，均优于对比方法。由此可见，该模型在保持高检测性能的同时，具有较好的轻量化和实时部署潜力。

在“4.12 Paired T-test”中，研究通过10折交叉验证（k=10）开展配对t检验，对模型性能一致性与统计显著性进行验证。与各对比方法相比，所提模型在准确率、灵敏度和特异度上的t统计量与P值结果支持其性能优势具有统计学意义，增强了实验结论的可信度。

论文讨论部分集中体现出以下几点：首先，联邦学习（FL）有效缓解了传统集中式方法在隐私泄露、通信负担和可扩展性方面的局限，使异构IoT节点能够在不共享原始数据条件下完成协同建模。其次，SCACRN-Net通过融合SPSNet与CACRN-Net，实现了对空间特征、时间依赖性以及关键通道信息的综合建模，而FGBO则进一步提升了模型训练中的参数寻优能力，因此在多个性能指标上优于现有方法。再次，SHAP解释结果增强了模型决策透明度，使安全分析人员能够更清楚地识别影响预测的重要流量特征。最后，复杂度分析说明该框架在资源受限的IoT场景中具备较好的应用适配性。不过，论文也明确指出，该方法虽然在基准数据集上得到验证，但对于持续演化攻击模式下的高度动态实时IoT部署环境，仍需进一步研究。

研究结论部分可概括为：入侵检测在IoT生态系统中至关重要，而现有方法在可扩展性、异构数据管理和集中式隐私风险方面存在不足。为此，研究人员提出FGBO_SCACRN-Net，通过数据预处理、多项式白化、自助法增强、SCACRN-Net检测、FGBO参数优化、SHAP解释及FedAvg聚合，构建了一个面向异构联邦IoT环境的入侵检测框架。实验结果表明，该方法在准确率、灵敏度和特异度方面分别达到95.78%、96.21%和96.00%，展现出优越性能。研究认为，该框架在基准数据集上已得到有效验证，但在具有持续演化攻击模式的高动态实时IoT环境中的泛化表现仍需进一步考察。