Blockchain-geïntegreerd bidirectioneel langtijdgeheugennetwerk voor realtime inbraakdetectie in de gezondheidszorg Internet of Medical Things

Summary

Dit protocol beschrijft de implementatie van een blockchain-geïntegreerd bidirectioneel langetermijninbraakdetectiesysteem voor het internet van medische netwerken in de gezondheidszorg, waardoor realtime aanvaldetectie, manipulatiebestendige forensische logging en geautomatiseerde mitigatie mogelijk is.

Abstract

Healthcare Internet of Medical Things (IoMT)-omgevingen vereisen inbraakdetectiesystemen die niet alleen cyberaanvallen nauwkeurig identificeren, maar ook forensische verantwoording, controleerbaarheid en snelle responsmogelijkheden bieden. Conventionele inbraakdetectiemethoden leggen vooral de nadruk op classificatieprestaties en bieden beperkte ondersteuning voor fraudebestendige gebeurtenisregistratie en onderzoek na incidenten. Deze studie presenteert een forensisch bewust intrusiedetectiekader dat een Extended Bidirectional Long Short-Term Memory (BiLSTM) netwerk integreert met een gemachtigde blockchainlaag om realtime detectie, veilige logging en geautomatiseerde mitigatie in IoMT-systemen in de gezondheidszorg te ondersteunen. Het protocol combineert datapreprocessing, AQU-IMF-RFE-functieselectie, temporele sequentiemodellering, aandachtsgebaseerd leren, residuele verbindingen en blockchain-gebaseerde gebeurtenisregistratie. Het Extended BiLSTM-model werd onafhankelijk getraind en geëvalueerd op de UNSW-NB15, CICIDS2017 en Bot-IoT benchmarkdatasets met behulp van reproduceerbare voorverwerking, gestratificeerde datapartitionering en vaste willekeurige seeds. Inbraakgebeurtenissen die door het model werden gedetecteerd, werden geregistreerd op een Proof-of-Authority-blockchain via smart contracts die onveranderlijke logging en geautomatiseerde responsacties mogelijk maakten. Experimentele resultaten toonden hoge inbraakdetectieprestaties met lage vals-positieve percentages over alle geëvalueerde datasets, terwijl forensische traceerbaarheid en realtime responscapaciteit behouden bleven. De blockchainlaag bood manipulatiebestendige auditgegevens en geautomatiseerde mitigatie zonder dat er een onbetaalbare rekenkracht werd toegevoegd. Deze bevindingen tonen aan dat het integreren van deep-learning-gebaseerde inbraakdetectie met blockchain-ondersteunde forensische logging de betrouwbaarheid, verantwoordelijkheid en praktische inzetbaarheid van cybersecuritysystemen in de gezondheidszorg verbetert.

Introduction

In het zorgsysteem heeft digitalisering geleid tot een nieuw tijdperk van intelligente, verbonden en patiëntgerichte zorgdiensten. Moderne medische infrastructuur is sterk afhankelijk van netwerkcommunicatie en gegevensuitwisseling tussen draagbare sensoren, systemen voor patiëntenmonitoring op afstand, elektronische patiëntendossiers (EPD's)^1,2 en intelligente diagnostische platforms. Deze toenemende interconnectiviteit vergroot echter ook het aanvalsoppervlak van zorgnetwerken, waardoor ze worden blootgesteld aan cyberdreigingen zoals datalekken, ransomware, distributed denial-of-service (DDoS)-aanvallen en man-in-the-middle-aanvallen. Deze inbraken leiden tot aanzienlijke financiële verliezen en, nog belangrijker, kunnen de patiëntveiligheid in gevaar brengen wanneer gevoelige medische gegevens of kritieke apparaatfunctionaliteit worden gecompromitteerd.

De schaal en complexiteit van Internet of Medical Things (IoMT)-systemen verergeren deze beveiligingsuitdagingen verder. Moderne zorgnetwerken moeten tegelijkertijd communicatie met lage latentie, hoge betrouwbaarheid en robuuste beveiligingsgaranties bieden, eisen^{waaraan traditionele} beveiligingsmechanismen vaak moeite hebben om te voldoen. De snelle groei van IoMT-verkeer, gekenmerkt door heterogene databronnen, dynamische communicatiepatronen en strenge regelgeving zoals de Health Insurance Portability and Accountability Act (HIPAA) en de General Data Protection Regulation (GDPR), vereist intelligente inbraakdetectiesystemen (IDS'en) die hoge detectiepercentages kunnen bereiken en valse alarmen minimaliseren⁵.

In gereguleerde zorgomgevingen is inbraakdetectie niet alleen een operationele vereiste, maar ook een verantwoordelijkheidsfunctie. Beveiligingswaarschuwingen kunnen apparaatisolatie veroorzaken, de continuïteit van zorg beïnvloeden en vervolgens onderworpen worden aan audits, regelgevende beoordelingen of juridische onderzoeken. Daarom moet een effectief IoMT IDS nauwkeurige realtime detectie, verklaarbare beslissingen die incident-triage ondersteunen, en manipulatievrije records bieden die onweerlegbaarheid en forensische traceerbaarheid garanderen⁶. Deze eis verschuift het doel van inbraakdetectie van prestatiegerichte classificatie naar trust-centrische en verantwoordelijkheidsgedreven beveiligingsgovernance.

Deep learning-technieken, met name Long Short-Term Memory (LSTM) en Bidirectional Long Short-Term Memory (BiLSTM) netwerken, hebben een sterke capaciteit aangetoond in het modelleren van temporele afhankelijkheden binnen netwerkverkeer en het detecteren van abnormaal gedrag⁷. Desalniettemin hebben bestaande op BiLSTM gebaseerde IDS'en vaak last van overfitting, onvoldoende aandacht voor kritieke temporele gebeurtenissen en beperkte generalisatie over heterogene IoMT-apparaten en zorgomgevingen. Bovendien zijn IoMT-netwerken blootgesteld aan een breed scala aan cyberdreigingen die de vertrouwelijkheid, integriteit en beschikbaarheid (CIA) van medische gegevens en diensten beïnvloeden, zoals samengevat in Tabel 1.

Aanvalstype	IoMT-context	CIA-dimensie beïnvloed	Impact op zorgsystemen
Ongeautoriseerde Toegang19	Gebruik van zwakke authenticatiemechanismen om toegang te krijgen tot patiëntapparaten of medische dossiers	Vertrouwelijkheid, integriteit	Datalekkage en ongeautoriseerde controle van medische apparaten
Parodie / Imitatie19	Kwaadaardig apparaat bootst een legitieme IoMT-node na	Integriteit	Foutieve metingen die kunnen leiden tot een verkeerde diagnose of onveilige behandeling
Afluisteren21	Onderschepping van onversleutelde medische gegevens tijdens verzending	Vertrouwelijkheid	Privacyschendingen en blootstelling van gevoelige patiëntgegevens
Datamanipulatie / Firmware Exploits19	Aanpassing van apparaatfirmware of verzonden gezondheidsgegevens	Integriteit	Onjuiste diagnose of ongepaste therapiebeslissingen
Ransomware20	Versleuteling van patiëntgegevens of medische apparaatfirmware	Beschikbaarheid, integriteit	Uitsluiting van kritieke systemen en behandelingsvertragingen
Denial-of-Service (DoS) / Gedistribueerde Denial-of-Service (DDoS)6	Overbelasting van medische apparaten of zorgnetwerken	Beschikbaarheid	Dienstverstoring die beïnvloedt monitoringsystemen en de werking van intensivecareafdelingen (ICU)
Zijkanaalaanvallen22	Extractie van cryptografische sleutels door middel van timing- of vermogensanalysetechnieken	Vertrouwelijkheid	Apparaatcompromittering en cryptografische sleuteldiefstal

Tabel 1: Veelvoorkomende cyberaanvallen die Internet of Medical Things gezondheidszorgomgevingen beïnvloeden. Deze tabel vat representatieve cyberaanvallen samen die zich richten op Internet of Medical Things (IoMT)-systemen, hun operationele context, de getroffen beveiligingsdimensies Confidentiality, Integrity en Availability (CIA), en hun potentiële impact op de zorgverlening, patiëntveiligheid en werking van medische apparaten.

Blockchaintechnologie biedt verschillende voordelen die inbraakdetectie in IoMT-omgevingen kunnen aanvullen. Zoals samengevat in Tabel 2, maakt blockchain onveranderlijke gebeurtenisregistratie voor forensische validatie mogelijk, faciliteert geautomatiseerde mitigatie via smart contracts, verwijdert single points of failure door gedecentraliseerde operaties en ondersteunt het naleving van gezondheidszorggegevensbeschermingsregels door traceerbare auditsporen te onderhouden. Ondanks deze voordelen blijven blockchain-gebaseerde beveiligingsmechanismen onderbenut in gezondheidszorg-IDS'en.

Kenmerk	Beschrijving	Voordelen in de gezondheidszorgcontext
Dataintegriteit	Elke transactie wordt cryptografisch gehasht en gekoppeld aan het vorige blok	Waarborgt onveranderlijkheid van patiënt- en apparaatrecords
Manipulatiedetectie	Elke wijziging van opgeslagen data verandert de blokhash en maakt de keten ongeldig	Maakt snelle detectie van ongeautoriseerde wijziging van records mogelijk
Toegangscontrole	Smart contracts handhaven vooraf gedefinieerde permissies en autorisatiebeleid	Beperkt de toegang tot gevoelige gezondheidsinformatie tot gemachtigde gebruikers en apparaten
Gegevensherkomst	Elk evenement is digitaal ondertekend en voorzien van een tijdstempel	Ondersteunt forensische traceerbaarheid, audits en naleving van regelgeving
Consensus met lage latentie	Het Proof-of-Authority (PoA) consensusmechanisme maakt snelle transactievalidatie mogelijk met een lagere rekenkracht dan Proof-of-Work	Ondersteunt bijna realtime gebeurtenisregistratie in kritieke zorgomgevingen

Tabel 2: Voordelen van blockchaintechnologie voor de Internet of Medical Things intrusiedetectiesystemen in de gezondheidszorg. Deze tabel vat de belangrijkste blockchainkenmerken samen en hun bijbehorende voordelen in gezondheidszorgomgevingen met Internet of Medical Things (IoMT). De vermelde mogelijkheden ondersteunen onveranderlijke logging, manipulatiedetectie, toegangscontrole, gegevensherkomst en consensusmechanismen met lage latentie die nodig zijn voor veilige en controleerbare inbraakdetectie.

Naast prestatie-evaluatie biedt blockchain-integratie bescherming tegen meerdere beveiligingsdreigingen in IoMT-omgevingen. Tabel 3 vat de sterke en zwakke punten van blockchain in deze context samen en belicht dreigingen die effectief worden gemitigeerd, zoals datamanipulatie en -verwerping, en dreigingen die extra waarborgen vereisen. De blockchainlaag ondersteunt loggegevens met lage latentie, geschikt voor realtime zorgomgevingen, Byzantijnse veerkracht tegen defecte of kwaadaardige knooppunten, en schaalbaarheid over gedistribueerde ziekenhuisnetwerken en IoMT-apparaten.

Beveiligingsdreiging	Wordt het aangepakt door Blockchain?	Mechanisme	Noten
Gegevensmanipulatie27	Ja	Cryptografische hashlinking	Elke wijziging maakt de ketenintegriteit ongeldig.
Afwijzing26	Ja	Digitale handtekeningen die aan elk blok horen	Voorkomt het ontkennen van geregistreerde inbraakgebeurtenissen
Gecentraliseerde Mislukking25	Ja	Gedistribueerd grootboek onderhouden over geautoriseerde gateways	Elimineert een enkel faalpunt
Sybil Aanval24	Gedeeltelijk	Permissioned PoA-consensus vereist vertrouwde validators	Kan worden gemitigeerd door identiteitsgebaseerde validatorautorisatie
51% Aanval23	Gedeeltelijk	Vereist een compromis van een meerderheid van de bevoegde validatoren	Minder waarschijnlijk bij private PoA-blockchainimplementaties
Gegevensherkomst26	Ja	Tijdgestempelde en digitaal ondertekende evenementrecords	Ondersteunt forensische traceerbaarheid en naleving van regelgeving

Tabel 3: Beveiligingsbedreigingen aangepakt door blockchain-integratie in gezondheidszorgomgevingen van Internet of Medical Things. Deze tabel vat de belangrijkste beveiligingsdreigingen samen die relevant zijn voor Internet of Medical Things (IoMT)-systemen en geeft aan in hoeverre blockchaintechnologie elke dreiging vermindert. De onderliggende beschermingsmechanismen en implementatieoverwegingen worden voor elke dreigingscategorie gepresenteerd.

De meeste bestaande IDS'en vertrouwen op vooraf gedefinieerde regels of lichtgewicht machine learning-modellen ^8,9. Hoewel dergelijke benaderingen bekende aanvalspatronen kunnen identificeren, hebben ze vaak moeite om om te gaan met de dynamische en veranderende aard van moderne cyberdreigingen. Ze zijn bijzonder ontoereikend voor het beveiligen van snelgroeiende IoMT-gebaseerde zorginfrastructuren, waar valse alarmen, beperkte aanpassingsvermogen en slechte auditeerbaarheid de operationele efficiëntie aanzienlijk kunnen beïnvloeden. Regelgebaseerde systemen genereren vaak hoge vals-positieve percentages omdat ze geen betrouwbare onderscheiding kunnen maken tussen goedaardige anomalieën en echte aanvallen⁹. Conventionele machine learning-modellen die zijn getraind op statische of verouderde datasets, evenals bestaande deep learning-gebaseerde intrusiedetectiebenaderingen, slagen er vaak niet in opkomende aanvalsgedrag te generaliseren, waaronder zero-day intrusions^10,11. Daarnaast blijven traditionele gecentraliseerde loggingmethoden kwetsbaar voor manipulatie, waardoor de betrouwbaarheid van forensisch onderzoek na incidenten^{beperkt wordt 12}. Veel bestaande IDS-oplossingen brengen ook aanzienlijke rekenkundige overhead met zich mee, waardoor ze moeilijk te implementeren zijn op resourcebeperkte IoMT-apparaten en gateways¹³. Daardoor blijven zorgomgevingen van IoMT kwetsbaar voor geavanceerde, meerfasige cyberaanvallen. Het aanpakken van deze uitdagingen vereist een intelligent, veilig en resource-efficiënt inbraakdetectiekader dat in staat is temporele verkeerspatronen in realtime te leren terwijl forensische betrouwbaarheid en geautomatiseerde mitigatie van gedetecteerde dreigingen worden gewaarborgd.

Ondanks aanzienlijke vooruitgang in machine learning en deep learning-gebaseerde intrusiedetectie, blijven er verschillende kritieke hiaten bestaan. Ten eerste worden veel bestaande IDS-modellen ontwikkeld en geëvalueerd met behulp van statische datasets en missen ze daarom aanpassingsvermogen aan continu evoluerend aanvalgedrag. Ten tweede, hoewel geavanceerde deep learning-architecturen de detectienauwkeurigheid kunnen verbeteren, bieden ze vaak beperkte interpreteerbaarheid en geven ze geen prioriteit aan klinisch belangrijke verkeerspatronen. Ten derde, en het belangrijkste, bieden de huidige IDS-kaders over het algemeen geen intrinsieke ondersteuning voor forensische betrouwbaarheid, controleerbaarheid of onveranderlijke administratie, mogelijkheden die essentieel zijn voor naleving van regelgeving, incidentonderzoek en juridische verantwoordelijkheid in zorgsystemen.

Hoewel blockchain-gebaseerde loggingmechanismen gegevensintegriteit en transparantie bieden, zijn ze zelden samenhangend geïntegreerd met geavanceerde deep learning-gebaseerde intrusiedetectiemodellen in latencygevoelige IoMT-omgevingen. Bestaande studies richten zich doorgaans op het verbeteren van detectieprestaties zonder forensische integriteit te adresseren, of op blockchain-gebaseerde beveiligingsmechanismen zonder geavanceerde tijdsafwijkingsdetectie te integreren. Daardoor blijft er een aanzienlijke kloof bestaan in het ontwikkelen van een uniform kader dat gelijktijdig realtime detectie van ruimtelijke en temporele inbraak, manipulatiebestendige forensische logging, geautomatiseerde mitigatie en praktische implementatie kan leveren binnen heterogene en beperkte gezondheidszorg-IoMT-omgevingen.

