Sieć pamięci krótkotrwałej długotrwałej dwukierunkowej zintegrowana z blockchainem do wykrywania wtruć w czasie rzeczywistym w sektorze opieki zdrowotnej Internetu Rzeczy Medycznych

Summary

Ten protokół opisuje implementację zintegrowanego z łańcuchem bloków dwukierunkowego systemu wykrywania włamań z pamięcią krótko- i długoterminową dla sieci Internetu Medycznych Rzeczy, umożliwiającego wykrywanie ataków w czasie rzeczywistym, niemożliwe do sfałszowania zapisywanie danych do celów śledczych i zautomatyzowane łagodzenie.

Abstract

Środowiska Healthcare Internet of Medical Things (IoMT) wymagają systemów wykrywania włamań, które nie tylko dokładnie identyfikują ataki cybernetyczne, ale także zapewniają możliwość przeprowadzania dochodzenia, kontroli i szybkich reakcji. Konwencjonalne podejścia do wykrywania włamań koncentrują się głównie na wydajności klasyfikacji, oferując jednocześnie ograniczone wsparcie dla nieusuwalnego rejestrowania zdarzeń i badania po incydencie. Niniejsze badanie przedstawia framework wykrywania włamań zorientowany na śledztwo, który integruje rozszerzoną dwukierunkową sieć długotrwałej krótkoterminowej pamięci (BiLSTM) z warstwą uprawnionej bazy danych blockchain w celu wsparcia wykrywania w czasie rzeczywistym, bezpiecznego rejestrowania i automatycznego łagodzenia w systemach IoMT w sektorze opieki zdrowotnej. Protokół łączy przetwarzanie danych, selekcję cech AQU-IMF-RFE, modelowanie sekwencji czasowych, uczenie z uwzględnieniem uwagi, połączenia rezydualne i rejestrowanie zdarzeń oparte na blockchainie. Model Extended BiLSTM był szkolony i ewaluowany niezależnie na benchmarkowych zbiorach danych UNSW-NB15, CICIDS2017 i Bot-IoT przy użyciu możliwego do powtórzenia przetwarzania wstępnego, podziału danych warstwowego i ustalonego losowego nasiona. Zdarzenia włamania wykryte przez model były rejestrowane na blockchainie Proof-of-Authority za pomocą inteligentnych kontraktów, które umożliwiały nieusuwalne logowanie i zautomatyzowane akcje reakcyjne. Wyniki eksperymentów wykazały wysoką wydajność wykrywania włamań z niskimi współczynnikami fałszywych alarmów na wszystkich ocenianych zbiorach danych, zachowując jednocześnie możliwość śledzenia sądowego i zdolność do reakcji w czasie rzeczywistym. Warstwa blockchain zapewniała odporne na uszkodzenia zapisy audytu oraz zautomatyzowane łagodzenie bez wprowadzania nadmiernego obciążenia obliczeniowego. Te wyniki pokazują, że integracja opartej na głębokim uczeniu metody wykrywania włamań z logowaniem forenzycznym wspieranym przez blockchain zwiększa wiarygodność, odpowiedzialność i możliwość praktycznego wdrożenia systemów cyberbezpieczeństwa w sektorze opieki zdrowotnej.

Introduction

W systemie opieki zdrowotnej cyfryzacja zapoczątkowała nową erę inteligentnych, połączonych i zorientowanych na pacjenta usług opieki zdrowotnej. Nowoczesna infrastruktura medyczna opiera się w dużej mierze na komunikacji sieciowej i wymianie danych między nośnymi czujnikami, systemami zdalnego monitorowania pacjentów, elektronicznymi aktami zdrowia (EHRs)^1,2 oraz inteligentnymi platformami diagnostycznymi. Jednak ta rosnąca wzajemna łączność powiększa również powierzchnię ataku sieci opieki zdrowotnej, narażając je na zagrożenia cybernetyczne, takie jak wycieki danych, ransomware, ataki rozproszonego odmowy usług (DDoS) oraz ataki typu man-in-the-middle³. Te naruszenia skutkują znacznymi stratami finansowymi i, co ważniejsze, mogą zaryzykować bezpieczeństwo pacjentów, gdy wrażliwe dane medyczne lub krytyczna funkcjonalność urządzeń jest naruszona.

