这是一篇系统化知识梳理（SoK）类论文，聚焦于区块链辅助的入侵检测与响应体系。作者指出，尽管面向物联网（IoT）与工业物联网（IIoT）的区块链+IDS/IPS 文献已相当成熟，但既有综述存在两个关键缺陷：其一，忽略了检测架构正从网络边界向现代端点检测与响应（EDR）及扩展检测与响应（XDR）迁移这一结构性转变；其二，把区块链在其中扮演的不同功能角色笼统归为单一类别，未能区分其作为可信日志锚定层、去中心化共识/信任层、激励与审计层等不同定位。为弥补上述空白，论文提出一个三轴分类法：第一轴按检测系统类别划分（NIDS、HIDS、EDR/XDR）；第二轴刻画区块链的功能角色；第三轴刻画响应自动化的成熟度（从人工处置到全自动闭环）。作者综合梳理了 2019 至 2026 年间发表于高影响力会议与期刊的研究成果，并据此给出严谨的差距分析，指出由于时延、部署成本与社区治理/运维模式的不匹配，真正意义上“以每个端点为锚点、由区块链驱动的响应闭环”至今几乎不存在。论文还系统评估了贯穿文献的横切性挑战，包括受限设备上的共识时延、后量子密码迁移带来的脆弱性、智能合约自身的攻击面，以及日益采用 LLM 作为检测引擎后所引入的对抗性脆弱（如提示注入、对抗样本、模型投毒与幻觉导致的误判）。最后，作者提出以链上/链下混合编排为核心的研究议程，试图在去中心化信任与快速响应自动化之间架起桥梁，并给出若干可验证的研究方向。该文适合检测架构研究者、SOC/EDR 产品与平台工程师、以及关注 Web3 与安全交叉领域的研究人员阅读。

近年来机器学习与深度学习主导了入侵检测系统（IDS）研究，但大量已发表成果存在指标虚高和基准不可复现的问题。这些问题贯穿 ML/DL 流水线全过程：从数据采集与标注，到特征工程、模型训练与评估。CIC-IDS2017 是网络入侵检测领域常用基准数据集，然而由于标注错误、流量提取流程不一致、潜在的数据泄漏，以及评估指标被正常（benign）流量主导，基于该数据集的许多结果难以横向比较。本文构建了一个综合、可复现的基准测试，核心改进包括：在 PCAP 层面重新修正标注以减少标签噪声；提供完整、可配置的评估流水线，支持多种机器学习模型以及新特征提取与模型插件。作者在三个嵌套粒度上评估了 11 种表格型分类器：二分类攻击检测、九分类攻击家族归因，以及十五分类细粒度分类。结果显示，由随机森林、XGBoost 和 LightGBM 组成的软投票集成在细粒度层级取得最佳 macro-F1 0.955，而粗粒度（九分类）与二分类 macro-F1 分别达到 0.980 和 0.999。此外，论文基于特征重要性分析进行了特征选择研究，讨论哪些特征对分类贡献最大。该基准流水线开源且可配置，为后续研究提供了统一对照点。作者建议未来工作聚焦更丰富特征、稀有类分析和面向新数据集与新攻击类别的模型泛化。适合 IDS/ML 安全研究者、SOC 检测工程团队以及关注基准可信度的从业者阅读。

该论文研究工业现场中 OPC UA 协议经由私有 5G 网络承载时的异常检测可靠性问题。背景是：OPC UA 越来越多地部署在私有 5G 之上，端到端加密使得基于网络的入侵检测系统（IDS）无法对载荷做深度检查，因此只能依赖从加密流量中提取的、与载荷无关的统计特征来做异常检测。问题在于，这类纯流量统计特征对良性连接行为变化同样敏感——例如用户设备在正常运维或移动过程中引发的连接重建、会话变动，会改变可观测的用户面（UP）行为，从而使检测器产生大量误报，抬高假阳性率（FPR），削弱 IDS 在真实生产网络中的可用性。作者提出的解决方案是“控制面（CP）感知的判决自适应”：针对四个已冻结（不再训练）的 IDS 模型，在用户设备级别采集 5G 控制面指标，据此构造一个时间性的 CP 上下文；在该上下文生效期间，使用一个在自适应验证数据上单独选定的 CP 专用阈值，而上下文之外仍沿用原有阈值。关键在于，流量特征、攻击评分、预处理流程以及已训练模型的参数都保持不变，改动仅发生在判决阈值这一层，因此方案可以叠加在既有检测流水线上而无需重训练。作者在一个真实的工业私有 5G 测试床上进行评测，结果显示：良性连接变化会使四个被评估模型的 FPR 全部上升，且误报在时间上集中出现在与控制面活动相关联的时段；引入 CP 感知的判决自适应后，全局 FPR 与 CP 上下文内的 FPR 均被降低，同时在“降低误报”与“在整个攻击活动中保持召回率”之间存在一个可配置的权衡。论文的结论是：控制面上下文能够在不重训练底层模型的前提下，提升加密流量入侵检测的运行可靠性。

