本文针对工业控制系统（ICS）中信息技术（IT）与操作技术（OT）融合带来的多阶段网络攻击威胁，指出现有基于溯源（Provenance）的入侵检测系统（PIDS）虽然在IT环境中有效，但在工业信息物理系统（CPS）中应用受限，主要原因在于缺乏同时捕获主机级因果行为、工业网络语义和物理过程状态的数据集。为解决这一问题，作者设计并实现了一个开源、硬件在环（HIL）的CPS测试床，该测试床复制了工业化学反应器控制架构，跨越Purdue模型各层。基于该测试床，提出了ProvICS——一个专为CPS入侵检测构建的多模态溯源数据集。该数据集同步采集四个数据流：来自监控主机和资源受限PLC的完整系统溯源图、解码后的Modbus深度包检测记录，以及物理过程遥测数据。数据集包括48小时的正常阶段和22小时的攻击阶段，覆盖4个攻击战役、20种ICS ATT&CK技术和32个攻击事件，攻击类型涵盖侦察到物理过程操纵。对比分析表明，ProvICS是少数几个同时具备多主机内核级溯源、真实PLC硬件在环执行、解码Modbus流量、物理过程状态测量和原始PCAP踪迹的ICS/CPS基准数据集。基线检测实验验证了跨模态融合能够检测所有32个标注攻击事件（F1=0.913，假阳性率=1.40%），证明该数据集能够暴露跨模态的互补攻击信号，填补了先前基准的空白。