Skala i złożoność systemów Internetu Rzeczy Medycznych (IoMT) jeszcze bardziej pogłębia te wyzwania bezpieczeństwa. Nowoczesne sieci opieki zdrowotnej muszą jednocześnie zapewniać komunikację o niskiej latencji, wysoką niezawodność i mocne gwarancje bezpieczeństwa, co są wymaganiami, których tradycyjne mechanizmy bezpieczeństwa często nie są w stanie spełnić⁴. Szybki wzrost ruchu IoMT, charakteryzujący się heterogenicznymi źródłami danych, dynamicznymi wzorami komunikacji oraz rygorystycznymi wymaganiami regulacyjnymi, takimi jak Health Insurance Portability and Accountability Act (HIPAA) i Ogólne Rozporządzenie o Ochronie Danych (GDPR), wymaga inteligentnych systemów wykrywania włamań (IDS) zdolnych do osiągania wysokich współczynników wykrywania przy minimalizowaniu fałszywych alarmów⁵.

W regulowanych środowiskach opieki zdrowotnej wykrywanie włamań nie jest jedynie operacyjnym wymogiem, ale także funkcją rozliczeniową. Alerty bezpieczeństwa mogą wywołać izolację urządzeń, wpłynąć na ciągłość opieki i następnie stać się przedmiotem audytów, przeglądów regulacyjnych lub dochodzeń prawnych. W rezultacie, skuteczny IDS IoMT musi zapewniać dokładne wykrywanie w czasie rzeczywistym, wyjaśnialne decyzje, które wspierają tryagowanie incydentów, oraz niemożliwe do sfałszowania zapisy, które gwarantują niezaprzeczalność i śledzenie sądowe⁶. To wymóg przesuwa cel wykrywania włamań z klasyfikacji skoncentrowanej na wydajności ku zarządzaniu bezpieczeństwem opartym na zaufaniu i rozliczalności.

Techniki głębokiego uczenia się, szczególnie sieci Long Short-Term Memory (LSTM) i dwukierunkowe Long Short-Term Memory (BiLSTM), wykazały dużą zdolność do modelowania zależności czasowych w ruchu sieciowym i wykrywania zachowań anomalnych⁷. Niemniej istniejące IDS oparte na BiLSTM często cierpią na przetrenowanie, niedostateczną uwagę na krytyczne wydarzenia czasowe oraz ograniczoną generalizację wśród heterogenicznych urządzeń IoMT i środowisk opieki zdrowotnej. Co więcej, sieci IoMT są narażone na różnorodne zagrożenia cybernetyczne, które wpływają na poufność, integralność i dostępność (CIA) danych i usług medycznych, jak podsumowano w Tabeli 1.

Rodzaj ataku	Kontekst IoMT	Wymiar CIA, któremu zagraża atak	Wpływ na systemy opieki zdrowotnej
Nieusprawiedliwiony dostęp19	Wykorzystanie słabych mechanizmów uwierzytelniania dostępu do urządzeń pacjenta lub rejestrów medycznych	Poufność, integralność	Ucieczka danych i nieautoryzowany dostęp do urządzeń medycznych
Podróbki / Impersonation19	Złośliwe urządzenie naśladuje legalny węzeł IoMT	Integralność	Fałszywe odczyty, które mogą prowadzić do niewłaściwej diagnozy lub niebezpiecznego leczenia
Podsłuch21	Przechwytywanie niezaszyfrowanego danych medycznych podczas transmisji	Poufność	Naruszenie prywatności i ujawnianiem wrażliwych informacji o pacjencie
Fałszowanie danych / Eksploatacja oprogramowania układowego19	Modyfikacja oprogramowania układowego urządzenia lub przesyłanych danych medycznych	Integralność	Nieprawidłowa diagnoza lub nieodpowiednie decyzje terapeutyczne
Ransomware20	Szyfrowanie danych pacjenta lub oprogramowania układowego urządzenia medycznego	Dostępność, integralność	Zablokowanie kluczowych systemów i opóźnienia w leczeniu
Odmowa usługi (DoS) / Rozproszona odmowa usługi (DDoS)6	Przeciążenie urządzeń medycznych lub sieci opieki zdrowotnej	Dostępność	Zaburzenie funkcjonowania systemów monitorowania i operacji na oddziale intensywnej terapii (ICU)
At