该论文面向物联网（IoT）环境下的入侵检测系统（IDS）构建效率问题展开研究。IoT 已广泛部署于智能家居、交通运输、能源系统与关键基础设施，连通的扩大在提升服务智能化的同时显著扩大了攻击面，因此基于机器学习（ML）的入侵检测成为保护 IoT 网络的主流手段。然而，构建一个有效的 ML-IDS 模型高度依赖人工专家经验：从数据预处理、特征选择、模型选择到超参数调优，每个环节都需要反复的人工决策，成本高且难以规模化。自动化机器学习（AutoML）通过优化技术自动完成流水线中的部分步骤，可减轻上述负担，但传统 AutoML 往往需要在庞大的候选模型族与高维超参数空间中搜索，优化耗时显著，尤其在算力或时间预算受限的场景下难以落地。为此，作者提出一种由大语言模型（LLM）辅助的 AutoML 框架用于 IoT 入侵检测。其核心思想是把 LLM 当作“策略生成器”：输入数据集画像（dataset profile），由 LLM 输出有界且可校验的 AutoML 策略，覆盖三部分自动化能力——自动数据平衡、自动特征工程，以及组合算法选择与超参数优化（CASH）。所谓“有界且可校验”，意味着 LLM 生成的策略被约束在合法、可执行的搜索空间内，避免无效或越界的配置，从而在低预算下仍能保持搜索质量。实验在两个公开数据集 CICIDS2017 与 IoTID20 上进行。在相同的 10 次试验（10-trial）预算下，LLM 辅助策略的加权测试 F1 分数均优于使用树结构 Parzen 估计器（TPE）的传统 AutoML，分别达到 99.680%（CICIDS2017）和 99.186%（IoTID20）。与更宽预算的 30 次试验传统 AutoML-TPE 基线相比，10 次试验的所提方法将优化器耗时分别降低 63.7% 和 49.9%，同时 F1 分数还略有提升。结论表明：有界的 LLM 策略可以提升低预算 AutoML 搜索的质量，并在相对更大规模的传统搜索预算下保持明显的效率优势。论文视角聚焦于研究问题（人工依赖与 AutoML 搜索开销）、核心方法（LLM 作为策略生成器 + 有界校验 + 三阶段自动化流水线）、主要贡献（低预算高效率且高 F1），适合从事 ML 安全、IoT 防护、IDS 工程化与 AutoML 研究的读者。

论文提出 RuleAutoPilot，一个端到端的智能体（agentic）框架，可直接从恶意软件网络流量（PCAP）中合成可部署的 Suricata 检测规则，且不依赖任何事先准备好的威胁情报。研究背景是：以 Suricata 为代表的基于规则的入侵检测系统在网络安全中处于核心地位，但手工编写高质量检测规则需要深厚的专家知识，产出速度远远跟不上新兴威胁的演化。已有的基于大语言模型（LLM）的方案虽然能减轻分析师负担，却存在两类缺陷：一是依赖精选威胁情报，而这类情报往往是在底层流量痕迹已经产生之后才被整理出来，存在时间差；二是需要昂贵的 LLM 调用却缺乏充分的质量管控，生成的规则未必可用。本文识别的关键工程挑战是流量噪声：真实抓包中安全相关流量往往只占很小比例，绝大部分是背景流量，这会显著降低 LLM 的推理质量并抬高推理成本。为此，RuleAutoPilot 设计了“良性流量指纹（Benign Traffic Fingerprinting）”阶段，在送入 LLM 之前先剔除已知的良性背景流，从而压缩上下文、提升信噪比。在规则生成之后，框架还引入自动修复闭环：凡是语法检查不通过、无法在源流量上触发、或在良性语料上产生误报的规则，都会依据结构化反馈被自动重写修复，而无需人工介入。实验部分在 1,296 个恶意软件 PCAP 上验证，基于实际执行（execution-grounded）的验证机制把规则质量 F1 从 0.443 提升到 0.539。在分层抽样的 200 个 PCAP 子集上，使用开源权重模型 gpt-oss-120b 的 RuleAutoPilot 取得 0.524 F1，接近以 Claude Opus 5 为骨干、运行在 Claude Code 中的 0.623 F1，但计费 token 成本低 52 倍；仅将骨干模型替换为 Claude Opus 5 后，RuleAutoPilot 以 0.656 F1 反超 Claude Code 的 0.623，且 token 消耗少 40 倍。论文进一步表明，更强的骨干模型会抬高 RuleAutoPilot 自身的性能上限，但在相同骨干模型条件下，该脚手架仍然优于 Claude Code，说明其增益独立于骨干模型本身。适合读者：蓝队检测工程与 IDS/Suricata 规则维护人员、SOC 自动化方向的安全工程师、以及研究 LLM 智能体在安全运维中落地的研究者。