Gemotiveerd door deze uitdagingen streeft deze studie ernaar een intrusiedetectiekader te ontwikkelen dat BiLSTM-netwerken versterkt via aandachtsmechanismen en aangepaste lagen voor verbeterde temporele functieprioritering, blockchaintechnologie integreert voor veilige en verifieerbare inbraaklogging en geautomatiseerde respons, en efficiënt werkt in realtime zorginstellingen van IoMT. Wij veronderstellen dat het integreren van een aandachtsversterkte Extended BiLSTM-architectuur met blockchain-gebaseerde forensische logging en geautomatiseerde mitigatiemechanismen de effectiviteit van inbraakdetectie zal verbeteren, terwijl tegelijkertijd de controleerbaarheid, betrouwbaarheid en verantwoording wordt geboden die nodig zijn in gereguleerde zorgomgevingen.

Dit werk pakt een fundamentele kloof in het IoMT-beveiligingsonderzoek aan door inbraakdetectie te behandelen als een forensisch verantwoordelijkheidsprobleem in plaats van uitsluitend als een classificatieprobleem. Het voorgestelde framework integreert door kunstmatige intelligentie (AI)-gedreven detectie, onveranderlijke gebeurtenisregistratie en geautomatiseerde responsmechanismen in een uniforme architectuur die klinische veiligheid, naleving van regelgeving en operationeel vertrouwen ondersteunt. De toenemende adoptie van IoMT-apparaten en cloudverbonden zorginfrastructuren heeft zorgnetwerken aantrekkelijke doelwitten gemaakt voor cyberaanvallen, waaronder ransomware, gegevensmanipulatie, ongeautoriseerde toegang en denial-of-service-aanvallen die de vertrouwelijkheid, integriteit en beschikbaarheid van patiëntinformatie bedreigen. Het voorgestelde Extended BiLSTM–Blockchain-framework stelt een gesloten-lus beveiligingsproces vast dat aanvaldetectie direct koppelt aan forensische validatie en geautomatiseerde mitigatie.

De belangrijkste bijdragen van deze studie zijn vijfvoudig. Ten eerste wordt een klinisch uitgelijnd model voor het detecteren van temporele intrusie ontwikkeld door een conventionele BiLSTM-architectuur uit te breiden met dual-directioneel temporeel leren, residuele verbindingen, aandachtsmechanismen en aangepaste lagen om de detectie van complexe aanvalspatronen in het zorgverkeer te verbeteren. Ten tweede is een lichtgewicht blockchain-gebaseerde beveiligingslaag geïntegreerd met het Extended BiLSTM-model om onveranderlijke, veilige en manipulatievrije logging van inbraakgebeurtenissen en systeemacties te bieden. Ten derde wordt een end-to-end realtime IDS-pijplijn ontwikkeld voor zorgomgevingen, die live verkeersanalyse en inbraakvoorspelling met lage latentie en hoge nauwkeurigheid mogelijk maakt. Ten vierde wordt het voorgestelde raamwerk uitgebreid geëvalueerd met behulp van drie openbaar beschikbare benchmarkdatasets, namelijk UNSW-NB15, CICIDS2017 en Bot-IoT. Ten slotte is de architectuur ontworpen als een schaalbaar en uitbreidbaar edge-cloud-framework, geschikt voor praktische implementatie in zorgnetwerken, medische infrastructuren en e-health-toepassingen.

Door de temporele leermogelijkheden van uitgebreide BiLSTM-netwerken te combineren met het vertrouwen en de onveranderlijkheid die blockchaintechnologie biedt, levert het voorgestelde framework een veilige en betrouwbare IDS die is afgestemd op de veranderende cybersecurityvereisten van zorgomgevingen. Het kader overbrugt kritieke hiaten in de beveiliging van gezondheidsnetwerken en legt een basis voor bredere adoptie van AI en blockchain-integratie ter bescherming van kritieke zorginfrastructuren.

Protocol

Alle experimenten werden uitsluitend uitgevoerd met publiek beschikbare benchmark-netwerkinbraakdatasets (UNSW-NB15, CIC-IDS-2017 en Bot-IoT), die netwerkverkeersrecords bevatten zonder identificeerbare persoonlijke of medische informatie. De datasets werden gebruikt in overeenstemming met hun respectievelijke licenties en gebruiksvoorwaarden. Omdat er geen menselijke deelnemers, patiëntmonsters of identificeerbare persoonsgegevens betrokken waren, waren institutionele ethische goedkeuring en geïnformeerde toestemming niet vereist.

Overzicht van het voorgestelde kader
Deze sectie presenteert het voorgestelde dubbellaagse intrusiedetectie- en preventiekader voor het beveiligen van IoMT-omgevingen. Het framework integreert een uitgebreid BiLSTM-netwerk voor ruimtelijk-temporele inbraakdetectie met een lichtgewicht blockchainlaag voor manipulatiebestendige logging en geautomatiseerde mitigatie. In tegenstelling tot conventionele IDS-benaderingen die zich uitsluitend richten op detectienauwkeurigheid, is de voorgestelde architectuur ontworpen om tegelijkertijd realtime detectie, forensische verantwoording en naleving van regelgeving te ondersteunen, wat essentiële vereisten zijn in zorgsystemen. De algemene workflow en architectuur van het voorgestelde Extended BiLSTM–Blockchain intrusiedetectieframework voor IoMT-netwerken worden geïllustreerd in Figuur 1.

Figuur 1. Architectuur van het voorgestelde Extended BiLSTM–Blockchain intrusiedetectieframework voor Internet of Medical Things-netwerken. Schematische weergave van het voorgestelde framework met de trainings- en implementatieworkflows. In de trainingsworkflow genereren Internet of Medical Things (IoMT)-apparaten netwerkverkeer dat datapreprocessing en feature engineering ondergaat voordat het wordt geanalyseerd door het Extended Bidirectional Long Short-Term Memory (BiLSTM)-model met temporele aandacht. Modelparameters worden geoptimaliseerd door verliesfunctieberekening en iteratieve training. In de implementatieworkflow voert het getrainde model inbraakdetectie uit volgens de beslissingsfunctie gedefinieerd in Vergelijking 13. Gedetecteerde inbraakgebeurtenissen worden doorgestuurd naar de blockchainmodule, waar onveranderlijke logging, node-isolatie en het genereren van beheerderswaarschuwingen worden uitgevoerd. BiLSTM, Bidirectioneel Langetermijngeheugen; IoMT, Internet van Medische Dingen. Klik hier om een grotere versie van deze figuur te bekijken.

IoMT-apparaten genereren heterogene datastromen bestaande uit netwerkverkeer, apparaatmetadata en patiëntgerelateerde signalen. Dergelijke ruwe input zijn vaak ruiserig, redundant en inconsistent, waardoor ze ongeschikt zijn voor directe modeltraining. Daarom wordt een preprocessing-pijplijn toegepast om de kwaliteit en structuur van de data te waarborgen voordat deze wordt ingevoerd in het Extended BiLSTM-model. De gedetailleerde preprocessing-pseudocode is beschikbaar in Algoritme 1 (Supplementair Bestand 1), dat de preprocessing-pijplijn beschrijft die is toegepast op IoMT-datastromen voorafgaand aan de Uitgebreide BiLSTM-training (pseudocode in Aanvullend Bestand 1; implementatie in Aanvullend Bestand 2). De volledige Extended BiLSTM-architectuur wordt samengevat in Algoritme 2 (Supplementair Bestand 1).

End-to-end reproductieworkflow
De volledige studie kan worden gereproduceerd met behulp van onderstaande stappen. Software en hardware worden vermeld in de Experimentele Opstelling, en de aanvullende code behandelt elke stap.

Download de datasets → Download UNSW-NB15. Gebruik de bestanden UNSW_NB15_training-set.csv en UNSW_NB15_testing-set.csv. Download CICIDS2017. Gebruik de vijf MachineLearningCSV-dagbestanden (maandag tot vrijdag). Download Bot-IoT. Gebruik de 5% subsetbestanden UNSW_2018_IoT_Botnet_Full5pc_1_to_4. Eerdere intrusiedetectiestudies vertrouwden vaak op benchmarkdatasets zoals KDD Cup 99¹⁴; deze studie gebruikt echter de recentere UNSW-NB15, CICIDS2017 en Bot-IoT datasets om het hedendaagse netwerkverkeer beter weer te geven. Verwerk elke dataset apart. De UNSW-NB15 dataset is beschikbaar bij de University of New South Wales at https://research.unsw.edu.au/projects/unsw-nb15-dataset (laatst gewijzigd: 8 februari 2024). De CICIDS2017 dataset is beschikbaar bij het Canadian Institute for Cybersecurity op https://www.unb.ca/cic/datasets/ids-2017.html (uitgebracht: juli 2017). De Bot-IoT dataset is beschikbaar bij de University of New South Wales at https://research.unsw.edu.au/projects/bot-iot-dataset (laatst gewijzigd: 5 februari 2024). Alle datasets werden in mei 2025 voor deze studie geraadpleegd.

Verwerk de gegevens vooraf → verwijder corrupte records. Vul ontbrekende waarden in met behulp van trainingsset-methoden. Pas EMA-denoising aan (α = 0,3). Normaliseer features naar [0,1] met behulp van trainingssetstatistieken. Label-encoderen categorische velden. Bouw schuiframen (T = 20, stride = 1). Deze voorverwerkingsstappen ondersteunen robuuste intrusiedetectie door ruis te verminderen en de kwaliteit van netwerkverkeersrepresentaties voor machine-learning gebaseerde IDS'en^15,16 te verbeteren.

Selecteer functies (AQU-IMF-RFE) → Rangschik functies op basis van wederzijdse informatie. Verfijn met de Aquila Optimizer. Pas Random Forest RFE toe met 10-voudige kruisvalidatie. Behoud de laatste kenmerken. Deze hybride feature-selectiestrategie volgt het bredere concept van het combineren van complementaire intrusiedetectietechnieken¹⁷ en wordt geïmplementeerd met het AQU-IMF-RFE-framework dat in ons eerdere werk^{is ontwikkeld 18}.

Train het model → Voor elke dataset werden de gegevens willekeurig gesplitst in trainingssets (80%) en testsets (20%) met een vast willekeurig zaad van 42. Twintig procent van de trainingspartitie was verder gereserveerd als validatieset. Bouw de uitgebreide BiLSTM. Train met behulp van gewogen binaire kruis-entropieverlies en de Adam optimizer (leersnelheid = 0,001, batchgrootte = 64, maximum van 50 epochs, met vroegtijdige stop). Bewaar het getrainde model. Het gebruik van temporele deep-learningmodellen is zeer geschikt voor heterogeen IoMT-verkeer¹⁹. De volledige modeltrainingsworkflow wordt samengevat in Algoritme 3 (Aanvullend Bestand 1). De uiteindelijke klassegewichten werden automatisch berekend uit de trainingsset klassenverdelingen volgens Vergelijkingen 19 en 20. De resulterende klassegewichten waren als volgt: UNSW-NB15: , ; CICIDS2017: , ; en Bot-IoT (5% subset): , . De hoge waarde van w_n voor de Bot-IoT dataset weerspiegelt de ernstige ondervertegenwoordiging van goedaardige samples in de trainingspartitie van de 5%-subset.

Zet de blockchain uit → Start de Proof-of-Authority (PoA)-keten. Rol het smart contract uit en noteer het adres. Autoriseer de gateway-accounts. Voer de client zo uit dat elke gedetecteerde inbraak wordt geregistreerd en isolatie en waarschuwingen activeert. De volledige detectie-, blockchain-logging en mitigatieworkflow wordt samengevat in Algoritme 4 (Aanvullend Bestand 1). De blockchainlaag werd geïmplementeerd met behulp van de go-ethereum (Geth) client versie 1.13.15 om het geperfiseerde PoA-netwerk te bedienen, de Solidity compiler (solc) versie 0.8.19 voor smart-contract compilatie en implementatie, en de web3.py bibliotheekversie 6.15.1 voor communicatie tussen het IDS en het blockchainnetwerk.

Evalueer → Test het model op de vastgehouden testset. Bereken nauwkeurigheid, precisie, herinnering, F1-score en vals-positieve percentage. Registreer latentie en doorvoer. Controleer de integriteit van het blockchain-grootboek. De volledige evaluatieworkflow wordt samengevat in Algoritme 5 (Aanvullend Bestand 1). Detectielatentie (T_d) werd gemeten vanaf direct voor de modelinferentieoproep tot het moment waarop de voorspelde kansen werden teruggegeven. End-to-end mitigatielatentie (T_d +_{T b}) werd gemeten vanaf hetzelfde startpunt tot voltooiing van de overeenkomstige blockchain-blokcreatietransactie. De doorvoersnelheid werd berekend als het totale aantal voorbewerkte testvensters dat door de volledige detectie- en loggingpijplijn werd verwerkt, gedeeld door de verstreken muurkloktijd die nodig was voor een enkele volledige doorgang van elke dataset. De werklast bestond uit de vensterversies van test, terwijl de oorspronkelijke benign-to-intrusion klassendistributie behouden bleef. Kwaadaardige vensters brachten ook de blockchain-logging overhead met zich mee, terwijl goedaardige vensters alleen de inbraakdetectiekosten opleverden.

Genereer figuren en tabellen → Plot de nauwkeurigheids- en verliescurves, verwarringsmatrix en vergelijkende evaluatiegrafieken. Bouw de vergelijkingstabellen. De volledige workflow voor het genereren van figuren en tabellen wordt samengevat in Algoritme 6 (Aanvullend Bestand 1). De complete, op maat gemaakte broncode die wordt gebruikt om alle figuren en tabellen te genereren, wordt verstrekt in Supplementair Bestand 2. In het bijzonder reproduceert het figures.py-script de manuscriptfiguren direct uit de opgeslagen experimentele outputs (bijvoorbeeld trainingsgeschiedenis en verwarringsmatrixbestanden), terwijl de overige scripts de verwerkte data en prestatie-metrics genereren die worden gebruikt om de gerapporteerde tabellen samen te stellen.

Figuur 2 toont de implementatieniveau datastroom tussen de IDS- en blockchainmodules. De uitgebreide BiLSTM levert een per-venster beslissing op (Vergelijking 13); bij een kwaadaardige classificatie construeert en ondertekent de gateway-client een transactie en stuurt deze via web3/JSON-RPC naar het PoA smart contract, dat een hash-linked block (Equation 14) toevoegt aan het onveranderlijke grootboek en gebeurtenissen (BlockCreated, NodeIsolated en AdminAlert) uitzendt die node-isolatie en beheerderswaarschuwingen veroorzaken.

Figuur 2. Implementatieniveau interactie tussen inbraakdetectie en blockchainmodules. Workflowdiagram dat de communicatie tussen het inbraakdetectiesysteem en blockchaincomponenten illustreert. Het uitgebreide BiLSTM-model classificeert elk invoervenster en past de beslissingsregel toe die is gedefinieerd in Vergelijking 13. Wanneer een inbraak wordt gedetecteerd, genereert en ondertekent de gateway-client een transactie die via Web3.py/JSON-RPC naar het Proof-of-Authority (PoA) smart contract wordt verzonden. Het contract voegt een hash-linked block toe aan het onveranderlijke grootboek volgens Equation 14 en zendt BlockCreated-, NodeIsolated- en AdminAlert-gebeurtenissen uit die containment- en notificatieacties activeren. IDS, Intrusion Detection System; BiLSTM, Bidirectioneel Langetermijngeheugen; Volmacht, bewijs van autoriteit; JSON-RPC, JavaScript Object Notatie–Remote Procedure Call. Klik hier om een grotere versie van deze figuur te bekijken.

Datarepresentatie
Laten we R beschouwen als de ruwe IoMT-verkeersstroom. Na voorverwerking wordt elk ruwe record omgezet in een genormaliseerde d-dimensionale featurevector (Vergelijking 1):

(1)

Hier is f (⋅) de feature-transformatiefunctie die ruwe records afbeeldt naar een d-dimensionale genormaliseerde featurevector. Laat het IoMT-netwerk bestaan uit een verzameling knopen (Vergelijking 2):

N = {n₁ , n₂, ... , n_k} (2)

Elke knoop n_j ∈ R produceert een tijdreeksdatastroom (Vergelijking 3):

(3)

Hier is x_t de featurevector op tijdstip t, waarbij d kenmerken (bijv. pakketgrootte, protocoltype, bron-/bestemmingsadres) vaak worden waargenomen in Internet of Things-gezondheidsnetwerkverkeer¹⁹. De overeenkomstige labelset is (Vergelijking 4):

  (4)

Hier vertegenwoordigt y_t=0 normaal verkeer en y_t =1 een intrusie.