Protocol

Wszystkie eksperymenty przeprowadzono wyłącznie za pomocą publicznie dostępnych zestawów danych do benchmarkowania sieciowych intruzyjnych zagrożeń (UNSW-NB15, CIC-IDS-2017 i Bot-IoT), które zawierają zapisy ruchu sieciowego bez informacji osobistych ani medycznych. Zestawy danych były wykorzystywane zgodnie z ich odpowiednimi licencjami i warunkami użytkowania. Ponieważ nie było zaangażowanych żadnych uczestników ludzkich, próbek pacjentów ani danych osobowych, nie było konieczności uzyskania zgody instytucjonalnej i zgody na udział w badaniu.

Przegląd zaproponowanej ramy
W tej sekcji przedstawiono zaproponowaną dwuwarstwową ramę wykrywania i zapobiegania intruzyjnym zagrożeniom w celu zabezpieczenia środowisk IoMT. Rama integruje sieć Extended BiLSTM do wykrywania intruzyjnego ruchu przestrzenno-czasowego z warstwą łańcucha bloków o niskiej wydajności do rejestrowania odpornego na fałszowanie i zautomatyzowanej remediacji. W przeciwieństwie do konwencjonalnych podejść IDS, które koncentrują się wyłącznie na dokładności wykrywania, zaproponowana architektura jest zaprojektowana tak, aby jednocześnie wspierać wykrywanie w czasie rzeczywistym, odpowiedzialność sądową i zgodność z przepisami, które są kluczowymi wymaganiami w systemach opieki zdrowotnej. Ogólny przepływ pracy i architektura zaproponowanej ramy wykrywania intruzyjnego Extended BiLSTM-Blockchain dla sieci IoMT są przedstawione na Rycinie 1.

Rycina 1. Architektura zaproponowanej ramy wykrywania intruzyjnego Extended BiLSTM-Blockchain dla sieci Internetu Medycznych Rzeczy. Schematyczne przedstawienie zaproponowanej ramy z przedstawieniem przepływu pracy w zakresie szkolenia i wdrożenia. W przepływie pracy szkoleniowym urządzenia Internetu Medycznych Rzeczy (IoMT) generują ruch sieciowy, który przechodzi przetwarzanie danych i inżynierię funkcji przed analizą przez model Extended Bidirectional Long Short-Term Memory (BiLSTM) z uwagą czasową. Parametry modelu są optymalizowane poprzez obliczenie funkcji straty i iteracyjne szkolenie. W przepływie pracy wdrażaniowej, przetrenowany model wykrywa intruzje zgodnie z funkcją decyzyjną zdefiniowaną w Równaniu 13. Wykryte zdarzenia intruzyjne są przekazywane do modułu łańcucha bloków, gdzie wykonywana jest niezmienna rejestracja, izolacja węzła oraz generowanie alertów administratora. BiLSTM, Bidirectional Long Short-Term Memory; IoMT, Internet of Medical Things. Kliknij tutaj, aby zobaczyć większą wersję tej ryciny.

Urządzenia IoMT generuje heterogeniczne strumienie danych składające się z ruchu sieciowego, meta danych urządzeń i sygnałów związanych z pacjentem. Takie surowe wejścia są często hałaśliwe, nadmiarowe i niespójne, co sprawia, że nie nadają się do bezpośredniego trenowania modelu. Dlatego stosowana jest potoczna linia przetwarzania danych, aby zapewnić jakość i strukturę danych przed ich wprowadzeniem do modelu Extended BiLSTM. Szczegółowy pseudokod potokowego przetwarzania danych znajduje się w Algorytmie 1 (Plik uzupełniający 1), który opisuje potok przetwarzania danych stosowany do danych IoMT przed trenowaniem Extended BiLSTM (pseudokod w Pliku uzupełniającym 1; implementacja w Pliku uzupełniającym 2). Pełna architektura Extended BiLSTM jest podsumowana w Algorytmie 2 (Plik uzupełniający 1).