该论文聚焦于将脉冲神经网络（SNN）用于网络入侵检测时面临的一个关键工程与建模矛盾：SNN 依赖稀疏、事件驱动的有状态计算，天然契合低功耗边缘神经形态硬件，也契合异步到达、恶意行为多体现为时序模式的网络监控数据；但真实赛博数据流并非由连续数值信号构成，其信息量还大量承载于类别型标识符（如 IP、端口、CAN 报文 ID）、不规则到达时间以及局部行为上下文中。传统基于速率（rate-based）或群体编码（population-based）的脉冲编码方式难以表达这类异构语义；而主流 IDS 流水线为了适配常规分类器，通常把原始事件转换为流（flow）、固定聚合窗口或稠密张量，虽然提升了传统模型可用性，却引入了缓冲延迟、抹平了原生时序结构，并削弱了事件驱动神经形态计算在能效与延迟上的优势。 针对该问题，作者提出了一套“事件原生”（event-native）的符号—时序脉冲编码框架，直接将异构赛博事件映射为稀疏且与脉冲兼容的输入表示。框架的核心思想是为不同信息来源分配明确的编码角色：语义身份（identity）负责保留类别型语义，局部频率上下文（local frequency context）负责刻画局部行为密度与行为画像，事件间时序（inter-event timing）负责保留原生时间动态。通过这种角色划分，框架在不做流化、不做固定窗口聚合的前提下同时保留了类别语义与时序动力学。 实验验证方面，作者先在数据包级 Network IDS 数据集上验证该方法，随后将其扩展到消息级的 CAN 总线 IDS 场景，用以检验该编码是否在两个异构域中都能为直接作用于原生事件流的循环 SNN 暴露可用结构。在面向边缘部署、与 μCaspian 对齐的硬件约束下，紧凑型循环 SNN 取得了较强的异常检测性能：混合运行指标 J_hybrid 在 Network IDS 上达到 0.987，在 CAN IDS 上达到 0.980。该工作表明，面向异构事件语义的编码设计可以成为释放神经形态 IDS 低功耗、低延迟潜力的关键环节。

该论文针对网络安全监控中基于机器学习的异常检测方法存在的可解释性不足问题展开研究。现有方法要么依赖特征归因技术但忽略特征间依赖关系，要么依赖因果建模但需要大量领域知识或计算资源。为此，作者提出 XION 方法，仅基于良性流量建模网络流特征之间的关系。在检测阶段，通过特征依赖关系的违反情况来识别异常；在告警后分析阶段，XION 能够指出哪些特征关系被破坏、在攻击时间线上的哪个时刻被破坏，以及不同依赖违反之间如何演化。作者在标准 IDS 数据集上评估了 XION，并与隔离森林（IF）基线在多种攻击场景下（包括大流量攻击和隐蔽攻击）进行了比较。结果表明，在所有评估场景中，XION 的召回率匹配或超过 IF，同时推理时间最多缩短 7 倍。在告警后阶段，依赖违反分析揭示出与已知攻击行为一致的时间和结构模式，而 IF 无法提供这类信息。这些发现证实攻击确实会破坏从良性流量中学到的特征依赖，且这些破坏能为理解告警提供额外信息。