Gegevensvoorverwerking
De preprocessing-pijplijn omvat de volgende stappen, die veelvoorkomende uitdagingen op het gebied van datakwaliteit en beveiliging aanpakken die gepaard gaan met IoMT-verkeer²⁰:

Gegevensopschoning en verwerking van ontbrekende waarde:
Een record werd vóór imputatie als beschadigd geïdentificeerd en verwijderd als het voldeed aan een van de volgende expliciete voorwaarden: (i) alle featurevelden in het record ontbraken (d.w.z. het hele record was nul), of (ii) het record bevatte een niet-eindige waarde (positief of negatief oneindig) in elk numeriek veld na typecoercion. De tweede regel verwijdert ongeldige vermeldingen zoals die geproduceerd door deling door nul tijdens de berekening van flow-features (bijvoorbeeld oneindige flow-rate-waarden die voortkomen uit flow-flowen met nul duur). Nadat corrupte records waren verwijderd, werden resterende ontbrekende waarden berekend door gemiddelde vervanging per feature, per dataset en alleen uit de trainingspartitie; De resulterende middelen werden toegepast op de trainings-, validatie- en testsets om informatielekkage te voorkomen. Imputatie was niet klasse-conditioneel en de middelen werden niet over datasets verdeeld.

Temporele ontknoping:
Temporele denoising werd uitgevoerd met een per-feature exponentiële voortschrijdende gemiddelde (EMA) filter die langs de tijdsas werd toegepast. De recursieve (causale) vorm y_t = α·x_t + (1 − α)·y_t−1 werd gebruikt, met een gladmakingsfactor α = 0,3, geïmplementeerd via de pandas ewm-functie met adjust=False. Elke functie werd onafhankelijk gladgestreken. Als exponentiële (oneindige-impulsrespons) filter heeft de EMA geen vast venster of kernelgrootte; De gladmakingsfactor α is de enkele parameter die de mate van gladmaking en het effectieve geheugen van het filter bepaalt.

Min–Max-normalisatie:
Min–max normalisatie werd toegepast om elk kenmerk te schalen naar het [0,1]-bereik met behulp van de transformatie x′=(x−min)/(max−min+ε), waarbij ε = 1 × 10⁻⁸. De minimale en maximale statistieken werden per feature, per dataset en alleen vanaf de trainingspartitie berekend; Deze opgeslagen trainingsstatistieken werden vervolgens toegepast om de training, validatie en testsets te normaliseren, waardoor lekken van vastgehouden informatie werd voorkomen. Tijdens inferentie werden featurewaarden buiten het trainingsbereik geknipt naar het [0,1]-interval.

Coderen van categorische kenmerken:
Categorische kenmerken werden omgezet naar numerieke vorm met behulp van labelcodering. Dit werd toegepast op alle categorische variabelen: in UNSW-NB¹⁵ de proto-, service- en state-velden; in Bot-IoT, het proto-veld; CICIDS2017 bevat geen categorische velden onder de geselecteerde kenmerken. De codering werd geïmplementeerd met LabelEncoder aangepast per variabele.

Temporele venstervorming voor sequentieel leren:
De voorbewerkte featurestroom werd gesegmenteerd in sequenties van vaste lengte met behulp van een schuifvenster van lengte T = 20 tijdstappen met een pas van s = 1. Elk gegenereerd venster werd gevalideerd voordat het werd opgenomen. Een venster werd alleen geaccepteerd als het precies T = 20 opeenvolgende tijdsstappen bevatte en alle featurewaarden eindig waren. Streams korter dan T = 20 records leverden geen vensters op. Deze configuratie (T = 20, s = 1, 95% overlap) werd consequent toegepast op alle experimenten en datasets. De volledige preprocessingworkflow wordt samengevat in Algoritme 1 (Aanvullend Bestand 1).

Het doel van preprocessing is om een voorspellende mapping mogelijk te maken van invoersequenties naar intrusielabels (Vergelijking 5).

(5)

geparametriseerd door θ, die voorspelt of een gebeurtenis goedaardig of kwaadaardig is.

Functieselectie met AQU-IMF-RFE
Feature-selectie werd uitgevoerd met AQU-IMF-RFE, een hybride methode die Mutual Information (MI), de Aquila Optimizer (AO) en Recursive Feature Elimination (RFE) integreert, geïntroduceerd in ons eerdere werk¹⁸. De methode werkt in drie fasen. In de eerste fase wordt de wederzijdse informatie tussen elk kenmerk en het klasselabel berekend om een initiële relevantierangschikking te verkrijgen. In de tweede fase voert de Aquila Optimizer een globale zoekopdracht uit over kandidaat-feature-subsets met behulp van zijn vier optimalisatiestrategieën. In de derde fase wordt de verfijnde deelverzameling door Recursive Feature Elimination geleid met 10-voudige kruisvalidatie met behulp van een Random Forest (RF) schatter.

De Aquila Optimizer was geconfigureerd met een populatiegrootte van 100, een maximum van 10 iteraties, een exploitatiefactor van 0,1, een leersnelheid van 0,1 en een aantrekkingsfactor van 0,005. Onafhankelijk toegepast op elke dataset behield AQU-IMF-RFE 14 functies voor UNSW-NB15, 24 voor CICIDS2017 en 12 voor Bot-IoT. De volledige pseudocode wordt verstrekt in Aanvullend Bestand 1, en de geselecteerde feature-subsets worden vermeld in Tabel 4.

Tabel 4A. Geselecteerde kenmerken behouden voor UNSW-NB15
S. Nee.	Kenmerk	Type	Categorie
1	Dur.	Numeriek (float)	Basis
2	sbytes	Numeriek (geheel getal)	Basis
3	Tarief	Numeriek (float)	Basis
4	dload	Numeriek (float)	Basis
5	sinpkt	Numeriek (float)	Tijd
6	dinpkt	Numeriek (float)	Tijd
7	sjit	Numeriek (float)	Tijd
8	tcprtt	Numeriek (float)	Tijd
9	Synack	Numeriek (float)	Tijd
10	ackdat	Numeriek (float)	Tijd
11	Smean	Numeriek (geheel getal)	Inhoud
12	ct_srv_src	Numeriek (geheel getal)	Verbinding
13	ct_dst_src_ltm	Numeriek (geheel getal)	Verbinding
14	ct_srv_dst	Numeriek (geheel getal)	Verbinding
Tabel 4B. Geselecteerde kenmerken behouden voor CICIDS2017
S. Nee.	Kenmerk
1	Bestemmingshaven
2	Stroomduur
3	Totale lengte van vooruitgestuurde pakketten
4	Totale lengte van achtergestelde pakketten
5	Maximale pakketlengte
6	Achterwaartse pakketlengte Maximum
7	Gemiddelde van de achterwaartse pakketlengte
8	Flowpakketten
9	Maximum van de inter-aankomsttijd van de stroom
10	Totaal van de voorafwaartse inter-aankomsttijd
11	Lengte van de kopbal naar voren
12	Achteruit-header lengte
13	Vooruitgestuurde pakketten per seconde
14	Maximale pakketlengte
15	Gemiddelde pakketlengte
16	Pakketlengte-standaarddeviatie
17	Pakketlengtevariantie
18	Gemiddelde pakketgrootte
19	Gemiddelde achterwaartse segmentgrootte
20	Subflow Forward Bytes
21	Subflow Backward Bytes
22	Initiële vensterbytes vooruit
23	Initiële vensterbytes achteruit
24	Gemiddelde van de voorwaartse pakketlengte
Tabel 4C. Geselecteerde functies behouden voor Bot-IoT
S. Nee.	Kenmerk	Type
1	seq	Numeriek
2	Gemiddelde	Numeriek
3	stddev	Numeriek
4	Min	Numeriek
5	Max	Numeriek
6	Srate	Numeriek (float)
7	drate	Numeriek (float)
8	N_IN_Conn_P_SrcIP	Numeriek (geheel getal)
9	N_IN_Conn_P_DstIP	Numeriek (geheel getal)
10	Proto	Categorisch (gecodeerd)
11	state_number	Numeriek (geheel getal)
12	Tarief	Numeriek (float)

Tabel 4: Kenmerken geselecteerd met de AQU-IMF-RFE-featureselectiemethode. Deze tabel geeft de laatste feature-subsets weer die door het AQU-IMF-RFE-featureselectieframework zijn geselecteerd voor de UNSW-NB15-, CICIDS2017- en Bot-IoT-datasets. Functienamen, datatypes en functionele categorieën worden waar van toepassing vermeld.

Experimentele opstelling
Alle experimenten werden uitgevoerd op een Dell PowerEdge R740-server uitgerust met een Intel Xeon Silver 4214-processor die werkte op een basisfrequentie van 2,20 GHz, met 12 fysieke cores, 24 logische threads, 16,5 MB cache en een Intel Ultra Path Interconnect (UPI)-snelheid van 9,6 GT/s. De server was geconfigureerd met 128 GB RAM, een solid-state drive (SSD) van 512 GB, en draaide op Microsoft Windows 11. De softwarestack bestond uit Python 3.12.7, TensorFlow 2.16.1, scikit-learn 1.8.0, pandas 3.0.2 en NumPy 2.4.4. De blockchainlaag werd geïmplementeerd op hetzelfde werkstation met behulp van een PoA Ethereum-netwerk. Communicatie tussen de IDS en de blockchain werd uitgevoerd via JSON-RPC met behulp van de go-ethereum (Geth) client versie 1.13.15, de Solidity compiler (solc) versie 0.8.19 voor smart-contract compilatie en implementatie, en de Web3.py bibliotheekversie 6.15.1. Gerapporteerde trainingstijd, inferentielatentie en doorvoer werden gemeten op deze hardware- en softwareconfiguratie.

Modelarchitectuur en training
Het Extended BiLSTM-model vormt het kerndetectieonderdeel van het framework, voortbouwend op eerdere leergebaseerde intrusiedetectiebenaderingen die zijn ontwikkeld voor IoMT-omgevingen²¹. Eerdere inbraakdetectiestudies benadrukten zowel het belang van het balanceren van detectieprestaties met false-alarm reduction¹⁵ als de unieke uitdagingen van het toepassen van machine learning-methoden op evoluerend netwerkverkeer¹⁶. Samenwerkingsgerichte neurale netwerk-intrusiedetectie-architecturen hebben verder aangetoond dat diep sequentiële feature-learning voor complex netwerkverkeer²² is. Terwijl standaard BiLSTM-modellen bidirectionele temporele afhankelijkheden vastleggen, vertoont IoMT-verkeer zowel kortetermijnburstpatronen als langeafstandsafhankelijkheden veroorzaakt door meerfasige aanvallen. Om dit aan te pakken, breidt het voorgestelde model BiLSTM uit met temporele feature-extractie, verbeterde bidirectionele temporele leer, residuele verbindingen en aandachtgebaseerde temporele prioritering. Bidirectionele LSTM's (BiLSTM) overwinnen deze beperking door voor- en achterwaartse verborgen toestanden te combineren, waardoor een rijkere temporele representatie van IoMT-verkeerspatronen mogelijk is, zoals gegeven in Algoritme 2 (Aanvullend Bestand 1).

Laat de invoerreeks X^(n_j) = {x₁ , x₂ , ... , x_T } zijn, waarbij elke x_t ∈ R^d een voorbewerkte kenschapsvector is.

Temporele Kenmerk Extractie:
Een lichtgewicht eendimensionale convolutie wordt toegepast over de tijdsdimensie om korte-bereik temporele anomalieën te benadrukken (Vergelijking 6):

U = φ (Conv1D(X^(n_j)), U = {u₁, u₂, ..., u_T } (6)

Hier is φ(⋅) een niet-lineaire activatiefunctie en worden de geconvolveerde kenmerken u_t aan de BiLSTM gevoerd.

De Conv1D-laag extraheert kortetermijnpatronen vóór bidirectionele sequentiemodellering. Volledige implementatieparameters zijn beschikbaar in Supplementair Bestand 3B.

Gestapeld Bidirectioneel LSTM-leren:
Voorwaartse en achterwaartse verborgen toestanden worden berekend als (Vergelijking 7):

(7)

De uiteindelijke BiLSTM-representatie is de samenvoeging van verborgen toestanden uit het verleden (vooruit) en het toekomstige (achteruit) (Vergelijking 8).

(8)

Twee gestapelde BiLSTM-lagen modelleren bidirectionele temporele afhankelijkheden. Gedetailleerde architecturale parameters zijn beschikbaar in Aanvullend Bestand 3B. Details over gewichtinitialisatie zijn te vinden in Aanvullend Bestand 3B.

Residuele verbinding en normalisatie
Na lineaire projectie naar passende dimensies worden residuele verbindingen en laagnormalisatie toegepast (Vergelijking 9):

Residuele projectie en laagnormalisatie brengen de convolutionele en BiLSTM-feature-representaties op één lijn voordat aandacht wordt gegeven. Gedetailleerde implementatieparameters zijn beschikbaar in Aanvullend Bestand 3B.

Aandachtsmechanisme
Hoewel BiLSTM sterke temporele modellering biedt, dragen niet alle tijdsstappen gelijk bij aan de voorspelling. Om kritieke tijdstempels te benadrukken (bijvoorbeeld plotselinge afwijkende pieken), wordt een aandachtsmechanisme geïntroduceerd. Elke verborgen toestand krijgt een relevantiescore α_t toegewezen om de detectienauwkeurigheid te verbeteren (Vergelijking 10).

Hier is W_a een trainbare parameter en voldoen de aandachtsgewichten

De contextvector c aggregeert de verborgen toestanden op basis van hun geleerde belang (Vergelijking 11):

Het aandachtsmechanisme aggregeert temporele representaties tot een contextvector. Gedetailleerde implementatieparameters zijn beschikbaar in Aanvullend Bestand 3B.

Uitvoerlaag en classificatie
De geaggregeerde contextvector wordt door een volledig verbonden laag geleid, gevolgd door een sigmoïde activatie om de uiteindelijke voorspelling te verkrijgen (Vergelijking 12):

Hier zijn W_c en b_c trainbare parameters, en σ(·) is de sigmoïde activatiefunctie die de uitgang afbeeldt naar het interval [0,1]. Een drempel wordt toegepast om verkeer te classificeren als goedaardig () of intrusief ().

Dropout-regularisatie en de vaste classificatiedrempel die tijdens inferentie wordt gebruikt, worden beschreven in Aanvullend Bestand 3B.

De Extended BiLSTM-architectuur is identiek over de drie datasets; alleen de invoerfunctie-dimensie verschilt, met waarden van respectievelijk UNSW-NB15, CICIDS2017 en Bot-IoT als 14, 24 en 12. Omdat de Conv1D-laag elke -dimensionale invoer afbeeldt naar een vaste 64-kanaals representatie, zijn alle volgende lagen onafhankelijk van de dataset, en variëren alleen de invoervorm en het aantal Conv1D-parameters met . De volledige laag-voor-laag architectuur wordt samengevat in Tabel 5, met parametertellingen uitgedrukt in termen van d; De resulterende totalen zijn respectievelijk 184.641, 186.561 en 184.257 afleerbare parameters voor D = 14, D = 24 en D = 12.

S. Nee.	Laag (Type)	Uitvoervorm	Trainbare parameters	Activatiefunctie
1	Input	(20, d)	0	—
2	Conv1D (64 filters, kernelgrootte = 3, zelfde padding)	(20, 64)	192d + 64	ReLU
3	Bidirectionele LSTM-laag 1 (64 eenheden per richting)	(20, 128)	66,048	Tanh / Sigmoid
4	Bidirectionele LSTM-laag 2 (64 eenheden per richting)	(20, 128)	98,816	Tanh / Sigmoid
5	Dichte residuprojectie	(20, 128)	8,320	Lineair
6	Residuele toevoeging	(20, 128)	0	—
7	Laagnormalisatie (as = −1, ε = 1 × 10⁻³)	(20, 128)	256	—
8	Temporele Aandacht (Wa ∈ R¹²⁸×¹)	128	128	Softmax
9	Dichte Verborgen Laag	64	8,256	ReLU
10	Uitval (p = 0,3)	64	0	—
11	Dichte uitvoerlaag	1	65	Sigmoid

Tabel 5: Laag-voor-laag architectuur van het Uitgebreide Bidirectionele Lange Kortetermijngeheugenmodel. Deze tabel vat de architectuur samen van het voorgestelde Extended Bidirectional Long Short-Term Memory (BiLSTM) model, inclusief laagtypes, outputdimensies, trainbare parametertellingen en activatiefuncties.