End-to-End Przepływ Reprodukcji
Pełne badanie można odtworzyć, stosując się do poniższych kroków. Oprogramowanie i sprzęt są wymienione w Ustawieniach Eksperymentu, a uzupełniający kod obejmuje każdy krok.

Pobierz zestawy danych → Pobierz UNSW-NB15. Użyj plików UNSW_NB15_training-set.csv i UNSW_NB15_testing-set.csv. Pobierz CICIDS2017. Użyj pięciu plików MachineLearningCSV z dnia od poniedziałku do piątku. Pobierz Bot-IoT. Użyj 5% plików podzbioru UNSW_2018_IoT_Botnet_Full5pc_1_to_4. Wcześniejsze badania nad wykrywaniem intruzyjnym często opierały się na zestawach danych benchmarkowych, takich jak KDD Cup 99¹⁴; jednakże, to badanie wykorzystuje nowsze zestawy danych UNSW-NB15, CICIDS2017 i Bot-IoT, aby lepiej reprezentować współczesny ruch sieciowy. Przetwarzaj każdy zestaw danych osobno. Zestaw danych UNSW-NB15 jest dostępny na Uniwersytecie Nowej Południowej Walii pod adresem https://research.unsw.edu.au/projects/unsw-nb15-dataset (ostatnia modyfikacja: 8 lutego 2024). Zestaw danych CICIDS2017 jest dostępny w Kanadyjskim Instytucie Cyberbezpieczeństwa pod adresem https://www.unb.ca/cic/datasets/ids-2017.html (wydany: lipiec 2017). Zestaw danych Bot-IoT jest dostępny na Uniwersytecie Nowej Południowej Walii pod adresem https://research.unsw.edu.au/projects/bot-iot-dataset (ostatnia modyfikacja: 5 lutego 2024). Wszystkie zestawy danych były dostępne w maju 2025 r.

Results

Wyniki są uporządkowane tak, by odzwierciedlać kroki metodologiczne protokołu, przy czym każda podsekcja raportuje obserwacje wynikające z odpowiednich kroków.

Przetwarzanie danych i konfiguracja eksperymentu
Trzy zestawy danych referencyjnych były analizowane niezależnie, a nie scalane. Ponieważ UNSW-NB15, CICIDS2017 i Bot-IoT używają różnych schematów cech i konwencji etykietowania, każdy zestaw danych był przetwarzany, okienkowany i ewaluowany osobno, przy użyciu własnego podziału na zbiór treningowy i testowy w proporcji 80:20. Model Extended BiLSTM był trenowany i testowany na każdym zestawie danych niezależnie, a wskaźniki wydajności (dokładność, precyzja, odzyskanie i wskaźnik F1) są raportowane osobno dla każdego zestawu danych. Taki niezależny protokół ewaluacji unika niezgodności przestrzeni funkcji, które powstałyby z łączenia heterogenicznych zestawów danych, i umożliwia ocenę odporności zaproponowanego frameworku w trzech różnych środowiskach sieciowych.

Zaproponowany model Extended BiLSTM-BC był trenowany i ewaluowany przy użyciu przetworzonego normalnego i złośliwego ruchu wyciągniętego z zestawów danych CICIDS2017, UNSW-NB15 i Bot-IoT. Dane zostały podzielone za pomocą pojedynczego podziału hold-out z warstwowaniem. Zestaw danych UNSW-NB15 dostarcza wstępnie zdefiniowane podziały na trening i testowanie, które zostały bezpośrednio wykorzystane w niniejszym badaniu. Dla pozostałych dwóch zestawów danych (CICIDS2017 i Bot-IoT) przetworzone próbki okienkowe zostały podzielone na zbiory treningowe i testowe za pomocą podziału 80:20 z losowaniem warstwowanym (scikit-learn train_test_split, warstwowanie według klasyfikacji), zachowując proporcje klasyfikacji bezpieczne-intruzja w całym podziale. Wewnątrz zbioru treningowego dodatkowe 20% zostało zarezerwowane na weryfikację (Keras validation_split), co dało efektywny podział 64% na trening, 16% na weryfikację i 20% na test. Zestaw weryfikacyjny był używany do wczesnego zatrzymania. Stały losowy nasienie 42 został zastosowane do scikit-learn, NumPy i TensorFlow, aby wspierać powtarzalność. Sieć Extended BiLSTM była optymalizowana za pomocą optymalizatora Adam z wartością wskaźnika uczenia się 0,001, wielkością partii 64 i maksymalnie 50 epokami treningowymi.

