该研究针对网络流量入侵检测中长期存在的「概念漂移」问题：合法业务行为与攻击手法会同步演进，导致任何检测模型在两次更新之间的窗口期内迅速失效，检测方始终落后攻击者一步。作者提出把干预点从「漂移发生后再修复模型」前移到「训练之前先选好特征空间」，从而在方法论的层面改变应对范式。为此论文引入 t-robustness——一种针对单个特征独立定义、不依赖任何具体检测模型的稳定性评分，可在整个特征空间内横向比较。该评分由两部分构成：一是特征相邻统计状态之间的逐步距离（捕捉突变），二是特征相对初始状态的累积散度（捕捉长期偏移），二者结合使得缓慢而单调的漂移无法被误判为「稳定」，这正是传统漂移度量常见的盲区。候选特征并非直接取原始流统计量，而是从扫描、拒绝服务以及端点间通信所留下的异常网络连通性模式中提取，读取方式基于图社区指标（community metrics）与谱指标（spectral metrics），即将流量拓扑结构化为图后刻画其社区划分与谱特性。评估在 UGR16 数据集上完成，覆盖三种学习场景与一个对照场景，并额外测试了完全不进行模型更新的极端情形。结果显示：在基线方法检测能力崩溃之处，t-robust 特征空间仍能维持检测，最后一个测试区间的 retained expectancy 达到 0.6025，而图社区特征为 0.5230、基础 NetFlow 特征仅为 0.3831，验证了特征级稳定性筛选对缓解概念漂移的有效性。适合入侵检测、机器学习安全与漂移治理方向的研究者及检测工程团队阅读。

本文研究大规模无线传感器网络（WSN）中外部汇聚节点攻击（sinkhole attack）的检测问题。汇聚节点攻击会通过伪造路由信息吸引网络流量，严重破坏网络功能。传统检测方法在高密度、大规模部署场景下面临特征维度高、计算开销大、误报率高等挑战。为此，作者提出一种基于蜜蜂群优化（Bee Swarm Optimization, BSO）算法的元启发式特征选择方法，用于筛选最具判别力的流量特征，从而提升检测效率。实验在3000×3000米区域内部署2000个节点的仿真环境中模拟外部汇聚节点攻击，结果表明，所提方法能够将原始的16维特征精简至8维，同时保持0.997的检测准确率，显著降低了计算复杂度并维持了高检测性能。该研究为大规模WSN中的入侵检测系统提供了一种轻量化、高精度的特征工程方案，适用于资源受限的传感器节点场景。适合网络空间安全、物联网安全以及智能优化算法领域的研究人员和工程师阅读。

本文针对医疗物联网（IoMT）环境中的入侵检测难题提出了一种可解释的混合特征选择方法。IoMT 网络中的设备异构性强、计算资源有限，且流量需要实时分析，这使得传统入侵检测系统难以直接部署。作者设计了一套两级特征选择流程：首先利用 Pearson 相关系数过滤掉冗余属性，然后结合基于模型的特征重要性与 SHAP 归因分析，从原始特征中挑选出一个紧凑的子集。在该子集上训练随机森林和 LightGBM 分类器，并使用 SHAP 和 LIME 解释每个保留特征对决策的贡献。实验基于 CIC-IoMT 2024 和 CIC-IDS 2017 两个数据集，结果表明该方法能将特征空间从 40 维最高压缩至 5 维（缩减率高达 88%），同时准确率和 F1 分数仅比使用全部特征时低几个百分点。这一结果说明，紧凑且可解释的检测器在资源受限的医疗网络中具有良好的部署潜力，兼顾了检测性能、可解释性与计算开销。本文适合关注医疗物联网安全、入侵检测、可解释人工智能及资源受限场景下模型部署的研究人员和工程人员阅读。

该论文针对网络入侵检测系统（NIDS）中误报率过高的问题，提出了一种名为BARS（良性锚定排序与选择）的特征选择方法。经典过滤式特征选择方法通常采用类别对称准则，忽略了入侵检测中正常流量与攻击流量的不对称性——正常流量构成基线而攻击是偏离。最近提出的类别不对称方法CMD（类均值偏差）虽然考虑了这一问题，但其得分锚定在全局均值上，在类别不平衡时全局均值会向攻击分布偏移，削弱了所需捕捉的偏差。BARS通过两阶段过滤替代CMD：第一阶段将锚点从全局均值替换为正常类均值，第二阶段实施保序去相关步骤。在CICIDS2017、CICDDoS2019和UNSW-NB15三个数据集上，使用特征预算k=5/10/20/30/40进行实验。在攻击占多数的数据集上（全局锚点偏差最严重），BARS相比CMD在UNSW-NB15（k=20）上误报率降低15.4%，在CICDDoS2019小特征预算下降低21%-23%，同时保持真正率和宏F1值。在正常占多数的数据上两者结果趋同，符合理论预期（全局锚点与正常锚点分数一致）。BARS是对CMD的原则性改进，并非全优方案。虽然皮尔逊相关系数和互信息特征选择常能达到更低的误报率，但在最大基准测试中内存消耗超过1TB。BARS保持线性时间评分和低内存占用，适合资源受限的部署环境。

该论文针对网络入侵检测系统（NIDS）在高维、高度不平衡流量场景下的特征选择问题，提出了一种名为nCMD（benign-anchored Classwise Mean Deviation）的轻量级、可解释的特征选择方法。传统过滤方法使用全局统计量（如卡方检验、互信息）对称地跨类别计算特征得分，无法捕捉入侵检测中攻击流量是主导良性流量偏离的本质。nCMD基于良性类锚定思想，将每个攻击类别的分布与良性类均值比较，计算特征对偏离程度的贡献，从而更贴合NIDS的操作语义，且不增加计算成本。在CICIDS2017、CICDDoS2019、NSL-KDD和UNSW-NB15四个基准数据集上，结合不同特征预算和三种下游分类器（如决策树、随机森林、逻辑回归），nCMD在宏平均F1得分上匹配或优于经典过滤方法，并在四个数据集中的三个上取得最佳结果，尤其在特征预算紧张和严重类别不平衡时提升显著。实验表明，nCMD作为资源受限NIDS的预处理组件具有可扩展性和可解释性。