基于区块链的双向长短期记忆网络在医疗物联网实时入侵检测中的应用

摘要

本方案描述了一种面向医疗物联网网络的、集成区块链的双向长短期记忆入侵检测系统的实现方法，可实现攻击的实时检测、防篡改的取证日志记录以及自动化缓解。

摘要

医疗保健领域的医疗物联网（IoMT）环境需要入侵检测系统，这些系统不仅能够准确识别网络攻击，还需提供法医级可追责性、可审计性以及快速响应能力。传统的入侵检测方法主要侧重于分类性能，而在防篡改事件记录和事后调查方面支持有限。本研究提出了一种具备法医意识的入侵检测框架，该框架将扩展的双向长短期记忆网络（BiLSTM）与许可型区块链层相结合，以支持在医疗保健IoMT系统中实现实时检测、安全日志记录和自动化缓解措施。该协议整合了数据预处理、AQU-IMF-RFE特征选择、时序建模、基于注意力机制的学习、残差连接以及基于区块链的事件记录。扩展的BiLSTM模型在UNSW-NB15、CICIDS2017和Bot-IoT基准数据集上独立进行训练与评估，采用可复现的预处理流程、分层数据划分和固定随机种子。模型检测到的入侵事件通过智能合约记录在权威证明（Proof-of-Authority）区块链上，实现不可篡改的日志记录和自动化响应操作。实验结果表明，该方法在所有评估数据集上均表现出较高的入侵检测性能和较低的误报率，同时保持了法医可追溯性和实时响应能力。区块链层提供了抗篡改的审计记录，并实现了自动化缓解，且未引入过高的计算开销。这些发现表明，将基于深度学习的入侵检测与基于区块链的法医日志记录相结合，可提升医疗保健网络安全系统的可信度、可问责性以及实际部署能力。

引言

在医疗系统中，数字化推动了智能化、互联化和以患者为中心的医疗服务新时代。现代医疗基础设施高度依赖可穿戴传感器、远程患者监测系统、电子健康记录（EHRs）^1，2以及智能诊断平台之间的网络通信与数据交换。然而，这种日益增强的互联互通也扩大了医疗网络的攻击面，使其面临数据泄露、勒索软件、分布式拒绝服务（DDoS）攻击和中间人攻击等网络威胁³。这些入侵行为不仅造成巨大的经济损失，更重要的是，当敏感的医疗数据或关键设备功能遭到破坏时，可能危及患者安全。

医疗物联网（IoMT）系统的规模和复杂性进一步加剧了这些安全挑战。现代医疗网络必须同时提供低延迟通信、高可靠性和强大的安全保证，而传统安全机制往往难以满足这些要求⁴。IoMT 流量的快速增长具有异构数据源、动态通信模式以及严格的监管要求（如《健康保险可携性和责任法案》（HIPAA）和《通用数据保护条例》（GDPR））等特点，这迫切需要具备高检测率且能最大限度减少误报的智能入侵检测系统（IDS）⁵。

在受监管的医疗环境中，入侵检测不仅是一项操作要求，更是一种问责职能。安全警报可能触发设备隔离，影响医疗连续性，并随之成为审计、监....

方案

所有实验均仅使用公开的基准网络入侵数据集（UNSW-NB15、CIC-IDS-2017 和 Bot-IoT）进行，这些数据集包含无个人或医疗身份信息的网络流量记录。数据集的使用遵循其各自的许可协议和使用条款。由于未涉及人类受试者、患者样本或可识别的个人数据，因此无需机构伦理审批和知情同意。

所提出框架的概述
本节介绍了一种用于保障医疗物联网（IoMT）环境安全的双层入侵检测与防御框架。该框架结合了扩展的双向长短期记忆网络（Extended BiLSTM），用于时空维度上的入侵检测，并集成轻量级区块链层，实现防篡改日志记录与自动化威胁缓解。与传统仅关注检测准确率的入侵检测系统（IDS）方法不同，所提出的架构旨在同时支持实时检测、取证可追溯性以及法规合规性，这些正是医疗系统中的关键需求。所提出的面向IoMT网络的Extended BiLSTM–区块链入侵检测框架的整体工作流程与架构如图1所示。

