本文针对实际运行中的燃气SCADA（监控与数据采集）网络进行了全面的流量特征分析。研究团队与一家能源运营商合作，在真实的工业控制网络环境中部署了被动网络监控，收集了长达数月的流量数据。论文的核心贡献在于：1）首次对运营级燃气SCADA网络的流量进行细粒度表征，包括协议分布（如Modbus、DNP3）、通信模式（周期性、事件驱动）、设备交互拓扑等；2）揭示了SCADA网络与IT网络在流量特性上的显著差异，例如低带宽、长连接、高度周期性等；3）提出了基于流量特征的异常检测基线，例如利用通信间隔的规律性识别潜在异常；4）讨论了当前安全监控工具（如IDS）在适应此类专用网络时的局限性。实验结果表明，传统基于阈值或统计的检测方法容易产生大量误报，而针对SCADA特定模式的定制化方法能显著提升检测精度。该研究为工业控制系统网络安全监控提供了重要的经验数据和方法论基础。

本文提出了一种基于容器化的回溯（backfit）方法来增强工业控制系统（ICS）的弹性。传统ICS系统在面临网络攻击或物理故障时往往恢复困难，且难以在不中断运行的情况下进行安全更新。作者设计了一种容器化架构，将关键控制功能封装在轻量级容器中，并通过回溯机制在系统受损后快速恢复到安全状态。该方法允许在不影响生产环境的情况下进行安全补丁和配置更新，同时利用容器隔离性限制攻击的横向移动。实验表明，该技术能显著缩短系统恢复时间，并降低因停机造成的损失。论文重点讨论了与现有ICS协议的兼容性以及实时性能开销，证明该方案在真实部署中的可行性。

本文针对工业控制系统（ICS）中跨工厂未知攻击检测的难题，提出了一种基于中值原型对齐（Medoid Prototype Alignment）的框架。在ICS环境中，不同工厂的网络流量高度依赖本地部署环境，标签稀缺，且部署后常常出现未知攻击，导致直接迁移入侵检测模型效果不佳。现有方法通常试图直接对齐源域和目标域的所有样本，但由于数据异构性强，容易引入噪声，导致迁移不稳定。本文的核心思想是：首先将异构流量压缩到可比较的表征空间，然后提取每个域中稳健的中值原型（medoid prototypes），这些原型概括了局部操作结构。接着设计了一个原型校准的迁移目标函数，将目标原型对齐到源原型，同时保留源域的判别性并鼓励对目标样本的自信预测。这一策略减少了跨域匹配中的噪声，提高了异构工业条件下的迁移稳定性。实验在天然气和水储存控制系统两个真实ICS数据集上进行，共设计了四个未知攻击迁移任务。结果表明，所提方法在所有对比模型中取得了最佳平均性能，平均准确率0.843，平均F1-score 0.838。研究还发现了明显的源-目标方向迁移不对称性，并证实原型引导在困难的逆向迁移设置中尤其有效。总体而言，该工作为领域漂移下的鲁棒工业入侵检测提供了一种实用解决方案。