De software en de computationele omgeving die voor alle experimenten worden gebruikt, worden samengevat in Tabel 6.

Component	Versie / Specificatie
Besturingssysteem	Ramen
Serverplatform	Dell PowerEdge
CPU	64-core processor
RAM	128 GB
Opslag	512 GB SSD
Python	3.12.7
NumPy	2.4.4
Panda's	3.0.2
scikit-learn	1.8.0
TensorFlow / Keras	2.16.1
web3 (blockchain-client)	6.15.1
eth-account	0.1
Soliditeitscompiler (solc)	0.8.19
go-ethereum (Geth)	1.13.15

Tabel 6: Software en computationele omgeving gebruikt voor implementatie en evaluatie van het voorgestelde raamwerk. Deze tabel geeft een overzicht van de hardwarespecificaties, softwarecomponenten, blockchaintools en versienummers die worden gebruikt voor datapreprocessing, featureselectie, modeltraining, blockchain-implementatie en prestatiebeoordeling.

Intrusiebeslissing en geautomatiseerde respons
Indringdetectie in zorgomgevingen is alleen effectief als deze wordt gevolgd door snelle respons en mitigatie. De Intrusion Detection Layer zet de voorspelde kans om in een beslissing. Formeel wordt de intrusiebeslissing op tijdstap t als volgt weergegeven (Vergelijking 13):

Hier is de voorspelde intrusiekans op tijdstip t en is de classificatiedrempel.

Zodra een inbraak wordt gedetecteerd, werkt de Intrusion Detection Layer direct samen met de blockchainmodule, die onveranderlijke logs, geautomatiseerde mitigatie en gesloten-lus beveiligingshandhaving uitvoert. Gebeurtenisdetails, waaronder broninformatie, bestemmingsinformatie en geselecteerde verkeersfuncties, worden vastgelegd in een nieuw blockchainblok. Smart contracts voeren realtime mitigatieacties uit zoals node-isolatie en beheerderswaarschuwingen. Deze gesloten-lus architectuur maakt het mogelijk dat inbraakdetectieresultaten direct in preventiemechanismen worden gevoed, waardoor de mitigatievertraging wordt geminimaliseerd. Zo dient de Intrusion Detection Layer als de brug tussen temporele detectie met het Extended BiLSTM-model en veilige respons met blockchaintechnologie, waarmee de end-to-end functionaliteit van het voorgestelde framework wordt voltooid.

Blockchain-gebaseerde forensische logging
Hoewel het Extended BiLSTM-model realtime inbraakdetectie mogelijk maakt, zijn veilige opslag en verifieerbare auditing van inbraakgebeurtenissen even cruciaal in IoMT-zorgomgevingen. Traditionele gecentraliseerde loggingmechanismen zijn kwetsbaar voor manipulatie en schaden de forensische traceerbaarheid. Om deze beperking aan te pakken, bevat het voorgestelde framework een lichtgewicht blockchainmodule die onveranderlijkheid, decentralisatie en geautomatiseerde respons op basis van smartcontracten waarborgt.

Elke gedetecteerde inbraakgebeurtenis genereert een blok dat aan de blockchain wordt toegevoegd. Een blok B_i wordt als volgt gedefinieerd (Vergelijking 14):

Hier is H_i de cryptografische hash van de gebeurtenisgegevens, tijdstempel en voorspellingsresultaat, T_i is de tijdstempel, D_i bevat geselecteerde intrusie-gebeurteniskenmerken, Si_gi is de digitale signatuur, en PrevHash koppelt het blok aan het vorige blok, wat onveranderlijkheid waarborgt.

Dit ontwerp garandeert tamperbestendigheid omdat elke wijziging van D_i of T_i de blokhash verandert en de ketenintegriteit breekt. Het biedt ook controleerbaarheid omdat alle gedetecteerde afwijkingen permanent worden opgeslagen en verifieerbaar zijn. Geautomatiseerde mitigatie wordt ondersteund via smart contracts die vooraf gedefinieerde acties uitvoeren, zoals node-isolatie en beheerderswaarschuwingen. Decentralisatie wordt bereikt door meerdere IoMT-gateways die het gedistribueerde grootboek onderhouden, waardoor een enkel faalpunt wordt geëlimineerd.

Blokgeneratie gebruikt de Keccak-256 cryptografische hashfunctie, de native hash-primitieve van de Ethereum/Solidity-omgeving (aangeroepen via Solidity's keccak256). Voor elk inbraakblok wordt de blokhash als volgt berekend:

Hier is D_i de gebeurtenisfeature-digest, T_i de tijdstempel en PrevHash de hash van het voorgaande blok. De velden worden samengevoegd met behulp van Solidity's strak verpakte codering (abi.encodePacked) voordat ze worden gehasht, wat resulteert in een 256-bits digest.

Dezelfde Keccak-256-berekening wordt gebruikt door de ketenverificatieroutine, die elke blokhash opnieuw berekent uit de opgeslagen velden en bevestigt dat deze overeenkomt met de geregistreerde waarde, waardoor de ketenintegriteit wordt gevalideerd. Keccak-256 werd gekozen omdat het het standaard botsingsbestendige hashing-algoritme is dat native wordt gebruikt binnen Ethereum smart contracts. Het smart contract werd ontwikkeld in Solidity en gecompileerd met de Solidity compiler (solc) versie 0.8.19. Het werd uitgerold op een privé Ethereum Proof-of-Authority (PoA) netwerk dat werd beheerd met Geth versie 1.13.15. Het blockchainnetwerk was geconfigureerd met vier validator-nodes met behulp van het Clique Proof-of-Authority consensusprotocol, een chain ID van 9848, een blokperiode van 5 s, en een block gas-limiet van 30.000.000. Communicatie tussen de Extended BiLSTM intrusiedetectie-engine en de blockchainlaag werd geïmplementeerd met behulp van de Web3.py bibliotheekversie 6.15.1 via de HTTP JSON-RPC-interface.

PoA-consensusmechanisme
Omdat IoMT-systemen in de gezondheidszorg zeer gevoelig zijn voor latentie, gebruikt het voorgestelde raamwerk een PoA-consensusmechanisme in plaats van rekenkundig kostbare Proof-of-Work (PoW)²³. In PoA autoriseert een vaste set vertrouwde validator-nodes, zoals ziekenhuisgateways, transacties, wat zowel efficiëntie als veerkracht biedt.

De tijdscomplexiteit van blokvalidatie onder PoW kan als volgt worden uitgedrukt (Vergelijking 15):

Hier staat d voor de moeilijkheidsgraad van mijnbouw.

Daarentegen wordt de tijdscomplexiteit van de PoA-consensus als volgt gegeven (Vergelijking 16):

Omdat validatie alleen digitale handtekeningverificatie vereist door geautoriseerde validatornodes.

Als gevolg hiervan biedt PoA een operatie met lage latentie, geschikt voor realtime medische waarschuwingen, energie-efficiëntie door rekenintensief minen te vermijden, en veerkracht tegen een beperkt aantal kwaadaardige validators. Het PoA-netwerk was geconfigureerd met vier validatorknooppunten, en deze configuratie bleef gedurende alle experimenten vast om consistente latency metingen, reproduceerbare prestatie-evaluatie en eerlijke vergelijking over alle benchmarkdatasets te waarborgen.

Blockchain-implementatie en Smart-Contract-operatie
De blockchaincomponent werd geïmplementeerd op een geautoriseerd Ethereum-netwerk dat opereerde onder het PoA-consensusmodel²⁴. Het netwerk werd uitgevoerd met de go-ethereum (Geth) client met het Clique PoA consensusprotocol²⁵, waarbij een set geautoriseerde validator (sealer) knooppunten verantwoordelijk is voor het produceren en valideren van blokken. Het intrusion-logging smart contract (IoMTIntrusionLedger) is geschreven in Solidity en geïmplementeerd op dit netwerk, volgens blockchain-gebaseerde IoT-beveiligingsarchitecturen voor veilig, gedecentraliseerd event management²⁶. Alleen gateway-accounts die on-chain geautoriseerd zijn (via de toegangscontrolefunctie van het contract) mochten inbraakrecords indienen, in overeenstemming met geautoriseerd blockchain smartcontract-architecturen voor Internet of Things-applicaties²⁷. De blockchainlaag werd geïmplementeerd met behulp van de go-ethereum (Geth) client versie 1.13.15 voor het bedienen van het gemachtigde PoA-netwerk, de Solidity compiler (solc) versie 0.8.19 voor smart-contract compilatie en implementatie, en de Web3.py bibliotheekversie 6.15.1 voor communicatie tussen de IDS en het blockchainnetwerk.

Gedetailleerde blockchain-implementatie- en configuratieparameters worden gegeven in Supplementair Bestand 3C.

Elk inbraakrecord wordt digitaal ondertekend voordat het in het grootboek wordt vastgelegd, wat blockchain-gebaseerde gezondheidszorgauditie en veilige forensische registratie^ondersteunt. Procedures voor het genereren en verificeren van digitale handtekeningen, inclusief ECDSA over de secp256k1-curve^29,30, worden beschreven in Supplementary File 3D. Elke gateway bevat een Ethereum-sleutelpaar bestaande uit een 256-bits (32-byte) privésleutel en de bijbehorende publieke sleutel, waaruit het accountadres is afgeleid; sleutelgeneratie volgt de standaard Ethereum-procedure, waarbij een cryptografisch veilige willekeurige 256-bits privésleutel wordt gebruikt, waarbij de publieke sleutel wordt verkregen door secp256k1 scalaire vermenigvuldiging. Om een handtekening te maken, berekent de gateway-client de gebeurtenisfeature-digest D_i en ondertekent deze met zijn privésleutel met het EIP-191 message-signing formaat, waarmee een 65-byte handtekening wordt geproduceerd bestaande uit de componenten r, s en v. De handtekening wordt samen met het inbraakrecord ingediend. Verificatie wordt on-chain uitgevoerd door het smart contract: met behulp van de EVM ecrecover precompile haalt het contract het adres van de ondertekenaar terug uit de ondertekende digest en handtekening en vereist dat dit gelijk is aan het adres van de geautoriseerde gateway die de transactie indient. Als het teruggevonden adres niet overeenkomt met een geautoriseerde gateway, wordt de transactie geweigerd. Dit bindt elke grootboekvermelding aan een specifieke geautoriseerde gateway en voorkomt ongeautoriseerde of vervalste inbraakrecords.

Smart contracts worden automatisch geactiveerd bij intrusiedetectie, waardoor realtime respons wordt gegarandeerd zonder handmatige interventie (Vergelijking 17):

(17)

De blockchainmodule werkt parallel aan de Extended BiLSTM-classifier. Zodra een anomalie wordt gedetecteerd: (i) wordt het evenement gelabeld en geclassificeerd door de BiLSTM, (ii) wordt een blok gegenereerd, ondertekend en toegevoegd aan het blockchain-grootboek, en (iii) smart contracts handhaven automatische responsbeleid.

Het intrusieloggende smart contract (IoMTIntrusionLedger) onderhoudt een alleen toegevoegde ledger van intrusieblokken en een register van geautoriseerde gatewayaccounts, en het stelt de functies bloot die in Tabel 7 zijn samengevat. Het contract handhaaft twee toegangsrollen via modifiers: onlyAdmin (de deployende administrator) en onlyGateway (accounts die gemachtigd zijn om inbraakrecords in te dienen). De status bestaat uit de gateway-autorisatiemapping, de blokledger-array en de huidige ketenkop (de hash van het meest recente blok).

S. Nee.	Functie / Component	Type	Toegang	Logica
1	Constructeur	Constructeur	—	Stelt de deployer in als beheerder en autoriseert deze als de initiële gateway.
2	setGateway(adres, bool)	Functie	alleenAdministratie	Voegt een geautoriseerd gateway-account toe of verwijdert het; zendt GatewayUpdated.
3	recordIntrusion(nodeId, patientId, attackClass, probabilityBp, dataDigest, signature, isolate)	Functie	onlyGateway	Berekent Hi = Keccak-256(Di ∥ Ti ∥ kans ∥ PrevHash); verifieert de ECDSA-signatuur van de gateway op Di via ecrecover; voegt het blok toe aan het kasboek; de kettingkop naar voren brengt; zendt BlockCreated, optioneel NodeIsolated en AdminAlert uit. Geeft Hi terug.
4	verifyChain()	Bekijk functie	Publiek	Berekent de hash van elk blok opnieuw uit de opgeslagen velden en controleert de PrevHash-koppeling; Geeft true alleen terug als de hele keten consistent is (tamperdetectie).
5	ledgerLength()	Bekijk functie	Publiek	Geeft het aantal blokken in het grootboek terug.
6	_recoverSigner(hash, sig)	Interne functie	—	Splitst de 65-byte handtekening in (r, s, v) en herstelt het ondertekeningsadres via de ecrecover precompile.
7	BlockCreated / NodeIsolated / AdminAlert / GatewayUpdated	Evenementen	—	Uitgezonden voor off-chain luisteraars om logging, node-isolatie, beheerdersalerts en updates van het gateway-register aan te sturen.
8	onlyAdmin / onlyGateway	Modificaties	—	Beperk functies respectievelijk tot de beheerder en tot geautoriseerde gateways.

Tabel 7: Functies, gebeurtenissen en toegangscontrolecomponenten van het IoMTIntrusionLedger smart contract. Deze tabel vat de belangrijkste functies, gebeurtenissen en toegangscontrolemodificatoren samen die zijn geïmplementeerd binnen het geautoriseerde blockchain smart contract. Deze componenten ondersteunen gateway-autorisatie, inbraakregistratie, blockchainverificatie, gebeurtenisgeneratie en geautomatiseerde mitigatie.

De onveranderlijkheidseigenschap van de blockchain volgt direct uit Vergelijking 14, waarbij elke wijziging van gebeurtenisgegevens of tijdstempels de hashketen ongeldig maakt. Blockchain biedt daardoor gegevensintegriteit, traceerbaarheid en auditie voor zorgsystemen via onveranderlijke forensische gegevens. Patiënten- en apparaatinbraakrecords blijven ongewijzigd zodra ze zijn opgeslagen, elk blok is veilig gekoppeld aan het vorige blok waardoor chronologische gebeurtenisreconstructie mogelijk wordt, en zorgbeheerders of toezichthouders kunnen inbraakincidenten verifiëren zonder risico op vervalsing.

Verliesfunctie- en modeloptimalisatie
Het voorgestelde Extended BiLSTM-model pakt het binaire classificatieprobleem aan om normaal verkeer en inbraakgebeurtenissen in IoMT-netwerken te onderscheiden. Om het trainingsproces te sturen wordt een binaire kruis-entropie (BCE) verlies toegepast, dat goed geschikt is voor probabilistische outputs van de sigmoïde activatielaag. Voor een dataset met N steekproeven wordt het verlies als volgt gedefinieerd (Vergelijking 18):

(18)

Hier is het grondwaarheidslabel van de ^i-de invoerreeks (0 = goedaardig, 1 = intrusie), en is de voorspelde intrusiekans.

Het raamwerk functioneert als een tweefasige classificatiepijplijn. De eerste fase voert binaire intrusiedetectie uit: de uitgebreide BiLSTM produceert een sigmoid-uitgang en past de drempel τ = 0,5 toe om elk venster als goedaardig of intrusief te classificeren (Vergelijkingen 12,13), getraind met gewogen binair kruis-entropieverlies. Een tweede fase kan aanvalcategorisatie uitvoeren, waarbij vensters die als intrusies worden geïdentificeerd worden doorgegeven aan een multiclassificator die de specifieke aanvalscategorie toewijst met behulp van een softmax-uitvoerlaag getraind met categorische kruis-entropie. De huidige studie richt zich op en evalueert de binaire detectiefase. De twee stadia delen dezelfde uitgebreide BiLSTM-feature-extractie-ruggengraat (Conv1D, BiLSTM, residuele, normalisatie- en aandachtlagen); Ze verschillen alleen in hun uitvoerlaag (sigmoid voor detectie en softmax voor categorisatie) en de bijbehorende verliesfunctie. De binaire detectiefase en de multiclass-categorisatiefase werden getraind en geëvalueerd onder dezelfde hierboven beschreven datapartities, willekeurige seed en trainingscondities.

