摘要
医疗物联网（IoMT）已成为现代医疗体系的核心组成部分，但其日益增强的连通性也使医疗网络面临各种网络威胁。尽管近期的威胁检测框架展现了出色的预测性能，但许多仍属于黑箱模型，其决策过程缺乏或仅有有限的可解释性。本文提出了一种可用于多类IoMT入侵检测的可解释混合IDS框架。该框架将网络流量特征划分为语义相关的组，并利用专门的专家网络来学习互补的流量表示方式。一种门控平衡的专家混合（MoE）路由机制能够自适应地整合专家的输出，而跨专家自注意力模块则能捕捉专家表示之间的上下文依赖关系。此外，该框架还通过SHAP、LIME以及专家路由分析等方法实现多层次的可解释性，从而解释特征贡献及内部决策行为。我们在两个最新的IoMT基准测试数据集CICIoMT2024和IoMT-TrafficData上对该框架进行了评估，分别测试了6类、19类和9类的多类场景。在CICIoMT2024数据集上，该IDS在6类场景下的准确率为99.76%，平均精度值为0.9951；在19类场景下，准确率为99.07%，平均精度值为0.9892。在IoMT-TrafficData数据集上，该框架在9类场景下的准确率为99.92%，平均精度值为0.9988。可解释性分析结果进一步表明，该模型能够识别出有意义的流量特征，并表现出与类别相关的专家专业化特点，从而提升了决策的透明度。这些研究结果证实，所提出的框架为保障IoMT系统的安全提供了一种高效且具备可解释性的解决方案。