结果

结果部分按照实验方案的方法学步骤进行组织，每个子章节报告了相应步骤所产生的观察结果。

数据集处理与实验设置
三个基准数据集被独立分析，而非合并处理。由于 UNSW-NB15、CICIDS2017 和 Bot-IoT 使用不同的特征模式和标注规范，每个数据集均独立进行预处理、分窗操作，并采用各自独立的 80:20 训练/测试划分方式进行评估。扩展型双向长短期记忆网络（Extended BiLSTM）模型在每个数据集上独立训练与测试，各数据集的性能指标（准确率、精确率、召回率和 F1 分数）分别报告。这种独立评估方案避免了合并异构数据集所导致的特征空间不一致问题，从而能够在三种不同的网络环境中评估所提出框架的鲁棒性。

采用从 CICIDS2017、UNSW-NB15 和 Bot-IoT 数据集中提取的预处理正常流量与恶意流量，对所提出的扩展型 BiLSTM-BC 模型进行了训练与评估。数据划分采用单次分层保留法（stratified hold-out split）。UNSW-NB15 数据.......

讨论

本研究提出了一种集成的扩展型双向长短期记忆网络–区块链（Extended BiLSTM–Blockchain）框架，用于医疗物联网（IoMT）环境中的入侵检测与防御。结果表明，该框架通过结合双向时序学习与基于区块链的取证日志记录，能够有效识别异构IoMT网络流量中的入侵模式。该双向架构使模型能够捕捉网络流量中的前向和后向时序依赖关系，从而在入侵类别上实现了较高的精确率（99.44%）、召回率（98.54%）以及F1分数（98.99%），同时相较于所评估的基线入侵检测模型，保持了较低的误报率（约1.0%）。与传统的单向LSTM或基线架构相比，后者可能难以捕捉长距离时序依赖关系，而本研究所提出的模型能更有效地识别序列化流量模式，提升对良性与恶意网络流量的区分能力。这些发现支持了本研究的假设，即：将注意力机制增强的扩展型双向LSTM检测器与区块链日志层相结合，可同时提升入侵检测性能与取证可追溯性。

所提出的框架可置于若干既有的研究方向之中。一个研究方向聚焦于面向医疗物联网（IoMT）系统的、以特征选择增强的入侵检测方法，包括基于树模型和基于滤波器的方法^.......

材料

本文使用的材料清单

姓名	公司	目录编号	评论
AQU-IMF-RFE 特征选择模块	自主开发	N/A	融合互信息、Aquila 优化器与递归特征消除的混合特征选择方法
注意力层	自主开发（基于 Keras）	N/A	在扩展 BiLSTM 模型中用于特征加权的时间注意力机制
Bot-IoT 数据集	UNSW 堪培拉网络中心	N/A	用于入侵检测评估的公开基准数据集
CICIDS2017 数据集	加拿大网络安全研究所	N/A	公开的基准入侵检测数据集
Ethereum 客户端（Geth）	Ethereum 基金会	1.13.15	用于部署和运行权威证明网络的区块链客户端
扩展 BiLSTM 模型	自主开发	N/A	融合 Conv1D、BiLSTM、残差学习和时间注意力机制的深度学习入侵检测模型
Jupyter Notebook	Project Jupyter	7.x	用于实现、实验和结果可视化的交互式环境
NumPy	NumPy 开发团队	2.4.4	用于预处理和模型训练的数值计算库
Pandas	Pandas 开发团队	3.0.2	用于数据预处理和数据分析的数据处理库
权威证明区块链网络	自主开发	N/A	用于不可篡改入侵日志记录和自动化缓解的许可区块链网络
Python	Python 软件基金会	3.12.7	用于数据预处理、模型开发、区块链集成和评估的编程语言
随机森林估计器	Scikit-learn 开发者	N/A	用于递归特征消除（RFE）的随机森林分类器
Scikit-learn	Scikit-learn 开发者	1.8.0	用于预处理、特征选择和模型评估的机器学习库
Solidity 编译器（solc）	Solidity 团队	0.8.19	用于智能合约编译和部署的编译器
固态硬盘（SSD）	Dell	512 GB	用于存储数据集、训练模型和区块链账本的存储设备
系统内存（RAM）	Dell	128 GB	在预处理、模型训练、区块链执行和评估过程中使用的主内存
TensorFlow	Google	2.16.1	用于实现和训练扩展 BiLSTM 模型的深度学习框架
UNSW-NB15 数据集	UNSW 堪培拉网络中心	N/A	用于训练和评估的公开基准数据集
Web3.py	Web3.py 开发者	6.15.1	用于入侵检测系统与区块链网络之间通信的 Python 接口
Windows 操作系统	Microsoft	Windows 11	所有实验所使用的操作系统
工作站/服务器	Dell	PowerEdge R740	用于模型训练、区块链部署和评估的计算平台