Hoewel het IoMT-verkeer vaak onevenwichtig is, wordt een gewogen binaire kruis-entropieverlies gebruikt om een verkeerde classificatie van de minderheidsklasse te bestraffen. Klassegewichten worden berekend met behulp van het aantal intrusiemonsters N_p, het aantal goedaardige monsters N_n, en het totale aantal monsters N (Vergelijkingen 19,20):

De weging zorgt ervoor dat het model niet bevooroordeeld is ten gunste van de dominante goedaardige verkeersklasse en gevoelig blijft voor zeldzame maar kritieke inbraakgebeurtenissen.

Het gewogen binaire kruis-entropieverlies wordt als volgt gegeven (Vergelijking 21):

(21)

De training werd uitgevoerd met mini-batches van maat 64. Aan het begin van elk tijdperk werden de trainingsvoorbeelden willekeurig geschud voordat ze werden verdeeld in batches, zodat batchsamenstelling varieerde tussen tijdperken en het model geen voorbeelden in een vaste volgorde zag. Batches waren niet expliciet in balans of gelaagd op klasse; in plaats daarvan weerspiegelde elke batch de natuurlijke klassenverdeling van de trainingsset, en werd een klasse-onevenwicht aangepakt via het klasse-gewogen binaire kruis-entropieverlies (Vergelijkingen 19–21). De validatie-subset die was gereserveerd van de trainingspartitie bleef over de epochs heen vast en werd niet in de trainingsbatches gewisseld.

De klassegewichten in het gewogen binaire kruisentropieverlies werden niet handmatig ingesteld, maar automatisch berekend voor elke dataset uit de trainingsset klassentellingen volgens Vergelijkingen 19 en 20. Voor de UNSW-NB15 dataset waren de resulterende klassegewichten voor de normale klasse en voor de intrusieklasse. Voor de CICIDS2017 dataset waren de resulterende klassegewichten voor de normale klasse en voor de intrusieklasse. Voor de Bot-IoT dataset (5% subset) waren de resulterende klassegewichten voor de normale klasse en voor de intrusieklasse.

Trainingsstrategie en optimalisatie
Het Extended BiLSTM-model werd getraind met mini-batches van grootte B = 64 met gewogen binaire kruis-entropieverlies, de Adam-optimizer en vroegtijdig stoppen op basis van validatieverlies. De training werd beperkt tot 50 epochs, en vroegtijdig stoppen werd met geduld toegepast K = 5. Als validatieverlies gedurende vijf opeenvolgende epochen niet verbeterde, werd de training stopgezet en werden de modelgewichten teruggebracht naar die van het tijdperk met het laagste validatieverlies. Dus 50 tijdperken vertegenwoordigden het maximale trainingsbudget in plaats van een vaste trainingsduur. Er werd een dropout-kans van 0,3 toegepast voor regularisatie. De architectonische opzet omvatte 64 Conv1D-filters, 64 LSTM-eenheden per richting, een vensterlengte van T = 20 en een stap van s = 1. De geadopteerde trainingsstrategie wordt samengevat in Algoritme 3 (Aanvullend Bestand 1). De Adam-updatevergelijkingen die voor optimalisatie worden gebruikt, zijn beschikbaar in Supplementary File 3A.

De Adam-optimizer was geconfigureerd met een leersnelheid van , een eerste moment vervalsnelheid (β₁) van 0,9, een tweede moment vervalsnelheid (β₂) van 0,999 en een numerieke stabiliteitsconstante () van 1 × 10-7. Er werden geen extra optimizeropties gebruikt en er werd geen gewichtsafname of gradiëntclipping toegepast.

Waarschuwingsgeneratie en geautomatiseerde mitigatie
Detectie alleen is onvoldoende in latencygevoelige IoMT-netwerken, waar snelle respons cruciaal is om patiëntveiligheid te waarborgen. De Alert Generation and Mitigation Layer operationalisert de inbraakbeslissing die wordt genomen door het Extended BiLSTM-model en het blockchain-loggingmechanisme. Als δ_t = 1, voegt de blockchainmodule een nieuw blok toe met de intrusiedetails . Tegelijkertijd wordt een smart contract uitgevoerd om mitigatiemaatregelen te activeren (Vergelijking 22):

(12)

Hier zorgt BlockCreation voor onveranderlijke forensische logging van het evenement, quarantaineert NodeIsolation (n_j) de gecompromitteerde IoMT-node om verdere schade te voorkomen, en levert AdminAlert realtime meldingen aan systeembeheerders. Om deze dual-layer response pipeline te exploiteren, wordt de pseudocode gepresenteerd in Algoritme 4 (Supplementary File 1).

Smart-contract event processing en off-chain responsmechanismen worden beschreven in Supplementary File 3E.

Elke invoer die aan het blockchain-grootboek wordt toegewijd, wordt opgeslagen als een IntrusionBlock-record, waarvan de velden en dataformaten in Tabel 8 zijn vermeld. Het grootboek is een append-only array van deze records, en de huidige ketenkop slaat de hash op van het meest recent toegevoegde blok.

S. Nee.	Veld	Gegevenstype	Grootte	Beschrijving
1	hashId	bytes32	32 bytes	Block hash Hi = Keccak-256(Di ∥ Ti ∥ kans ∥ PrevHash)
2	Tijdstempel	uint256	32 bytes	Blokaanmaaktijd Ti (Unix-epocheseconden, uit de bloktijdstempel)
3	nodeId	bytes32	32 bytes	Identificatie van de IoMT-knoop nj
4	patiëntID	bytes32	32 bytes	Patiënt-/apparaatidentificatie (forensische metadata)
5	attackClass	uint16	2 bytes	Aanvalscategoriecode (0 = Normaal, 1 = DDoS, 2 = Spoofing, ...)
6	kansBp	uint16	2 bytes	Voorspelde intrusiekans ŷ in basispunten (0–10.000, d.w.z. 0,00–100,00%)
7	dataDigest	bytes32	32 bytes	Digest Di van de geselecteerde evenementkenmerken
8	Signatuur	bytes	Variabele (65 bytes)	ECDSA-handtekening Sigi van de event digest door de gateway (r, s, v)
9	prevHash	bytes32	32 bytes	Hash van het vorige blok (PrevHash), die de keten verbindt
10	Geïsoleerd	Bool	1 byte	Of knoopisolatie voor dit record werd geactiveerd

Tabel 8: Structuur van het IntrusionBlock-record opgeslagen in het blockchain-grootboek. Deze tabel beschrijft de velden, datatypen, opslaggroottes en doeleinden van de blockchain-grootboekrecords die worden gebruikt om inbraakgebeurtenissen op te slaan. De structuur ondersteunt cryptografische integriteitsverificatie, forensische traceerbaarheid en geautomatiseerde responsmechanismen.

De totale mitigatielatentie kan worden uitgedrukt als de som van de detectievertraging (T_d) uit het Extended BiLSTM-model en de blockchain-uitvoeringsvertraging (T_b) (Vergelijking 23):

(23)

Computationele complexiteitsanalyse
De efficiëntie van het voorgestelde Extended BiLSTM–Blockchain-framework wordt bepaald door zowel de rekenkosten van het BiLSTM-model als de overhead die door de blockchainmodule wordt geïntroduceerd. Het voorgestelde framework integreert Extended BiLSTM-detectie met blockchainlogging om te voldoen aan de kernbeveiligingseisen van de Confidentiality, Integrity, and Availability (CIA) triade.

Laat de voorbewerkte inputsequentielengte T zijn, de feature-dimensie d, en de verborgen dimensie van de BiLSTM h zijn.

Voor elke tijdstap verwerkt een BiLSTM invoer van dimensie d met verborgen grootte h. Aangezien het bidirectioneel is (vooruit + achteruit) (Vergelijking 24):

) (24)

Hier is T de sequentielengte (tijdstappen), d de invoerfeature-dimensie, h de verborgen toestandsdimensie

De aandachtslaag berekent belangrijkheidsgewichten en aggregeert verborgen toestanden met complexiteit (Vergelijking 25).

(25)

die lineair is in zowel de rijlengte T als de verborgen dimensie h.

De totale detectiecomplexiteit per sequentie wordt daarom als volgt gegeven (Vergelijking 26):

(26)

waarmee wordt aangetoond dat temporele modellering de rekenkosten domineert, terwijl het aandachtsmechanisme slechts een lichte overhead introduceert.

Voor elke gedetecteerde inbraakgebeurtenis voert blockchainlogging hashing-, onderteken- en bloktoevoegingsoperaties uit (Vergelijking 27):

(27)

Voor N intrusiedetectiegebeurtenissen wordt de gecombineerde complexiteit als volgt (Vergelijking 28):

(28)

wat als volgt kan worden vereenvoudigd (Vergelijking 29):

(29)

Omdat de blockchain-overhead lineair groeit met het aantal gebeurtenissen en verwaarloosbaar blijft vergeleken met sequentieverwerkingsberekeningen.

Rekenkundige complexiteit wordt samengevat in Vergelijkingen 24–29. Gedetailleerde interpretatie wordt gegeven in Aanvullend Dossier 3F.

Results

De resultaten zijn georganiseerd om de methodologische stappen van het protocol te weerspiegelen, waarbij elke subsectie de waarnemingen rapporteert die door de overeenkomstige stap zijn geproduceerd.

Datasetverwerking en experimentele opstelling
De drie benchmarkdatasets werden onafhankelijk geanalyseerd in plaats van samengevoegd. Omdat UNSW-NB15, CICIDS2017 en Bot-IoT verschillende featureschema's en labelconventies gebruiken, werd elke dataset vooraf verwerkt, gevensterd en afzonderlijk geëvalueerd met behulp van een eigen 80:20 trein/testverdeling. Het Extended BiLSTM-model werd onafhankelijk getraind en getest op elke dataset, en de prestatie-indicatoren (nauwkeurigheid, precisie, herinnering en F1-score) worden afzonderlijk gerapporteerd voor elke dataset. Dit onafhankelijke evaluatieprotocol voorkomt inconsistenties tussen feature-ruimte en functionaliteit die zouden ontstaan bij het combineren van heterogene datasets en maakt het mogelijk om de robuustheid van het voorgestelde framework te beoordelen over drie verschillende netwerkomgevingen.

Het voorgestelde Extended BiLSTM-BC-model is getraind en geëvalueerd met behulp van vooraf verwerkt normaal en kwaadaardig verkeer afkomstig uit de datasets van CICIDS2017, UNSW-NB15 en Bot-IoT. De gegevens werden gepartitioneerd met een enkele gestratificeerde hold-out split. De UNSW-NB15 dataset biedt vooraf gedefinieerde trainings- en testpartities, die direct in deze studie werden gebruikt. Voor de overige twee datasets (CICIDS2017 en Bot-IoT) werden de vooraf bewerkte venstermonsters verdeeld in trainings- en testsets met een 80:20-verdeling met gestratificeerde willekeurige steekproeven (scikit-learn train_test_split, gestratificeerd op klasselabel), waardoor de verhouding tussen goedaardig en inbraakklasse over de partities behouden bleef. Binnen de trainingsset werd nog eens 20% gereserveerd voor validatie (Keras validation_split), wat resulteerde in een effectieve training van 64%, 16% validatie en 20% testverdeling. De validatieset werd gebruikt voor vroegtijdig stoppen. Een vast willekeurig seed van 42 werd toegepast op scikit-learn, NumPy en TensorFlow om reproduceerbaarheid te ondersteunen. Het uitgebreide BiLSTM-netwerk werd geoptimaliseerd met de Adam-optimizer met een leersnelheid van 0,001, een batchgrootte van 64 en maximaal 50 trainingsepochen.

Resultaten van functieselectie
Voorafgaand aan modeltraining werd de featureselectie onafhankelijk uitgevoerd voor elke dataset met AQU-IMF-RFE, een door de Aquila Optimizer (AO)-geleide Recursive Feature Elimination-procedure waarbij kandidaat-features werden gerangschikt op basis van hun wederzijdse informatie (MI) met het klasselabel en iteratief werden geëlimineerd terwijl de Aquila Optimizer zocht naar de optimale feature-subset. Identificatievelden (bijv. flow-ID's, IP-adressen en poortnummers) en tekstuele aanvalscategorievelden werden uitgesloten vóór de functieselectie om informatielekken te voorkomen. Deze procedure behield 14 functies voor UNSW-NB15, 24 functies voor CICIDS2017 en 12 functies voor Bot-IoT. De volledige lijst van geselecteerde invoervariabelen, hun datatypes en hun brondatasets wordt gegeven in Tabel 4, en een uitgebreide beschrijving van elke functie is opgenomen in Aanvullend Bestand 2.

Training en convergentie
Tijdens de training toonde het model stabiele convergentie aan, waarbij zowel de trainings- als validatieprestaties verbeterden naarmate de netwerkparameters hun optimale waarden naderden. De laag-voor-laag architectuur van het voorgestelde Extended BiLSTM-model wordt samengevat in Tabel 5, terwijl de software en rekenomgeving die voor implementatie en evaluatie worden gebruikt, worden gepresenteerd in Tabel 6. De blockchain smart-contract functies die inbraaklogging en geautomatiseerde mitigatie ondersteunen, worden samengevat in Tabel 7, en de structuur van het blockchain intrusierecord wordt weergegeven in Tabel 8. De volledige set trainingshyperparameters die in deze studie zijn gebruikt, wordt samengevat in Tabel 9, ter ondersteuning van de reproduceerbaarheid van het voorgestelde raamwerk.

Training Hyperparameter	Waarde
Leertempo	0.001
Optimizer	Adam
Batchgrootte	64
Maximale Epochen	50
Uitvoeractivatiefunctie	Sigmoid
Trein-test splitsing	80:20, gelaagd
Validatiesplitsing	20% van de trainingsdeling
Willekeurig zaad	42
Lengte van het invoervenster	20 tijdstappen
Schuifraam-pas	1
Conv1D-filters	64
Conv1D-kernelgrootte	3
Conv1D-opvulling	Hetzelfde
Conv1D-activatie	ReLU
BiLSTM-lagen	2
BiLSTM-eenheden	64 eenheden per richting
BiLSTM-uitgangsdimensie	128
LSTM-activatie	Tanh
Residuele projectiedimensie	128
Geduld met vroeg stoppen	5 tijdperken
Dichte verborgen-laag eenheden	64
Activatie van dichte verborgen lagen	ReLU
Uitvalpercentage	0.3
Uitgangseenheden	1
Classificatiedrempel	0.5
Verliesfunctie	Gewogen binaire kruis-entropie (WBCE)

Tabel 9: Hyperparameterconfiguratie gebruikt voor het trainen van het Extended Bidirectional Long Short-Term Memory model. Deze tabel geeft een overzicht van de belangrijkste trainingshyperparameters die zijn gebruikt tijdens de ontwikkeling van het Extended Bidirectional Long Short-Term Memory (BiLSTM) intrusiedetectiemodel, inclusief optimalisatie-instellingen, activatiefunctie, batchgrootte, trainingsduur en verliesfunctie.

Tabel 10 toont de trainings- en validatienauwkeurigheden van het voorgestelde model over 50 epochen, geregistreerd met intervallen van 5 epochen. Het model liet snelle verbetering zien tijdens de eerste 10 epochs, met respectievelijk 96,0% en 95,5% trainings- en validatienauwkeurigheid. Na epoch 20 werden de nauwkeurigheidswinsten incrementeel en kwamen beide curves dicht bij elkaar samen. In epoch 50 stabiliseerde het model zich op 99,1% trainingsnauwkeurigheid en 98,5% validatienauwkeurigheid, wat wijst op minimale overfitting en sterke generalisatieprestaties. De bijbehorende leercurve wordt weergegeven in Figuur 3, die de voortgang van trainings- en validatienauwkeurigheid gedurende het optimalisatieproces illustreert.

