DOI: https://doi.org/10.1016/j.comnet.2026.112205
تاريخ النشر: 2026-03-14
المؤلف: Luis Miguel García-Sáez وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تقدم ورقة البحث بنية جديدة مزدوجة التجميع الفيدرالي تهدف إلى تعزيز كشف التسلل في أنظمة إنترنت الأشياء (IoT) المعقدة التي تتميز بتنوع البيانات العالي وقيود الموارد. تعاني طرق التعلم الفيدرالي التقليدية (FL)، مثل FedAvg وFedProx وFedAdam، من صعوبات تحت ظروف غير مستقلة وموزعة بشكل متساوٍ (غير IID)، مما يؤدي إلى تباين غير مستقر ونماذج متحيزة. تعالج البنية المقترحة هذه التحديات من خلال تنفيذ تجميع دقيق خفيف الوزن على مستوى العميل لتجميع التحديثات بشكل متسق، واستخدام التجميع القائم على الكثافة (HDBSCAN) على مستوى الخادم لتنسيق مشاركة العملاء بشكل تكيفي بناءً على توزيع البيانات المتغير. لا تعمل هذه الطريقة على استقرار عملية التدريب فحسب، بل تحقق أيضًا تحسينات كبيرة في الأداء، مع زيادة متوسطة في درجة F1 تتراوح بين 8-12% مقارنة بأساليب FL القياسية، مع الحفاظ على أداء قمة يزيد عن 90% حتى في سيناريوهات غير IID الشديدة.
تخلص الدراسة إلى أن دمج التجميع التكيفي في إطار التعلم الفيدرالي يعزز بشكل كبير كل من الاستقرار والموثوقية لأنظمة كشف التسلل في بيئات IoT المتنوعة. تشير تحليل وقت التشغيل إلى أن الطريقة المقترحة تتطلب فقط تكلفة حسابية معتدلة، مع تباينات تقل عن ±15% مقارنة بالأساليب التقليدية، وفي بعض الحالات، تسرع حتى من عملية التقارب. ومع ذلك، فإن البنية لها قيود، بما في ذلك الاعتماد على منسق مركزي للتجميع والتجميع، ونقص في آليات الخصوصية المتقدمة لحماية إحصائيات النموذج المشتركة. يتم اقتراح اتجاهات بحثية مستقبلية لتعزيز الخصوصية، وقابلية التوسع، والموثوقية، خاصة من خلال دمج تقنيات الحفاظ على الخصوصية الأقوى مثل الخصوصية التفاضلية أو التشفير المتجانس للتخفيف من مخاطر الاستدلال وهجمات التسمم.
مقدمة
تناقش مقدمة ورقة البحث هذه التأثير التحويلي لأجهزة إنترنت الأشياء (IoT) على النظم الرقمية، مع التأكيد على دورها في تعزيز الاتصال، والأتمتة، والخدمات المعتمدة على البيانات عبر مختلف القطاعات. يؤدي انتشار مليارات من أجهزة إنترنت الأشياء المتنوعة إلى توليد كميات هائلة من البيانات، غالبًا في بيئات محدودة الموارد، مما يطرح تحديات كبيرة لكشف الشذوذ ومنع التسلل. تواجه طرق التعلم الآلي التقليدية (ML)، المعتمدة على تجميع البيانات المركزي، قيودًا في الخصوصية، وعدم توازن البيانات، والطبيعة غير المستقلة والموزعة بشكل متساوٍ (غير IID) لبيانات إنترنت الأشياء. يظهر التعلم الفيدرالي (FL) كحل، مما يسمح للأجهزة بتدريب النماذج بشكل تعاوني مع الحفاظ على الخصوصية وتقليل مخاطر تسرب البيانات.
على الرغم من مزاياها، تواجه FL صعوبات مع التنوع الشديد في بيئات إنترنت الأشياء، مما يؤدي إلى نماذج مجمعة متحيزة قد تتجاهل أنواع الهجمات المتنوعة. لمعالجة هذه التحديات، يقترح المؤلفون بنية FL جديدة تستخدم منهجية تجميع مزدوجة تكيفية. تتيح هذه الطريقة تجميع العملاء ذوي توزيعات البيانات المماثلة بشكل ديناميكي، مما يمكّن من تدريب نماذج خبراء متخصصة مع الحفاظ على نموذج احتياطي عالمي. تدمج البنية التعلم الموجه وخوارزميات التجميع لتعزيز أداء الكشف في الإعدادات المتنوعة، محققة نتائج محسنة مقارنة بأساليب FL القياسية. توضح الورقة مساهماتها، بما في ذلك تقديم منهجية التجميع التكيفية، ونشر خوارزميات التجميع التكميلية، وتقييم تجريبي يوضح قوة وكفاءة المخطط المقترح عبر مجموعات بيانات كشف التسلل في إنترنت الأشياء المختلفة.