Wyniki selekcji cech
Przed treningiem modelu selekcja cech była wykonywana niezależnie dla każdego zestawu danych za pomocą AQU-IMF-RFE, procedura rekurencyjnej eliminacji funkcji wyprowadzonej przez optymalizator Aquila (AO), w której kandydatki funkcje były klasyfikowane według ich wzajemnej informacji (MI) z etykietą klasy i iteracyjnie eliminowane podczas gdy optymalizator Aquila szukał optymalnego podzbioru funkcji. Pola identyfikatorów (np. identyfikatory przepływu, adresy IP i numery portów) oraz pola tekstowe kategorii ataków zostały wykluczone przed selekcją funkcji, aby zapobiec wyciekowi informacji. Procedura ta zachowała 14 funkcji dla UNSW-NB15, 24 funkcje dla CICIDS2017 i 12 funkcji dla Bot-IoT. Pełna lista wybranych zmiennych wejściowych, ich typów danych i źródłowych zestawów danych jest dostępna w Tabeli 4, a rozszerzony opis każdej funkcji znajduje się w Pliku uzupełniającym 2.

Trening i konwergencja
Podczas treningu model pokazał stabilną konwergencję, przy czym zarówno wydajność treningowa, jak i weryfikacyjna poprawiały się w miarę zbliżania się parametrów sieci do ich optymalnych wartości. Architekrura warstwowa zaproponowanego modelu Extended BiLSTM jest podsumowywana w Tabeli 5, podczas gdy oprogramowanie i środowisko komputerowe użyte do implementacji i ewaluacji są przedstawione w Tabeli 6. Funkcje kontraktów inteligentnych blockchain obsługujące logowanie intruzyjne i automatyczne łagodzenie są podsumowywane w Tabeli 7, a struktura rekordu intruzyjnego blockchain jest przedstawiona w Tabeli 8. Pełny zestaw hiperparametrów treningowych użytych w niniejszym badaniu jest podsumowany w Tabeli 9, co wspiera powtarzalność zaproponowanego frameworku.

Hiperparametr treningowy	Wartość
Wskazać uczenia się	0,001
Optymalizator	Adam
Wielkość partii	64
Maksymalna liczba epok	50
Funkcja aktywacji wyjściowej	Sigmoid
Podział trening-test	80:20, warstwowane
Podział weryfikacyjny	20% zbioru treningowego
Losowe nasienie	42
Długość okna wejściowego	20 kroków czasowych
Krok okna przesuwającego	1
Filtry Conv1D	64
Rozmiar jądra Conv1D	3
Wypełnienie Conv1D	Same
Aktywacja Conv1D	ReLU
Warstwy BiLSTM	2
Jednostki BiLSTM	64 jednost

Discussion

Niniejsze badanie proponuje zintegrowane ramy Extended BiLSTM–Blockchain do wykrywania i zapobiegania włamaniom w środowiskach IoMT. Wyniki pokazują, że rama skutecznie identyfikuje wzorce włamań w zróżnicowanym ruchu sieciowym IoMT, łącząc dwukierunkowe uczenie czasowe z rejestracją forenzyczną opartą na blockchain. Dwukierunkowa architektura umożliwia modelowi uchwycenie zależności czasowych zarówno w przód, jak i w tył w ruchu sieciowym, co daje wysoką precyzję (99,44%), recall 98,54% oraz F1-score 98,99% dla klasy włamania, przy jednoczesnym utrzymaniu niskiej fałszywie dodatniej wartości (około 1,0%) w porównaniu z ocenianymi bazowymi modelami wykrywania włamań. W przeciwieństwie do konwencjonalnych jednokierunkowych LSTM lub bazowych architektur, które mogą nie uchwytywać długodystansowych zależności czasowych, proponowany model skuteczniej rozpoznaje sekwencyjne wzorce ruchu, poprawiając rozróżnienie między niegroźnym a złośliwym ruchem sieciowym. Te wyniki potwierdzają hipotezę badania, że integracja zwiększonej uwagi Extended BiLSTM z warstwą rejestracji na blockchainie poprawia zarówno wydajność wykrywania włamań, jak i odpowiedzialność forenzyczną.

