该论文针对工控系统（ICS）入侵检测领域当前依赖二分类（正常 vs 攻击）基准评估的局限性，提出了一种行为特征化框架。研究背景是现有公共数据集（如SWaT、WADI、HAI）通常仅提供二分类标签，无法刻画网络物理攻击的多样性行为。核心方法是将多变量过程轨迹映射为五种可解释的物理基元：漂移（drift）、尖峰（spike）、振荡（oscillation）、重复（repetition）和切换（switching）。作者将该框架应用于三个广泛使用的ICS基准，发现攻击窗口相对于正常操作表现出显著的行为偏移，且三个数据集在行为空间中占据不同区域：WADI以重复行为为主，HAI以持续漂移和振荡为特征，SWaT则表现为更隐蔽的冻结遥测行为。实验部分采用随机森林基线模型，结果显示聚合二分类指标掩盖了不同行为代理下的性能差异：例如在SWaT上，宏F1从二分类评估的85.44%降至行为代理多分类预测的37.84%，WADI和HAI也出现类似退化。基于这些发现，论文主张在传统二分类基准测试之外补充行为分层评估，以暴露聚合分数隐藏的盲区，并更好地支持针对性应急响应。该工作适合ICS安全研究人员、入侵检测系统设计者以及评估方法论学者阅读。