该论文针对工业控制系统（尤其是关键水务基础设施）中联邦学习入侵检测的一个根本性缺陷展开研究：现有防御机制几乎全部在"模型更新空间"内运作（如 Krum、FoolsGold、Trimmed-Mean 等聚合规则），聚合服务器只能看到客户端上传的参数向量，无法判断这些更新究竟来自真实运行遥测还是伪造数据。因此，攻击者只要伪造出看似合理的运行数据并据此训练本地模型，其上传的更新在统计上与诚实客户端的更新难以区分，形成"数据投毒"盲区。作者提出一种"物理认证的联邦学习"（Physics-Attested Federated Learning）范式：把原本用于运行时异常检测的赛博-物理过程不变量（例如质量/能量守恒定律、执行器与传感器之间的耦合关系）重新利用，改造为联邦更新的"准入条件"。这些不变量从干净的运行数据中自动挖掘得到，客户端提交的更新必须通过不变量一致性检查才能被聚合。作者在两个物理水务测试床 SWaT、WADI 以及一个配水基准数据集 BATADAL 上，针对七种聚合规则，评估了三类攻击：遥测伪造、仅暴露型重放投毒、以及感知不变量的自适应攻击者。实验显示：挖掘出的不变量对 100 个诚实分片全部接纳（零误拒），并拒绝所有朴素伪造分片，包括 FoolsGold 会完整接纳的优化扰动样本；在真实遥测上，5 条不变量可检出 SWaT 35 次攻击中的 12 次，9 条不变量可检出 20 次，且不拒绝任何诚实分片；配合 9 条规则，物理门控在五种标准聚合器上分别恢复了因重放投毒而损失的目标攻击召回率的 69%–100%，以及因遥测伪造而损失的 54%–100%。为兼顾物理准入控制与联邦数据隐私，作者进一步使用零知识证明（zk-SNARK）让客户端在不泄露运行遥测的前提下证明其批次数据满足不变量约束。论文视角偏重机制设计与实验评估，适合联邦学习安全、ICS/OT 异常检测与隐私计算方向的研究者与关键基础设施安全工程师阅读。