本文针对物联网设备面临的持续网络攻击，提出了一种基于大语言模型（LLM）的验证引导式规范合成框架，用于从HTTP请求流量中自动生成Suricata入侵检测系统（IDS）规则。当前，将观测到的攻击流量转化为可部署的IDS规则主要依赖人工，效率低且易出错。已有研究尝试利用LLM生成规则，但往往需要额外的辅助信息，或未对检测逻辑在良性流量上进行验证，导致误报率较高。本文方法分为三个阶段：首先，LLM识别HTTP请求中的易受攻击参数，并合成为语义检测规范；其次，通过反例引导的归纳合成（CEGIS）机制，以良性流量样本作为反例，对检测规范进行迭代细化与验证，确保其不会误报良性请求；最后，将验证通过的规范确定性编译为Suricata规则。作者在281个真实CVE和从真实物联网设备收集的良性流量上进行了实验，结果表明该方法在保持0.0%假阳性率的同时，实现了81.5%的检测率。消融实验进一步证明，基于CEGIS的验证步骤能显著提升检测性能并维持低误报。该研究为自动化生成高精度IDS规则提供了新思路，特别适合安全运营人员、IDS规则开发者以及研究LLM在安全自动化中应用的研究者阅读。

随着现代企业网络普遍迈入100GbE线速时代，网络监控与安全应用面临严峻的可扩展性挑战。传统做法往往依赖昂贵硬件、过度采样或复杂分布式部署，而随机丢包导致的随机性数据采样常使流量质量下降，尤其会漏掉隐藏在低速率流量中的关键安全事件（如APT或恶意软件的C2通信）。针对这一问题，本文提出XNET系统，旨在利用商用硬件实现线速监控，并通过动态采样增强高安全价值流量的可见性。XNET基于Linux的XDP（eXpress Data Path）技术高效处理数据包，在核心网卡驱动层对数据包按安全价值进行分类，并依据配置策略进行选择性采样，从而在不牺牲关键信息的前提下大幅降低需要存储和分析的流量规模，使安全相关流量占比显著提升。系统设计具有高度灵活性、可扩展性和动态适应性，可根据网络实际需求调整采样策略。作者在大型真实网络中使用纯商用硬件部署XNET，实验结果显示，XNET可在无丢包的情况下实现高达84%的流量削减，同时将原本几乎被忽略的低速率流量可见性提升5倍。在受控压力测试中，XNET展示了最高100Gbps的可扩展能力。此外，在IDS应用中，XNET采样机制保持了99.6%的检测率，证明其能在压缩数据流的同时维持高检测效能。该研究为高速网络环境下的安全监控提供了低成本、高效的解决方案，适合网络运维人员、安全分析师及研究人员阅读。

本文针对传统入侵检测系统（IDS）依赖监督式机器学习方法、难以快速适应新型攻击类型的问题，提出了一种基于奖励的决斗深度Q学习（Dueling Deep Q-Learning）模型。该模型采用决斗网络架构，将Q值预测拆分为状态价值流（value stream）和动作优势流（advantage stream），从而提升学习效率与训练稳定性。研究团队在CIC-IDS2018基准数据集上进行了训练与评估，该数据集模拟真实网络入侵场景，包含DDoS、僵尸网络、暴力破解等多种攻击类别。实验结果显示，模型在多个攻击类别上的平均准确率达到99.68%。此外，研究还集成了可解释人工智能（XAI）技术，特别是SHAP（SHapley Additive exPlanations），用于解释模型的预测结果，增强模型决策的透明度和可信度。该工作的核心贡献在于：1) 将强化学习中的决斗Q网络引入IDS领域，摆脱对大量标注数据的依赖，能够通过奖励信号自主学习攻击模式；2) 在公开基准上取得了优于传统方法的准确率；3) 通过XAI提供可解释性，便于安全分析师理解模型判断依据。适合对基于强化学习的异常检测、IDS模型演进以及可解释AI在安全中应用感兴趣的研究人员和蓝队工程师阅读。