Tijdperk	Trainingsnauwkeurigheid (%)	Validatienauwkeurigheid (%)
1	72.1	70
5	90	89
10	96	95.5
15	97.1	96.5
20	97.8	97.2
25	98.2	97.5
30	98.5	97.8
35	98.7	98
40	98.9	98.2
45	99	98.4
50	99.1	98.5

Tabel 10: Trainings- en validatienauwkeurigheid tijdens het Training van het Extended Bidirectional Long Short-Term Memory model. Deze tabel geeft de trainings- en validatienauwkeurigheid weer die tijdens geselecteerde trainingsperiodes is gemeten tijdens de optimalisatie van het Voorgestelde Uitgebreide Bidirectionele Lange Kortetermijngeheugen (BiLSTM) model. Deze waarden werden gebruikt om de nauwkeurigheidsconvergentiecurve te genereren zoals weergegeven in Figuur 3.

Figuur 3. Trainings- en validatienauwkeurigheid van het Extended BiLSTM-model. Lijngrafiek die classificatienauwkeurigheid toont tijdens modeltraining. De x-as staat voor trainingstijdperken (1–50), en de y-as geeft classificatienauwkeurigheid (%). Blauwe cirkels geven de nauwkeurigheid van de training aan, en oranje vierkanten geven de validatienauwkeurigheid aan. Klik hier om een grotere versie van deze figuur te bekijken.

Tabel 11 toont de trainings- en validatieverliezen die op dezelfde 5-epoch-intervallen zijn geregistreerd. Tijdens de initiële trainingsfase daalde het trainingsverlies van 0,64 naar 0,28, terwijl het validatieverlies afnam van 0,67 naar 0,31 in epoch 5. Na epoch 20 werd de verliesreductie geleidelijker en convergeerden beide curves gestaag. In epoch 50 stabiliseerde het trainingsverlies op 0,08, terwijl het validatieverlies dicht bij 0,12 bleef, wat slechts een klein verschil tussen de twee curves aangeeft. Deze convergentie weerspiegelt effectieve optimalisatie, beperkte overfitting en goede generalisatie naar voorheen ongeziene data. De bijbehorende trainings- en validatieverliescurves zijn weergegeven in Figuur 4. De rekenkundige efficiëntie van de geëvalueerde modellen, inclusief inferentielatentie en doorvoer, wordt samengevat in Tabel 12. Gedetailleerde analyse van deze metingen wordt later gepresenteerd in de subsectie Computational efficiency.

Tijdperk	Trainingsverlies	Validatieverlies
1	0.64	0.67
5	0.28	0.31
10	0.13	0.17
15	0.11	0.15
20	0.1	0.14
25	0.095	0.13
30	0.09	0.125
35	0.085	0.122
40	0.083	0.12
45	0.082	0.118
50	0.08	0.12

Tabel 11: Trainings- en validatieverlies tijdens het Training van het Extended Bidirectional Long Short-Term Memory model. Deze tabel toont trainings- en validat-ionengewogen binaire kruis-entropieverlieswaarden gemeten bij geselecteerde trainingsepochs tijdens optimalisatie van het Voorgestelde Uitgebreide Bidirectionele Lange Kortetermijngeheugen (BiLSTM)-model. Deze waarden werden gebruikt om de verliesconvergentiecurve te genereren zoals weergegeven in Figuur 4.

Figuur 4. Training en validatie verlies van het Extended BiLSTM-model. Lijngrafiek toont gewogen binaire kruisentropieverlies tijdens modeltraining. De x-as staat voor trainingstijdperken (1–50), en de y-as geeft verlieswaarden aan. Blauwe cirkels geven trainingsverlies aan, en oranje vakjes duiden validatieverlies aan. Klik hier om een grotere versie van deze figuur te bekijken.

Model	Latentie (Gemiddelde ms/event)	Doorvoersnelheid (Gemiddelde gebeurtenissen/s)
Beslissingsboom	40	845
Support Vector Machine	75	670
LSTM	110	559
Voorgesteld Uitgebreid BiLSTM–Blockchain Framework	135	320

Tabel 12: Vergelijking van latentie en doorvoer van intrusiedetectiemodellen. Deze tabel vergelijkt inferentielatentie en verwerkingsdoorvoer tussen representatieve machine learning- en deep-learning intrusiedetectiemodellen. Latentie wordt gerapporteerd als milliseconden per gebeurtenis en doorvoer als verwerkte gebeurtenissen per seconde.

Detectieprestaties
Tabel 13 toont de vergelijkende evaluatie van het voorgestelde kader ten opzichte van conventionele ML- en DL-baselinemodellen over de drie benchmarkdatasets. Het voorgestelde model behaalde nauwkeurigheden van 98,9% op CICIDS2017, 95,9% op UNSW-NB15 en 98,8% op Bot-IoT, samen met hoge gevoeligheden van respectievelijk 96,9%, 97,6% en 98,8%. Op CICIDS2017 en UNSW-NB15 behaalde het voorgestelde model de hoogste nauwkeurigheid van alle geëvalueerde modellen, terwijl het op Bot-IoT de hoogste nauwkeurigheid behaalde (98,8%), geëvenaard door de Decision Tree (DT) baseline. Op Bot-IoT presteerde het voorgestelde model iets beter dan de LSTM-baseline (98,3%) en presteerde vergelijkbaar met de support Vector Machine (SVM) baseline (98,7%); De kleinere prestatiemarges op deze dataset weerspiegelen de extreme klassenonevenregeling, waarbij goedaardig verkeer slechts een zeer klein deel van de testset uitmaakt. Over het geheel genomen handhaafde het voorgestelde model een sterke balans tussen gevoeligheid en precisie, waarbij robuuste intrusiedetectieprestaties over alle datasets werden getoond en de meest betrouwbare beoordeling werd geleverd op de meer gebalanceerde benchmarkdatasets (CICIDS2017 en UNSW-NB15). De bijbehorende vergelijkingen van nauwkeurigheid, precisie en herinnering over datasets en basismodellen zijn weergegeven in Figuren 5–7.

Dataset	Model	Gevoeligheid (%)	Specificiteit (%)	Nauwkeurigheid (%)	Precisie (%)	Terugroeping (%)
CICIDS2017	Voorgestelde uitgebreide BiLSTM–Blockchain	96.9	99.4	98.9	97.5	96.9
	LSTM	93.3	98.5	97.5	93.9	93.3
	SVM	94.8	98.8	98.1	95.1	94.8
	DT	93.1	98.7	97.5	94.6	93.1
UNSW-NB15	Voorgestelde uitgebreide BiLSTM–Blockchain	97.6	93.9	95.9	95.1	97.6
	LSTM	95.2	88.5	92.2	91.1	95.2
	SVM	96.5	91.1	94.1	93.1	96.5
	DT	96.9	92.2	94.8	93.8	96.9
Bot-IoT	Voorgestelde uitgebreide BiLSTM–Blockchain	98.8	90.5	98.8	99.3	98.8
	LSTM	98.3	89.4	98.3	99.2	98.3
	SVM	98.7	88.4	98.7	99.3	98.7
	DT	98.8	93.6	98.8	99.3	98.8

Tabel 13: Prestatievergelijking van inbraakdetectiemodellen over benchmarkdatasets. Deze tabel vergelijkt het voorgestelde raamwerk en de basismodellen voor intrusiedetectie op de datasets van CICIDS2017, UNSW-NB15 en Bot-IoT met behulp van gevoeligheid, specificiteit, nauwkeurigheid, precisie en recall performance metrics.

Figuur 5. Nauwkeurigheidsvergelijking tussen datasets en machine learning/deep learning-modellen. Gegroepeerd staafdiagram waarin de classificatienauwkeurigheid (%) van verschillende modellen in de CICIDS2017, UNSW-NB15 en Bot-IoT datasets wordt vergeleken. Balken vertegenwoordigen het voorgestelde model, Long Short-Term Memory (LSTM), Support Vector Machine (SVM) en Decision Tree (DT). De x-as vertegenwoordigt datasets, en de y-as geeft classificatienauwkeurigheid (%). Klik hier om een grotere versie van deze figuur te bekijken.

Figuur 6. Precisievergelijking van classificatiemodellen over inbraakdetectiedatasets. Gegroepeerd staafdiagram dat precisie (%) toont die door verschillende modellen is verkregen op de CICIDS2017-, UNSW-NB15- en Bot-IoT-datasets. De x-as stelt classificatiemodellen voor, en de y-as geeft precisie (%). LSTM, Langetermijngeheugen; SVM, Support Vector Machine; DT, Beslissingsboom. Klik hier om een grotere versie van deze figuur te bekijken.

Figuur 7. Herinneringsvergelijking van classificatiemodellen over intrusiedetectiedatasets. Gegroepeerd staafdiagram dat de terugroep (%) toont die door verschillende modellen is verkregen op de CICIDS2017-, UNSW-NB15- en Bot-IoT-datasets. De x-as stelt classificatiemodellen voor, en de y-as vertegenwoordigt de terugroep (%). LSTM, Langetermijngeheugen; SVM, Support Vector Machine; DT, Beslissingsboom. Klik hier om een grotere versie van deze figuur te bekijken.

Om de bijdrage van elk architectonisch onderdeel beter te begrijpen, werd een ablatiestudie uitgevoerd. De resultaten, samengevat in Tabel 14, tonen aan dat het aandachtsmechanisme de temporele prioritering verbeterde, de residuele en convolutionele lagen de extractie van kenmerken en het leren gestabiliseerd, en blockchain-integratie zorgde voor een manipulatiebestendige forensische logging samen met geautomatiseerde mitigatie. Elke architecturale verbetering droeg incrementeel bij aan een betere detectienauwkeurigheid terwijl vals-positieve voorspellingen werden verminderd.

Modelvariant	Nauwkeurigheid (%)	Precisie (%)	Terugroeping (%)	F1-score (%)	Percentage vals-positieven (%)	Noten
Eenvoudige BiLSTM	97.5	93.9	93.3	93.67	1.47	Basismodel voor sequentiële intrusiedetectie
BiLSTM + Aandacht	98.04	95.18	94.85	95.01	1.18	Het aandachtsmechanisme geeft prioriteit aan informatieve temporele kenmerken
Uitgebreide BiLSTM (Residueel + Conv1D)	97.5	94.6	93.06	93.82	1.3	Residuele verbindingen en convolutionele lagen verbeteren de extractie van temporele kenmerken en de stabiliteit van training
Uitgebreide BiLSTM + Blockchain	98.9	97.5	96.9	97.3	0.59	Volledig framework met inbraakdetectie, onveranderlijke logging en geautomatiseerde mitigatie

Tabel 14: Ablatiestudie van architecturale componenten in het voorgestelde intrusiedetectiekader. Deze tabel vat de bijdrage samen van individuele architecturale componenten, waaronder aandachtsmechanismen, residueel leren, convolutionele feature-extractie en blockchain-integratie, aan de algehele prestaties van het voorgestelde framework.

Voor elke ablatievariant werd één component van het voorgestelde kader verwijderd terwijl alle overige voorwaarden constant bleven. Dezelfde dataset, vooraf bewerkte vensterinvoer, identieke 80:20 gestratificeerde trein/test-verdeling met validatiepartitionering, vaste willekeurige seed (42), optimizer (Adam), leersnelheid (0,001), batchgrootte (64), maximaal 50 trainingsepochs, vroegtijdig stoppen criterium (geduld = 5), uitvalpercentage (0,3) en netwerkarchitectuur werden in alle experimenten gehandhaafd. Alleen het te evalueren onderdeel werd aangepast, waardoor de waargenomen prestatieverschillen uitsluitend aan het verwijderde onderdeel waren toegeschreven.

Het voorgestelde kader handhaafde een gunstige balans tussen precisie en recall ten opzichte van de basismodellen (LSTM, SVM en DT), en toonde een verbeterde onderscheiding van subtiele aanvalspatronen aan zonder het aantal vals-positieve voorspellingen aanzienlijk te verhogen. Deze gebalanceerde prestaties worden weerspiegeld in het consequent kleine verschil tussen precisie en terugroepwaarden, wat wijst op een hoge F1-score en robuuste generalisatie over heterogeen netwerkverkeer. Precisie- en terugroepvergelijkingen worden weergegeven in Figuren 6 en 7.

In vergelijking met representatieve IDS-baselines, waaronder SVM, DT en LSTM, toonde het voorgestelde framework een consistent prestatievoordeel op de benchmarkdatasets met voldoende goedaardig verkeer. Op CICIDS2017 behaalde het voorgestelde Extended BiLSTM–Blockchain-model 98,9% nauwkeurigheid, waarmee het de LSTM-waarden (97,5%), DT (97,5%) en SVM (98,1%) overtrof. Op UNSW-NB15 behaalde het 95,9% nauwkeurigheid, opnieuw het hoogste onder de geëvalueerde modellen (LSTM 92,2%, SVM 94,1%, DT 94,8%). Op Bot-IoT, dat wordt gekenmerkt door een extreme klassenonevenwicht met een zeer kleine goedaardige klasse, behaalde het voorgestelde model 98,8% nauwkeurigheid, waarmee het de DT-baseline overeenkwam en marginaal de LSTM- (98,3%) en SVM-baseline (98,7%) overtrof. Traditionele machine learning-modellen vertoonden relatief beperkte mogelijkheden om langeafstands-temporele afhankelijkheden te modelleren, terwijl de LSTM het leren van temporele kenmerken verbeterde; echter, geen van deze basismodellen bood manipulatiebestendige forensische logging of geautomatiseerde blockchain-gebaseerde gebeurtenistraceerbaarheid. Door residueel leren, een aandachtsmechanisme en blockchain-gebaseerde onveranderlijke logging te integreren met de Extended BiLSTM-architectuur, combineerde het voorgestelde framework concurrerende inbraakdetectieprestaties met verifieerbare forensische verantwoording bovenop die van de basismethoden. De blockchaincomponent registreert elke gedetecteerde inbreuk als een onveranderlijke grootboekvermelding met de blokidentificatie, tijdstempel, versleutelde gebeurtenisgegevens, cryptografische hash en digitale handtekening. Een voorbeeld van de blockchain-recordstructuur is te zien in Figuur 8. Vergelijkende nauwkeurigheid en foutpercentage over de geëvalueerde modellen worden respectievelijk weergegeven in Figuren 9 en 10, terwijl Figuur 11 de trainingstijden van de geëvalueerde modellen vergelijkt. De algehele prestatie-metrics van het voorgestelde kader, waaronder nauwkeurigheid, precisie, herinnering, F1-score en vals-positief percentage, worden samengevat in Figuur 12, en de gecombineerde vergelijking van nauwkeurigheid en F1-score wordt weergegeven in Figuur 13.

Figuur 8. Voorbeeld van een blockchain-intrusierecord dat wordt gegenereerd na inbraakdetectie. Illustratief voorbeeld van een blockchainrecord dat is aangemaakt na inbraakdetectie. Het record bevat een blokidentificatie, patiënt-/apparaatidentificatie, tijdstempel, versleutelde gebeurtenisgegevens, hash voor het vorige blok, een huidige blok hash en een digitale handtekening. De recordstructuur komt overeen met de blockchainrepresentatie gedefinieerd in Vergelijking 14. Klik hier om een grotere versie van deze figuur te bekijken.

Figuur 9. Nauwkeurigheidsvergelijking tussen het voorgestelde raamwerk en benchmark-intrusiedetectiemodellen. Staafdiagram dat de classificatienauwkeurigheid van het voorgestelde Extended BiLSTM–Blockchain-framework vergelijkt met benchmark-intrusiedetectiemodellen. De x-as staat voor classificatiemodellen, en de y-as voor classificatienauwkeurigheid (%). LSTM, Langetermijngeheugen; SVM, Support Vector Machine; DT, Beslissingsboom. Klik hier om een grotere versie van deze figuur te bekijken.

Figuur 10. Vergelijking van foutpercentages tussen het voorgestelde raamwerk en benchmark-intrusiedetectiemodellen. Staafdiagram dat de uiteindelijke foutpercentages toont die zijn verkregen door het voorgestelde Extended BiLSTM–Blockchain-framework en benchmark-intrusiedetectiemodellen. De x-as vertegenwoordigt classificatiemodellen, en de y-as geeft de foutpercentage (%). Klik hier om een grotere versie van deze figuur te bekijken.

