摘要
随着网络攻击手段的日益复杂，对高效的网络入侵检测系统（NIDSs）的需求也在不断上升。虽然深度学习提升了NIDS的性能，但现有模型往往缺乏用于时空特征融合的自适应机制，且难以处理那些存在严重类内异质性和类间重叠的复杂流量分布。与此同时，目前的可解释性方法主要依赖于特征重要性分析，难以深入理解模型的决策过程。为了解决这些问题，我们提出了HARMONI这一两阶段混合学习框架，旨在提升检测精度与模型的可解释性。在第一阶段，采用双分支卷积神经网络和门控循环单元（CNN-GRU）架构来提取时空特征，这些特征通过一个轻量级的自适应门控网络进行动态融合。在表示学习过程中，运用动态类中心损失函数来共同优化，从而在潜在空间中实现类内紧凑性和类间可分性。在第二阶段，将学习到的深度特征与原始流量特征结合，输入到集成分类器中。这种残差式设计既减少了深度编码过程中的信息损失，又充分利用了集成学习的非线性建模能力。此外，我们还基于SHapley加性解释方法开发了一个多级可解释性框架，该框架能够分析全局特征重要性、单个特征的贡献以及特征间的相互作用，从而为模型的决策机制提供定量分析。在四个基准数据集上的实验表明，HARMONI的表现始终优于现有的最先进方法，在NSL-KDD和UNSW-NB15数据集上的准确率分别达到了80.19%和78.24%，超过了诸多深度学习和集成学习方法。