该论文针对电动汽车充电系统（EVCS）日益与物联网（IoT）设备互联所引入的网络安全风险，提出了一种基于多目标自动化机器学习（MOO-AutoML）的高效入侵检测系统（IDS）。传统基于机器学习的IDS往往依赖人工设计模型，且仅以检测性能为优化目标，忽略了推理延迟与模型大小等实际部署约束。论文所提框架首先采用轻量级训练策略和基于LightGBM的自动特征选择方法，根据累积特征重要性筛选紧凑特征子集；随后利用非支配排序遗传算法III（NSGA-III）联合优化特征选择阈值和LightGBM关键超参数，同时最大化加权F1分数、最小化99百分位推理延迟比例和最小化模型大小比例三个目标。实验基于CICEVSE2024和CICIDS2017两个数据集，结果表明所提MOO-AutoML IDS在保持竞争性加权F1分数的前提下，相比对比方法具有更低的P99推理延迟和更小的模型体积。论文结论认为该方法能够在实际部署约束下支持准确且高效的EVCS与IoT入侵检测。本文的研究问题聚焦于EV充电网络的安全监测效率，核心方法为多目标AutoML框架，主要贡献在于将特征选择与超参数优化联合纳入多目标框架，并同时兼顾检测精度与资源效率。适合智能电网安全、物联网入侵检测以及AutoML应用研究的工程师和学者阅读。

该研究探讨了后量子密码（PQC）集成到TLS 1.3中对手握握握手耗尽攻击和入侵检测系统（IDS）性能的安全影响。PQC虽然能抵御量子攻击，但其计算和通信开销可能加剧握手耗尽型分布式拒绝服务（DDoS）攻击的效果。研究者搭建了一个包含一台PQC-TLS服务器和十台攻击节点的实验平台，生成了超过16.5 GB的混合流量数据，包含合法浏览行为和高强度握手耗尽攻击。实验表明，PQC-TLS使服务器高CPU利用率持续时间延长高达88倍，显著放大了攻击有效性。同时，评估现有深度学习IDS在PQC流量下的检测性能，发现严重下降：exosphere模型的召回率仅约50%，HyperVision的AU-ROC降至接近随机水平（0.49），揭示了PQC环境下IDS的检测盲区。主要贡献包括：系统量化并分析PQC下IDS检测盲区的根本原因；发布包含精确攻击时间戳和服务端资源监控数据的PQC-DDoS混合流量数据集；开源所有实验代码和AWS部署脚本，支持可复现的云端测试环境。该工作旨在帮助学术界和工业界开发下一代PQC感知的入侵检测系统。

该论文研究了在工业专用5G网络环境下，基于机器学习的入侵检测系统（IDS）处理加密OPC UA流量时，良性连接变化对检测性能的影响。作者指出，尽管机器学习IDS在加密工业通信监控中日益普及，但其在真实专用5G操作条件下的表现尚未被充分理解。通过实验，他们发现合法的连接事件（如设备连接/断开、网络切换等）会在无攻击存在时显著增加误报活动。此外，IDS异常评分的高峰往往与控制面（CP）活动周期相重合。研究强调了在工业专用5G环境中解释IDS输出时考虑控制面上下文的重要性。实验基于实际5G测试平台，收集了正常流量和包含连接事件的流量，并使用多种机器学习模型进行评估。主要贡献在于揭示了良性网络事件对IDS的干扰，并提出了未来改进方向，即结合控制面元数据以降低误报。该论文适合工业网络安全研究人员、5G安全工程师以及IDS开发者阅读。

本文针对基于机器学习的入侵检测系统（IDS）面临的对抗性攻击威胁，提出了一种名为SHIELD-IDS的防御框架。现有研究如IDS-Anta通过Z-score归一化、奇异值分解（SVD）和多臂赌博机（MAB）选择分类器来部分缓解攻击，但其分类器池缺乏结构多样性，导致对抗鲁棒性不足。为此，作者提出了IDS-Anta++，在集成中加入XGBoost和LightGBM梯度提升模型，并设计了三层黑盒防御：隔离森林异常检测、中位数特征平滑和六元多数投票。在CIC-IDS-2017、CEC-CIC-IDS-2018和CIC-DDoS-2019数据集上，分别采用快速梯度符号法（FGSM）和零阶优化（ZOO）攻击进行测试。结果表明，在干净数据上检测准确率超过99%，在对抗条件下相比基线IDS-Anta框架具有可量化的鲁棒性提升。这一方法通过结构异构集成和分层防御，在不依赖白盒访问的情况下增强了IDS的对抗鲁棒性。