Zaproponowana rama może być osadzona w kilku ugruntowanych kierunkach badań. Jedna linia badań koncentruje się na wykrywaniu włamań poprawionym o selekcję cech dla systemów IoMT, w tym podejściach opartych na drzewach i filtrach⁸, detektorach uczenia zespołowego⁹ oraz wcześniej zgłoszonym przez nas frameworku selekcji cech AQU-IMF-RFE¹⁸. Te podejścia poprawiają dokładność wykrywania poprzez redukcję wymiarowości, ale ogólnie polegają na klasyfikatorach, które nie wyraźnie modelują dwukierunkowe zależności czasowe w ruchu sieciowym. Zaproponowana rama uzupełnia, a nie zastępuje te metody, używając AQU-IMF-RFE¹⁸ do stworzenia zoptymalizowanej przestrzeni cech, na której Extended BiLSTM wykonuje wykrywanie włamań czasowych, podczas gdy warstwa blockchain zapewnia niezmienną rejestrację forenzyczną. Druga linia badań stosuje modele uczenia sekwencji do wykrywania włamań, w tym zwiększone uwagą architektury BiLSTM⁷, oparte na BiLSTM sieciowe IDS³¹ oraz podejścia rekurencyjnych sieci neuronowych^32,33. Zgodnie z tymi badaniami, obecne wyniki potwierdzają wartość dwukierunkowego modelowania czasowego, przy czym zwiększona uwagą Extended BiLSTM osiąga wyższe F1-score niż LSTM i CNN bazowe oceniane w tym badaniu. Natomiast, w przeciwieństwie do tych modeli skupionych na wykrywaniu, zaproponowana rama dodatkowo zawiera niezmienną rejestrację blockchain. Trzeci kierunek badań bada bezpieczeństwo oparte na blockchainie dla systemów opieki zdrowotnej i IoT, w tym architektury opieki zdrowotnej wspierane przez blockchain oraz integralność forenzyczną^28,34,35, kontrolę dostępu na podstawie uprawnień w blockchainie^36,37 oraz wspierane przez blockchain zfederowane wykrywanie włamań dla IoMT³⁸. Chociaż te badania ustanawiają wartość niezmienności i audytowalności, ogólnie traktują wykrywanie włamań i rejestrację forenzyczną jako osobne procesy lub stosuje bardziej obciążające obliczeniowo mechanizmy konsensusu. W przeciwieństwie do tego, zaproponowana rama integruje bezpośrednio z detektorem włamań lekką uprawnioną PoA blockchain, aby zapewnić niezmienną rejestrację i sterowanie zdarzeniami oparte na zdarzeniach, przy jednoczesnym utrzymaniu niskiego obciążenia obliczeniowego. W porównaniu z ostatnimi podejściami głębokiego uczenia dla IoMT, w tym wykrywaniem włamań opartym na inżynierii cech³⁹ oraz uczeniem zespołowym dla medycznego IoT⁴⁰, głównym wkładem obecnego badania jest integracja dwukierunkowego wykrywania czasowego z rejestrowaniem forenzycznym opartym na blockchainie w jednolitym frameworku, a nie tylko poprawa dokładności wykrywania.