Figuur 11. Trainingstijdvergelijking van intrusiedetectiemodellen. Staafdiagram dat de duur van de wandkloktraining van elk geëvalueerd model toont. De x-as staat voor classificatiemodellen, en de y-as voor de trainingstijd (seconden). Trainingstijden werden gemeten met behulp van de experimentele computeromgeving die in het protocol werd beschreven. Klik hier om een grotere versie van deze figuur te bekijken.

Figuur 12. Prestatie-metrics van het voorgestelde Extended BiLSTM–Blockchain-framework. Staafdiagram dat de prestaties van het voorgestelde kader samenvat. Meetwaarden omvatten nauwkeurigheid, precisie, terugroeping (detectieratio) en F1-score. Het vals-positieve percentage (FPR = 0,59%) wordt daarnaast als een annotatie in de figuur weergegeven. De y-as geeft de prestatiewaarden (%) weer FPR, vals-positieve percentage. Klik hier om een grotere versie van deze figuur te bekijken.

Figuur 13. Nauwkeurigheid en F1-score vergelijking tussen intrusiedetectiemodellen. Gegroepeerd staafdiagram dat classificatienauwkeurigheid en F1-score vergelijkt over de geëvalueerde intrusiedetectiemodellen. Paarse balken staan voor nauwkeurigheid, en groene balken geven de F1-score aan. De x-as staat voor classificatiemodellen, en de y-as voor prestaties (%). LSTM, Langetermijngeheugen; SVM, Support Vector Machine; DT, Beslissingsboom. Klik hier om een grotere versie van deze figuur te bekijken.

De verwarringsmatrix verkregen uit de binaire classificatiefase wordt weergegeven in Tabel 15 en weergegeven in Figuur 14. Samengevoegd over de drie benchmarktestsets classificeerde het model correct 486.798 normale gevallen, waarbij 4.916 normale monsters ten onrechte als intrusies werden geclassificeerd. Voor de intrusieklasse werden 877.494 intrusiegevallen correct geïdentificeerd, terwijl 12.978 intrusiemonsters onjuist als normaal werden geclassificeerd. Deze resultaten tonen een hoge discriminatiecapaciteit met relatief weinig classificatiefouten, wat wijst op betrouwbare prestaties voor binaire intrusiedetectie in IoMT-omgevingen. De gerapporteerde nauwkeurigheid, F1-score, latentie en doorvoer komen uitsluitend overeen met de binaire intrusiedetectiefase die in deze studie wordt geëvalueerd.

Model	Dataset	Testsetgrootte	True Class	Voorspelde Normaal	Voorspelde indringing	Totaal (Waar)
Voorgestelde uitgebreide BiLSTM - Blockchain	CICIDS 2017	566149	Normaal	451946	2673	454619
			Intrusie	3426	108104	111530
			Totaal (Voorspeld)	455372	110777	566149
	UNSW-NB 15	82332	Normaal	34764	2236	37000
			Intrusie	1087	44245	45332
			Totaal (Voorspeld)	35851	46481	82332
	Bot-IoT	733705	Normaal	88	7	95
			Intrusie	8465	725145	733610
			Totaal (Voorspeld)	8553	725152	733705
LSTM	CICIDS 2017	566149	Normaal	447946	6673	454619
			Intrusie	7396	104134	111530
			Totaal (Voorspeld)	455342	110807	566149
	UNSW-NB 15	82332	Normaal	32765	4235	37000
			Intrusie	2153	43179	45332
			Totaal (Voorspeld)	34918	47414	82332
	Bot-IoT	733705	Normaal	85	10	95
			Intrusie	12465	721145	733610
			Totaal (Voorspeld)	12550	721155	733705
SVM	CICIDS 2017	566149	Normaal	449257	5362	454619
			Intrusie	5743	105787	111530
			Totaal (Voorspeld)	455000	111149	566149
	UNSW-NB 15	82332	Normaal	33729	3271	37000
			Intrusie	1568	43764	45332
			Totaal (Voorspeld)	35297	47035	82332
	Bot-IoT	733705	Normaal	84	11	95
			Intrusie	9465	724145	733610
			Totaal (Voorspeld)	9549	724156	733705
DT	CICIDS 2017	566149	Normaal	448697	5922	454619
			Intrusie	7743	103787	111530
			Totaal (Voorspeld)	456440	109709	566149
	UNSW-NB 15	82332	Normaal	34129	2871	37000
			Intrusie	1397	43935	45332
			Totaal (Voorspeld)	35526	46806	82332
	Bot-IoT	733705	Normaal	89	6	95
			Intrusie	8465	725145	733610
			Totaal (Voorspeld)	8554	725151	733705

Tabel 15: Verwarringsmatrix van het voorgestelde intrusiedetectiemodel. Deze tabel toont de verwarringsmatrix die is verkregen uit testset-evaluatie van het voorgestelde model. Rijen komen overeen met echte klasselabels en kolommen met voorspelde klassenlabels voor normale en intrusieverkeersklassen.

Figuur 14. Verwarringsmatrices van het voorgestelde uitgebreide BiLSTM–Blockchain intrusiedetectiesysteem over de benchmarkdatasets. Verwarringsmatrices die classificatie-uitkomsten tonen voor de datasets CICIDS2017, UNSW-NB15 en Bot-IoT. Rijen komen overeen met echte labels en kolommen met voorspelde labels. Celwaarden geven het aantal gevallen aan dat aan elke classificatie-uitkomst is toegewezen. IDS, Inbraakdetectiesysteem. Klik hier om een grotere versie van deze figuur te bekijken.

Klasse-precisie, herinnering en F1-scorewaarden afgeleid uit de verwarringsmatrix worden samengevat in Tabel 16. Hoge precisie geeft aan dat het voorgestelde kader zelden onschuldig verkeer als kwaadaardig classificeerde, waardoor onnodige waarschuwingen in zorgomgevingen worden verminderd. Evenzo tonen de hoge terugroepwaarden effectieve detectie van inbraakgebeurtenissen aan, terwijl gemiste aanvallen worden geminimaliseerd. De consequent sterke F1-scores in beide klassen bevestigen dat het voorgestelde kader een evenwichtige afweging heeft bereikt tussen detectiegevoeligheid en classificatienauwkeurigheid, wat de geschiktheid voor realtime IoMT-intrusiedetectie ondersteunt.

Klasse	Precisie (%)	Terugroeping (%)	F1-score (%)
Normaal	97.4	99	98.2
Intrusie	99.44	98.54	98.99
Gemiddeld	98.42	98.77	98.59

Tabel 16: Klasse-gewijze prestatie-metrics van het voorgestelde intrusiedetectiemodel. Deze tabel geeft precisie-, recall- en F1-scorewaarden weer voor normale en intrusieklassen, samen met de gemiddelde prestatie die tijdens de testset-evaluatie is behaald.

Computationele efficiëntie
De realtime prestaties werden beoordeeld met offline timingmetingen op de vooraf bewerkte testvensters in plaats van een live streamingomgeving. Voor elke dataset werden de vooraf verwerkte, venstermatige testmonsters verwerkt door de volledige detectie- en blockchain-loggingpijplijn, en werd de uitvoeringstijd van de muurklok geregistreerd. De tijdsgrenzen werden als volgt gedefinieerd. Detectielatentie (T_d) werd gemeten vanaf het moment direct voor de modelinferentieoproep tot de voorspelde kansen werden teruggegeven. End-to-end mitigatielatentie (T_mitigation = T_d + T_b) werd gemeten vanaf hetzelfde startpunt tot voltooiing van de laatste blockchain-blokcreatietransactie, waarbij de blockchain-schrijfcomponent (T_b) werd berekend als het verschil tussen de twee metingen. Ledgerverificatie werd uitgevoerd nadat de mitigatie-latentie timer was gestopt en daarom was uitgesloten van de gerapporteerde latentie.

De doorvoersnelheid werd berekend als het totale aantal verwerkte vensters gedeeld door de verstreken muurkloktijd die nodig is voor een volledige doorgang van de testpartitie van elke dataset. De latentie per gebeurtenis werd verkregen door de overeenkomstige verstreken tijd te delen door het totale aantal verwerkte vensters. De werklast bestond uit de venstertestpartities van de drie benchmarkdatasets, terwijl hun goedaardige gewichtsverdelingen voor intrusie behouden bleven. Windows die als kwaadaardig werden geclassificeerd bracht de extra blockchain-logging overhead met zich mee, waaronder digest-berekeningen, digitale ondertekening en uitvoering van smartcontracttransacties, terwijl goedaardige vensters alleen de detectiekosten opleverden.

De vergelijking van latentie en doorvoer tussen de representatieve intrusiedetectiemodellen wordt weergegeven in Tabel 12. Conventionele machine learning-modellen, waaronder DT en SVM, toonden een lagere inferentielatentie en hogere doorvoersnelheid dan het voorgestelde deep learning-framework. De LSTM-baseline behaalde gemiddelde prestaties. Het voorgestelde Extended BiLSTM–Blockchain-framework werkte met een detectielatentie van ongeveer 135 ms per gebeurtenis en een doorvoersnelheid van ongeveer 320 gebeurtenissen/s op de single-node Clique PoA-implementatie zoals beschreven in de Experimental Setup. Deze metingen karakteriseren de prestaties van het prototype met één validator in plaats van een multinode schaalbaarheidsevaluatie.

Naast de inferentieprestaties werd de trainingstijd van elk geëvalueerd model vergeleken om de computationele efficiëntie te beoordelen. Trainingstijd is een belangrijke overweging voor realtime IoMT-toepassingen, waarbij snelle modelimplementatie wenselijk is. Zoals weergegeven in Figuur 11, behaalde de DT de laagste latentie per gebeurtenis (ongeveer 40 ms) en de hoogste doorvoer (ongeveer 845 gebeurtenissen/s), gevolgd door de SVM (ongeveer 75 ms, 670 gebeurtenissen/s) en de LSTM (ongeveer 110 ms, 559 gebeurtenissen/s). Het voorgestelde Extended BiLSTM–Blockchain-framework vertoonde de hoogste latentie (ongeveer 135 ms) en de laagste doorvoersnelheid (ongeveer 320 events/s) van de geëvalueerde modellen. Deze extra rekenkosten ontstaan door de bidirectionele architectuur, het temporele aandachtmechanisme en blockchain-gebaseerde onveranderlijke logging, die samen zorgen voor verbeterd temporele feature learning en manipulatiebestendige forensische traceerbaarheid. Hoewel deze componenten de latentie per gebeurtenis verhogen, blijft de bereikte doorvoer voldoende voor bijna-realtime inbraakmonitoring in IoMT-omgevingen.

Een uitgebreide schaalbaarheidsbeoordeling met meerdere validatorknooppunten en wisselende transactiebelastingen viel buiten het bereik van het huidige prototype met één knooppunt. Het evalueren van doorvoer en latentie als functies van validatoren, aantal validators en transactiebelasting onder gecontroleerde omstandigheden vertegenwoordigt een belangrijke richting voor toekomstig werk om de schaalbaarheid van het framework te karakteriseren in grotere gedistribueerde ziekenhuisomgevingen.

Blockchainlogging en mitigatie
Figuur 8 illustreert een voorbeeld van een blockchain-intrusierecord. Elk blok slaat veilig een inbraak- of medische gegevenstransactie op binnen het blockchaingrootboek door een unieke blokidentificatie (Block_ID), patiënt- of apparaatidentificatie (Patient_ID), tijdstempel, versleutelde inbraakgegevens, de vorige blokhash, de huidige blokhash en een digitale handtekening vast te leggen. Gezamenlijk bieden deze velden vertrouwelijkheid, integriteit, onveranderlijkheid, authenticatie en forensische traceerbaarheid binnen het voorgestelde Extended BiLSTM–Blockchain inbraakdetectiekader.

Al met al ondersteunen de resultaten de centrale hypothese dat het integreren van een aandachtsversterkte Extended BiLSTM-inbraakdetector met een blockchain-gebaseerde logglaag nauwkeurige, efficiënte en manipulatiebestendige inbraakdetectie voor IoMT-netwerken biedt. Het voorgestelde kader behaalde een algehele nauwkeurigheid van 98,71% en een F1-score van 98,99%, waarbij het consequent beter presteerde dan de geëvalueerde machine learning- en deep learning-baselinemodellen, terwijl de convergentie stabiel bleef en minimale bewijs van overfitting werd gehandhaafd. De ablatiestudie toonde aan dat elk architectural component, inclusief de convolutionele en residuele lagen, het aandachtsmechanisme en blockchain-integratie, stapsgewijs bijdroeg aan de algehele detectieprestaties en forensische capaciteit. Op het prototype met één knoop had het framework een gemiddelde latentie van ongeveer 135 ms per gebeurtenis en een doorvoersnelheid van ongeveer 320 gebeurtenissen per seconde, terwijl het onveranderlijke en verifieerbare inbraaklogging bood. Gezamenlijk ondersteunen deze bevindingen de geschiktheid van het voorgestelde geïntegreerde detectie- en blockchain-framework voor realtime inbraakdetectie en veilige forensische logging in IoMT-omgevingen.

Beschikbaarheid van gegevens:
De benchmarkdatasets die in deze studie zijn gebruikt, zijn openbaar beschikbaar. De UNSW-NB15-dataset is beschikbaar via de UNSW Canberra-repository (https://research.unsw.edu.au/projects/unsw-nb15-dataset), de CICIDS2017-dataset is beschikbaar bij het Canadian Institute for Cybersecurity (https://www.unb.ca/cic/datasets/ids-2017.html), en de Bot-IoT-dataset is beschikbaar in de UNSW Canberra-repository (https://research.unsw.edu.au/projects/bot-iot-dataset).

Het volledige materiaal dat nodig is om de studie te reproduceren, wordt als aanvullende bestanden verstrekt. Supplementair Bestand 1 bevat de volledige pseudocode voor de preprocessing-, feature-selectie-, modeltraining-, inbraakdetectie-, blockchain- en smartcontract-algoritmen zoals beschreven in het Protocol. Supplementary File 2 bevat de volledige implementatie van de data-preprocessing pipeline, het Extended BiLSTM-model, trainings- en evaluatiescripts, blockchain-client, figure-generation scripts en end-to-end uitvoeringspijplijn. De bijbehorende README biedt stapsgewijze instructies voor het reproduceren van de workflow, inclusief het voorbereiden van datasets, modeltraining, evaluatie, figuurgeneratie en optionele blockchain-implementatie. Het bijbehorende requirements.txt-bestand specificeert de Python-pakketafhankelijkheden die nodig zijn om de computationele omgeving te recreëren.

Figuur	Figuurtype	Gegenereerd uit
1	Conceptueel architectuurdiagram	Vectortekensoftware
2	Implementatieniveau datastroomdiagram	Vectortekensoftware
3	Nauwkeurigheidsconvergentiecurve	Trainingsgeschiedenis (trainings- en validatienauwkeurigheid per tijdperk)
4	Verliesconvergentiecurve	Trainingsgeschiedenis (trainings- en validatieverlies per epoch)
5	Nauwkeurigheidsvergelijkingsstaafdiagram	Nauwkeurigheidswaarden per model
6	Precisievergelijkingsstaafdiagram	Precisiewaarden per model
7	Herinneringsstaafdiagram	Per-model herinneringswaarden
8	Blockchain blokstructuurdiagram	Conceptuele blockchain-recordstructuur
9	Vergelijkingsgrafiek voor nauwkeurigheid	Nauwkeurigheidswaarden per methode
10	Vergelijkingsgrafiek voor foutpercentages	Per-methode foutpercentagewaarden
11	Vergelijkingsgrafiek van trainingstijd	Gemeten trainingsduur
12	Prestatiesamenvatting grafiek	Precisie, recall, nauwkeurigheid, F1-score en vals-positieve waarden voor voorgestelde modellen
13	Nauwkeurigheid en F1-score vergelijkingstabel	Per-methode nauwkeurigheid en F1-score waarden
14	Verwarringsmatrix	Confusion-matrix tellingen

Tabel 17: Gegevensbronnen gebruikt om cijfers te genereren die in de studie zijn opgenomen. Deze tabel vat de databronnen en computationele output samen die zijn gebruikt om elke figuur in het manuscript te genereren. Kwantitatieve cijfers werden programmatisch gegenereerd uit modeltrainingsgeschiedenissen, evaluatiemetrics, verwarringsmatrix-outputs en prestatiemetingen, terwijl conceptuele diagrammen werden gemaakt met vectortekensoftware.