该论文针对基于RPL的物联网网络入侵检测系统（IDS）进行了改进研究。传统机器学习IDS通常仅依赖路由层特征（如RPL控制消息、路由度量等），但这些特征只能反映网络行为的局部视角，可能限制检测性能。作者提出在LSTM-based IDS中引入无线发射（TX）和接收（RX）的无线电特征，与标准RPL特征集结合，以增强对网络异常活动的感知能力。实验在三种典型攻击场景下进行：DIS泛洪攻击（DIS-Flooding）、本地修复攻击（Local Repair）和最差父节点攻击（Worst Parent），并考虑了不同网络规模（节点数量变化）。使用F1分数作为主要评估指标，结果表明，与仅使用路由层特征的基线相比，加入TX/RX无线电特征使整体检测性能提升了约4%，其中对最差父节点攻击的提升最为显著。该工作表明，多源特征融合（路由+无线电）能有效提高IoT网络入侵检测的准确性和鲁棒性，为实际部署提供了新思路。

该论文探索了使用基础模型（Foundation Models）来检测和识别基于RPL的物联网（IoT）网络中的攻击。研究聚焦于多种攻击类型（包括黑洞攻击、DIS泛洪、最差父节点攻击和本地修复攻击），攻击变体以及网络配置，并评估了基础模型在攻击识别方面的性能。具体而言，作者对MOMENT基础模型进行微调，实现多类攻击识别。评估基于Cooja仿真环境生成的数据集，该数据集包含正常操作以及各类攻击下的RPL相关统计数据。初步结果表明，该方法在攻击检测性能上可与现有最先进方法相媲美，同时在区分不同攻击类型方面表现出色。该研究为基于RPL的IoT网络入侵检测提供了一种新的途径，利用基础模型的迁移学习能力减少了对大量标注数据的依赖。

现代入侵检测系统（IDS）每天产生数千条警报，但大量误报和低影响事件导致警报疲劳，严重制约安全运营效率。本文提出了一种基于亚正态高斯模糊数的警报优先级排序框架，旨在通过显式建模威胁严重性、检测置信度和组织风险态度三种不确定性来源，实现更鲁棒且可解释的优先级排序。在该框架中，每个警报被表示为一个模糊数，其核心代表威胁严重性，扩展代表不确定性，高度代表检测可靠性。通过应用排序索引（ranking indices）对警报进行优先级排序，并引入风险态度参数（risk-attitude parameter），使组织能够灵活调整安全态势，例如选择风险规避、风险中性或风险偏好策略。实验在CIC-IDS2017和NSL-KDD两个基准数据集上开展，分别模拟检测器退化（detector degradation）和鲁棒检测器场景。结果表明，在检测器退化条件下，该框架的NDCGrel@100（归一化折损累计增益，关注前100条警报）达到0.9963，远超基线方法的0.8215，表明其在高误报率下仍能有效识别关键威胁。同时，该框架在低置信度警报区域表现出显著区分度，避免了传统方法中大量中低置信度警报被无差别对待的问题。在鲁棒检测器场景下，其性能与基线方法持平。此外，该框架在理论上有扎实的模糊数学基础，计算复杂度低，能够提供可解释的推理过程（例如可直接展示每个警报的严重性、不确定性和可靠性），并对不同检测器家族和检测概率校准误差（miscalibration）具有鲁棒性。本文为安全运营中心（SOC）分析师提供了一种新颖的警报优先级排序工具，有助于缓解警报疲劳，提升威胁响应效率。

本文提出一个名为XAI FL-IDS的分布式入侵检测系统框架，旨在解决传统集中式IDS存在的两大局限：隐私泄露和缺乏可解释性。当前大多数IDS依赖集中式检测，要求IoT节点将原始数据发送至服务器，不仅增加网络开销，也无法保证数据隐私；同时，传统模型仅报告攻击与否，却不解释特征如何影响决策。作者首先通过联邦学习（FL）实现隐私保护：每个节点在本地训练数据，仅将更新参数（而非原始数据）上传至中央服务器，从而消除数据转移的隐私顾虑。其次，在本地节点和中央服务器两个层级的检测结果上，均使用SHAP（Shapley Additive Explanations）进行可解释性分析，提供决策过程的详细洞察。框架包含一个中央服务器和10个客户端，采用Edge-IIoTset数据集，并在客户端间均衡分布类别。每个客户端运行XGBoost模型。实验表明，该方法在入侵检测中表现稳健，准确率超过99%，有时可达100%。联邦学习的引入保证了每个本地节点网络信息的机密性。本文贡献在于将联邦学习与可解释AI有机结合，为分布式IDS提供了隐私保护与透明度兼具的解决方案。