Integracja blockchain dodaje ważne funkcje zaufania, odpowiedzialności i forenzycznych do zaproponowanej ramy. Niezmienność zapisów blockchain zapewnia, że zdarzenia włamania nie mogą być modyfikowane po zapisaniu, wspierając w ten sposób zgodność z regulacjami i audyt forenzyczny w środowiskach opieki zdrowotnej. Każde zapisane zdarzenie przechowuje identyfikatory urządzeń, znaczniki czasowe, kryptograficzne skróty i podpisy cyfrowe, które ułatwiają przejrzystą weryfikację i śledzenie. Ponadto warstwa kontraktu inteligentnego umożliwia automatyczne sterowanie zdarzeniami poprzez generowanie flag izolacji węzłów i alertów administratora, które są przetwarzane przez słuchacza poza łańcuchem, zmniejszając w ten sposób czas reakcji, zachowując jednocześnie audytowalny zapis każdego zdarzenia bezpieczeństwa. Łącznie te funkcje rozszerzają ramy poza konwencjonalne wykrywanie włamań poprzez integrację wykrywania, bezpiecznego rejestrowania i automatycznej odpowiedzi w jednej architekturze.

Kilka ograniczeń obecnego badania nale

Materials

List of materials used in this article

Name	Company	Catalog Number	Comments
AQU-IMF-RFE Feature Selection Module	Self-developed	N/A	Hybridowa metoda wyboru funkcji integrująca Informację Wzajemną, Optimizer Aquila i Rekurencyjne Eliminowanie Funkcji
Attention Layer	Self-developed (Keras-based)	N/A	Mechanizm uwagi czasowej stosowany do wagowania funkcji w rozszerzonym modelu BiLSTM
Bot-IoT Dataset	UNSW Canberra Cyber	N/A	Publiczny zestaw danych referencyjnych stosowany do oceny wykrywania włamań
CICIDS2017 Dataset	Canadian Institute for Cybersecurity	N/A	Publiczny zestaw danych referencyjnych do wykrywania włamań
Ethereum Client (Geth)	Ethereum Foundation	1.13.15	Klient blockchain używany do wdrożenia i obsługi sieci Proof-of-Authority
Extended BiLSTM Model	Self-developed	N/A	Model wykrywania włamań z głębokiego uczenia integrujący Conv1D, BiLSTM, uczenie resztkowe i uwagę czasową
Jupyter Notebook	Project Jupyter	7.x	Interaktywne środowisko używane do implementacji, eksperymentów i wizualizacji wyników
NumPy	NumPy Developers	2.4.4	Biblioteka do obliczeń numerycznych używana do przetwarzania i trenowania modeli
Pandas	Pandas Development Team	3.0.2	Biblioteka do przetwarzania danych używana do przetwarzania i analizy danych
Proof-of-Authority Blockchain Network	Self-developed	N/A	Uprawniona sieć blockchain używana do niezmiennego rejestrowania włamań i automatycznego łagodzenia
Python	Python Software Foundation	3.12.7	Język programowania używany do przetwarzania danych, rozwoju modeli, integracji z blockchain i ewaluacją
Random Forest Estimator	Scikit-learn Developers	N/A	Klasyfikator Random Forest używany do Rekurencyjnego Eliminowania Funkcji (RFE)
Scikit-learn	Scikit-learn Developers	1.8.0	Biblioteka do uczenia maszynowego używana do przetwarzania, wyboru funkcji i ewaluacją modeli
Solidity Compiler (solc)	Solidity Team	0.8.19	Kompilator używany do kompilacji i wdrożenia kontraktów inteligentnych
Solid-State Drive (SSD)	Dell	512 GB	Magazyn używany do przechowywania zestawów danych, przetrenowanych modeli i rejestru blockchain
System Memory (RAM)	Dell	128 GB	Główna pamięć używana podczas przetwarzania, trenowania modeli, wykonywania blockchain i ewaluacją
TensorFlow	Google	2.16.1	Framework głębokiego uczenia używany do implementacji i trenowania rozszerzonego modelu BiLSTM
UNSW-NB15 Dataset	UNSW Canberra Cyber	N/A	Publiczny zestaw danych referencyjnych używany do trenowania i ewaluacją
Web3.py	Web3.py Developers	6.15.1	Interfejs Pythona używany do komunikacji między systemem wykrywania włamań a siecią blockchain
Windows Operating System	Microsoft	Windows 11	System operacyjny używany we wszystkich eksperymentach
Workstation / Server	Dell	PowerEdge R740	Platforma obliczeniowa używana do trenowania modeli, wdrażania blockchain i ewaluacją