Aanvullend dossier 1. Algoritmen en pseudocode voor het voorgestelde uitgebreide BiLSTM–Blockchain intrusiedetectieframework. Dit aanvullende bestand bevat de volledige pseudocode voor de preprocessing-pijplijn (Algoritme 1), Uitgebreide BiLSTM-intrusiedetectie (Algoritme 2), modeltraining met vroegtijdig stoppen (Algoritme 3), blockchain-gebaseerde inbraakdetectie en -mitigatie (Algoritme 4), AQU-IMF-RFE-functieselectie (Algoritme 5) en de smart-contract inbraakregistratieprocedure (Algoritme 6). Klik hier om dit bestand te downloaden.

Aanvullend dossier 2. Broncode voor het voorgestelde uitgebreide BiLSTM–Blockchain intrusiedetectieframework. Dit aanvullende bestand bevat de volledige implementatie van de preprocessing-pijplijn, het uitgebreide BiLSTM-model, modeltraining en evaluatie, end-to-end uitvoeringspijplijn, blockchainclient en figuurgeneratie-scripts die nodig zijn om de gerapporteerde resultaten te reproduceren. Klik hier om dit bestand te downloaden.

Aanvullend dossier 3. Gedetailleerde implementatie- en optimalisatieprocedures voor het voorgestelde uitgebreide BiLSTM–Blockchain intrusiedetectiekader. Dit aanvullende bestand bevat implementatiedetails die uit het hoofdprotocol zijn weggelaten voor de beknoptheid, waaronder (A) Uitgebreide BiLSTM-trainingsoptimalisatie en wiskundige formulering (trainingsdoelstelling, Adam-optimalisatie, vroegtijdig stoppen en hyperparameterconfiguratie); (B) gedetailleerde implementatie van neuraal netwerk (Conv1D, gestapelde BiLSTM, residuele projectie, aandachtsmechanisme, gewichtinitialisatie, uitval en classificatie-instellingen); (C) blockchain-implementatie en smart-contractimplementatie; (D) procedures voor het genereren en verifiëren van digitale handtekeningen; (E) smart-contract event processing en geautomatiseerde responsworkflow; en (F) interpretatie van de computationele complexiteitsanalyse. Deze details ondersteunen volledige reproduceerbaarheid van het voorgestelde raamwerk, terwijl de leesbaarheid van het hoofdprotocol behouden blijft. Klik hier om dit bestand te downloaden.

README.
Instructies voor het reproduceren van de voorgestelde workflow. Dit bestand bevat softwareinstallatie-instructies, voorbereiding van datasets, uitvoering van de volledige verwerkingspijplijn, modeltraining, evaluatie, figuurgeneratie, blockchain-implementatie en reproduceerbaarheidsrichtlijnen voor het voorgestelde framework.

requirements.txt
Softwareafhankelijkheden voor het reproduceren van de computationele omgeving. Dit bestand geeft een overzicht van de afhankelijkheden van Python-pakketten en de compatibele versievereisten die nodig zijn om de preprocessing-, modeltraining-, evaluatie-, blockchain- en visualisatiecomponenten van het voorgestelde framework uit te voeren.

Discussion

De huidige studie stelt een geïntegreerd Extended BiLSTM–Blockchain-framework voor inbraakdetectie en -preventie in IoMT-omgevingen. De resultaten tonen aan dat het framework effectief inbraakpatronen in heterogeen IoMT-netwerkverkeer identificeert door bidirectioneel temporeel leren te combineren met blockchain-gebaseerde forensische logging. De bidirectionele architectuur stelt het model in staat zowel voor- als achterwaartse temporele afhankelijkheden binnen netwerkverkeer vast te leggen, wat resulteert in hoge precisie (99,44%), een terugroeping van 98,54% en een F1-score van 98,99% voor de inbraakklasse, terwijl een laag vals-positief percentage (ongeveer 1,0%) behouden blijft vergeleken met de geëvalueerde basismodellen voor intrusiedetectie. In tegenstelling tot conventionele unidirectionele LSTM- of baseline-architecturen, die mogelijk geen langeafstands-temporele afhankelijkheden kunnen vastleggen, herkent het voorgestelde model sequentiële verkeerspatronen effectiever, waardoor het onderscheid tussen goedaardig en kwaadaardig netwerkverkeer verbetert. Deze bevindingen ondersteunen de hypothese van het onderzoek dat het integreren van een aandachtsversterkte Extended BiLSTM-detector met een blockchain-logginglaag zowel de prestaties van inbraakdetectie als de forensische verantwoordelijkheid verbetert.

Het voorgestelde kader kan worden gepositioneerd binnen verschillende gevestigde onderzoeksrichtingen. Een onderzoekslijn richt zich op feature-selection-enhanced intrusiedetectie voor IoMT-systemen, waaronder boom- en filtergebaseerde benaderingen⁸, ensemble-learning detectors⁹ en ons eerder gerapporteerde AQU-IMF-RFE feature-selectieframework¹⁸. Deze benaderingen verbeteren de detectienauwkeurigheid door dimensionaliteitsreductie, maar vertrouwen over het algemeen op classifiers die niet expliciet bidirectionele temporele afhankelijkheden in netwerkverkeer modeleren. Het voorgestelde framework vult deze methoden aan in plaats van vervangt deze door AQU-IMF-RFE¹⁸ te gebruiken om een geoptimaliseerde featureruimte te construeren, waarop de Extended BiLSTM temporele intrusiedetectie uitvoert terwijl de blockchainlaag onveranderlijke forensische logging biedt. Een tweede onderzoekslijn maakt gebruik van sequentie-leermodellen voor intrusiedetectie, waaronder aandachtsversterkte BiLSTM-architecturen⁷, BiLSTM-gebaseerde netwerk-IDS'en³¹ en recurrente neurale netwerkbenaderingen^32,33. In overeenstemming met deze studies bevestigen de huidige bevindingen de waarde van bidirectionele temporele modellering, waarbij de aandachtsversterkte Extended BiLSTM hogere F1-scores behaalde dan de LSTM- en CNN-baselines die in deze studie werden geëvalueerd. In tegenstelling tot deze op detectie gerichte modellen bevat het voorgestelde framework echter ook tamper-proof blockchain-logging. Een derde onderzoeksrichting onderzoekt blockchain-gebaseerde beveiliging voor zorg- en IoT-systemen, waaronder blockchain-ondersteunde zorgarchitecturen en forensische integriteit 28,34,35, geautoriseerd blockchain toegangsbeheer ^36,37, en blockchain-gedreven federated intrusiedetectie voor IoMT³⁸. Hoewel deze studies de waarde van onveranderlijkheid en auditeerbaarheid vaststellen, behandelen ze inbraakdetectie en forensische logging over het algemeen als aparte processen of maken ze gebruik van meer computationeel intensieve consensusmechanismen. Daarentegen integreert het voorgestelde framework een lichtgewicht, geautoriseerd PoA-blok direct met de intrusiedetector om onveranderlijke logging en event-driven mitigation te bieden, terwijl de rekenkracht laag blijft. In vergelijking met recente IoMT deep-learning benaderingen, waaronder feature-engineering gebaseerde intrusiedetectie³⁹ en gefedereerd leren voor medisch IoT⁴⁰, is de belangrijkste bijdrage van deze studie de integratie van bidirectionele temporele detectie met blockchain-gebaseerde forensische traceerbaarheid binnen een uniform kader, in plaats van alleen verbeteringen in detectienauwkeurigheid.

Blockchain-integratie voegt belangrijke vertrouwens-, verantwoordings- en forensische capaciteiten toe aan het voorgestelde raamwerk. Onveranderlijke blockchainrecords zorgen ervoor dat inbraakgebeurtenissen niet kunnen worden gewijzigd na registratie, en ondersteunen zo naleving van regelgeving en forensische audits binnen zorgomgevingen. Elke geregistreerde gebeurtenis slaat apparaatidentificaties, tijdstempels, cryptografische hashes en digitale handtekeningen op die transparante verificatie en traceerbaarheid mogelijk maken. Bovendien maakt de smart-contractlaag geautomatiseerde event-driven mitigation mogelijk door node-isolatievlaggen en beheerderswaarschuwingen te genereren die door een off-chain luisteraar worden verwerkt, waardoor de responstijd wordt verminderd terwijl een controleerbaar record van elk beveiligingsincident behouden blijft. Gezamenlijk breiden deze mogelijkheden het kader uit voorbij conventionele inbraakdetectie door detectie, veilige logging en geautomatiseerde respons binnen één architectuur te integreren.

Verschillende beperkingen van het huidige onderzoek moeten worden erkend. Methodologisch werd modelevaluatie uitgevoerd met een enkele gestratificeerde hold-out split met een vaste willekeurige seed (42) in plaats van herhaalde kruisvalidatie of meerdere willekeurige initialisaties. Hyperparameters werden geselecteerd uit vastgestelde standaardwaarden in plaats van via een uitputtende optimalisatieprocedure. De experimentele evaluatie maakte gebruik van drie publiek beschikbare benchmarkdatasets (UNSW-NB15, CICIDS2017 en Bot-IoT)41,42,43, die, hoewel breed geaccepteerd, statische verkeersopnames vertegenwoordigen in plaats van continu evoluerend netwerkverkeer. Hun inherente klassenonevenwicht kan ook de modelprestaties beïnvloeden, ondanks de toepassing van klassengewogen training. Daarnaast bevat de Extended BiLSTM-architectuur meer trainbare parameters en vereist deze langere trainingstijden dan conventionele machine learning-baselines vanwege de bidirectionele recurrente structuur en het aandachtmechanisme. Hoewel de gemeten inferentielatentie realtime implementatie op het evaluatiewerkstation ondersteunt, kunnen de rekenkundige en geheugenvereisten de mogelijkheden van resource-beperkte IoMT-edge-apparaten overstijgen, waardoor gateway-niveau of servergebaseerde implementatie praktischer wordt. Het framework gaat er verder van uit dat inbraakdetectie en blockchainlogging plaatsvinden bij vertrouwde gateway-nodes en dat de gemachtigde PoA-validator-nodes zich eerlijk gedragen. Blockchainlogging introduceert een gemiddelde bevestigingslatentie van ongeveer 2 seconden, en langetermijngroei van het grootboek kan een schaalbaarheidsprobleem worden bij grootschalige implementaties. De aanname van een vertrouwde validator is een inherent kenmerk van gepermitte PoA-blockchains^24,25, terwijl bredere blockchainbeveiligingsuitdagingen elders zijn besproken^. Daarom blijft het beperken van samenspanning tussen validators tussen multi-institutionele implementaties een belangrijk onderwerp voor toekomstig onderzoek. Ten slotte, hoewel preprocessing-statistieken uitsluitend uit de trainingspartitie zijn afgeleid om informatielekken te voorkomen, kan het gebruik van voorbewerkte offline benchmarkdatasets in plaats van live netwerkverkeer de praktische doorvoersnelheid overschatten, en kunnen bekende labeling- en steekproefartefacten binnen benchmarkdatasets dataset-specifieke bias veroorzaken. Hoewel het aandachtsmechanisme een zekere mate van interpreteerbaarheid biedt, blijft het kader grotendeels een deep learning black box, wat mogelijk de transparantie beperkt voor clinici en beveiligingsanalisten die meer interpreteerbare waarschuwingen nodig hebben. Deze beperking is consistent met waarnemingen die zijn gerapporteerd in eerdere deep-learning intrusiedetectieonderzoeken ^6,11,44.

Er bestaan verschillende mogelijkheden om het voorgestelde kader verder uit te breiden. Validatie op live IoMT-testbedden of operationele ziekenhuisnetwerken zou extra bewijs leveren van prestaties in de praktijk, buiten offline benchmarkdatasets. De blockchain-implementatie zou kunnen worden uitgebreid van het huidige single-node prototype naar een gedistribueerde multivalidator-implementatie om een uitgebreide schaalbaarheidsevaluatie mogelijk te maken. Modelcompressie-, snoei- of kwantisatietechnieken kunnen de implementatie op resource-beperkte edge-apparaten vergemakkelijken. Aanvullend onderzoek zou ook online leren kunnen integreren om concept drift en zero-day attacks^aan te pakken, gefedereerd leren om samenwerkingsmodeltraining tussen zorginstellingen mogelijk te maken zonder gevoelige patiëntgegevens^{te delen 40}, en uitlegbare AI-methoden om transparantere inbraakwaarschuwingen te bieden voor clinici en cybersecuritypersoneel.

Al met al toont het voorgestelde Extended BiLSTM–Blockchain-framework sterke aanpassingsvermogen, forensische verantwoordelijkheid en robuuste prestaties bij inbraakdetectie. Door aandachtsversterkt temporeel leren te integreren met onveranderlijke blockchainlogging en geautomatiseerde mitigatie, combineert het framework hoge detectienauwkeurigheid met veilige forensische traceerbaarheid en lage vals-positieven. Deze bevindingen tonen het potentieel van de voorgestelde aanpak aan als praktische methode om realtime IoMT-omgevingen te beveiligen, terwijl betrouwbare audits en tijdige beveiligingsrespons in zorgsystemen worden ondersteund.

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
AQU-IMF-RFE Feature Selection Module	Zelf ontwikkeld	N/A	Hybride methode voor functieselectie die wederzijdse informatie, Aquila Optimizer en recursieve functie-eliminatie integreert
Attention Layer	Zelf ontwikkeld (gebaseerd op Keras)	N/A	Tijdelijke aandachtsmechanisme gebruikt voor functieweging in het Extended BiLSTM-model
Bot-IoT Dataset	UNSW Canberra Cyber	N/A	Open benchmark-dataset gebruikt voor evaluatie van inbreukdetectie
CICIDS2017 Dataset	Canadian Institute for Cybersecurity	N/A	Open benchmark-dataset voor inbreukdetectie
Ethereum Client (Geth)	Ethereum Foundation	1.13.15	Blockchain-client gebruikt voor het implementeren en bedienen van het Proof-of-Authority-netwerk
Extended BiLSTM Model	Zelf ontwikkeld	N/A	Deep learning-model voor inbreukdetectie dat Conv1D, BiLSTM, residual learning en temporele aandacht integreert
Jupyter Notebook	Project Jupyter	7.x	Interactieve omgeving gebruikt voor implementatie, experimenten en resultaatvisualisatie
NumPy	NumPy Developers	2.4.4	Bibliotheek voor numerieke berekeningen gebruikt voor pre-processing en modeltraining
Pandas	Pandas Development Team	3.0.2	Bibliotheek voor gegevensverwerking gebruikt voor pre-processing en gegevensanalyse
Proof-of-Authority Blockchain Network	Zelf ontwikkeld	N/A	Toestemmingsverplicht blockchain-netwerk gebruikt voor onveranderlijke inbreukregistratie en geautomatiseerde mitigatie
Python	Python Software Foundation	3.12.7	Programmeertaal gebruikt voor gegevensverwerking, modelontwikkeling, blockchain-integratie en evaluatie
Random Forest Estimator	Scikit-learn Developers	N/A	Random Forest-classifier gebruikt voor Recursive Feature Elimination (RFE)
Scikit-learn	Scikit-learn Developers	1.8.0	Machine learning-bibliotheek gebruikt voor pre-processing, functieselectie en modelevaluatie
Solidity Compiler (solc)	Solidity Team	0.8.19	Compiler gebruikt voor het compileren en implementeren van smart contracts
Solid-State Drive (SSD)	Dell	512 GB	Opslag gebruikt voor datasets, getrainde modellen en blockchain-ledger
System Memory (RAM)	Dell	128 GB	Hoofdgeheugen gebruikt tijdens pre-processing, modeltraining, blockchain-uitvoering en evaluatie
TensorFlow	Google	2.16.1	Deep learning-framework gebruikt om het Extended BiLSTM-model te implementeren en te trainen
UNSW-NB15 Dataset	UNSW Canberra Cyber	N/A	Open benchmark-dataset gebruikt voor training en evaluatie
Web3.py	Web3.py Developers	6.15.1	Python-interface gebruikt voor communicatie tussen het inbreukdetectiesysteem en het blockchain-netwerk
Windows Operating System	Microsoft	Windows 11	Besturingssysteem gebruikt voor alle experimenten
Workstation / Server	Dell	PowerEdge R740	Computerplatform gebruikt voor modeltraining, blockchain-implementatie en evaluatie