طرق
تحدد قسم الطرق الإعداد التجريبي المستخدم لتقييم البنية المقترحة. يتضمن وصفًا شاملاً لمجموعات البيانات المستخدمة، وخطوات المعالجة المسبقة المتخذة، والإجراءات الخاصة بنمذجة التنوع. بالإضافة إلى ذلك، يوضح القسم نماذج التعلم والتكوينات الأساسية المستخدمة للتحليل المقارن. كما يتم تحديد مقاييس التقييم وإعدادات المعلمات الخاصة ببيئة التعلم الفيدرالي (FL)، مما يضمن إطارًا قويًا لتقييم أداء البنية.
نتائج
يقيم قسم النتائج أداء النهج المقترح مقارنة بالاستراتيجيات الفيدرالية التقليدية، مع التأكيد على المقاييس الرئيسية مثل التقارب، والموثوقية تجاه التنوع، والكفاءة العامة من حيث وقت التشغيل واستخدام النطاق الترددي. تكشف التحليلات أن الطريقة المقترحة تظهر معدلات تقارب متفوقة وتحافظ على الاستقرار في التجميع، مما يشير إلى درجة أعلى من التماسك بين التجمعات مقارنة بالأساليب القياسية. تشير هذه النتائج إلى أن الاستراتيجية المقترحة لا تعزز الأداء فحسب، بل تعالج أيضًا بشكل فعال التحديات المرتبطة بتوزيعات البيانات المتنوعة في سياقات التعلم الفيدرالي.
نقاش
يستعرض قسم النقاش في الورقة الأبحاث الحالية حول أنظمة كشف التسلل (IDS) في شبكات إنترنت الأشياء (IoT) والتطورات الحديثة في التعلم الفيدرالي (FL) لمعالجة تنوع البيانات. يبرز القيود المفروضة على الأساليب المركزية التقليدية، مثل Kitsune وN-BaIoT، التي، على الرغم من تحقيقها دقة عالية، تفتقر إلى التعاون عبر الأجهزة والتخصيص. أظهر اعتماد FL وعدًا في التغلب على مشكلات الخصوصية وقابلية التوسع، ومع ذلك، لا تزال العديد من الطرق تعتمد على نموذج عالمي واحد ولا تعالج بشكل كافٍ تنوع البيانات. استكشفت دراسات بارزة، بما في ذلك تلك التي أجراها لازاريني وآخرون وكامبوس وآخرون، تقنيات FL المختلفة ولكن غالبًا ما تتجاهل الآليات الشخصية أو التجميعية.
يناقش القسم أيضًا ظهور طرق FL أكثر تعقيدًا ووعيًا بالتنوع، مثل خوارزمية التجميع الفيدرالي التكراري (IFCA) والتعلم الفيدرالي المجمع (CFL)، التي أظهرت أداءً محسّنًا في الإعدادات غير IID. ومع ذلك، يتم تقييم العديد من طرق FL-IDS الحالية على مجموعات بيانات عامة لا تعكس بدقة أنماط الحركة الفريدة وسلوكيات الهجوم لشبكات إنترنت الأشياء. يؤكد المؤلفون على الحاجة إلى حلول مخصصة تستخدم مجموعات بيانات حديثة خاصة بإنترنت الأشياء وتقدم مقاييس أداء شاملة، بما في ذلك الدقة ودرجة F1، لالتقاط التحديات المتعلقة بعدم توازن الفئات في كشف التسلل بشكل أفضل. تهدف البنية المقترحة إلى سد هذه الفجوات من خلال استخدام استراتيجية تقسيم غير IID قائمة على ديريشليت ومنهجية تجميع مزدوجة تكيفية، مما يعزز تخصيص النموذج واستقراره عبر العملاء المتنوعين.
DOI: https://doi.org/10.1016/j.comnet.2026.112205
Publication Date: 2026-03-14
Author(s): Luis Miguel García-Sáez et al.
Primary Topic: Network Security and Intrusion Detection
Overview
The research paper presents a novel double-clustering federated architecture aimed at enhancing intrusion detection in complex Internet of Things (IoT) ecosystems characterized by high data heterogeneity and resource limitations. Traditional Federated Learning (FL) methods, such as FedAvg, FedProx, and FedAdam, struggle under non-Independent and Identically Distributed (non-IID) conditions, leading to unstable convergence and biased models. The proposed architecture addresses these challenges by implementing lightweight micro-clustering at the client level to group updates consistently and employing density-based clustering (HDBSCAN) at the server level to adaptively coordinate client participation based on evolving data distributions. This approach not only stabilizes the training process but also achieves significant performance improvements, with an average F1-score increase of 8-12% over standard FL methods, while maintaining over 90% peak performance even in severe non-IID scenarios.
The study concludes that the integration of adaptive clustering into the federated learning framework significantly enhances both the stability and reliability of intrusion detection systems in heterogeneous IoT environments. The runtime analysis indicates that the proposed method incurs only a moderate computational cost, with variations of less than ±15% compared to traditional approaches, and in some cases, even accelerates convergence. However, the architecture does have limitations, including reliance on a central coordinator for clustering and aggregation, and a lack of advanced privacy mechanisms to safeguard shared model statistics. Future research directions are suggested to enhance privacy, scalability, and robustness, particularly through the incorporation of stronger privacy-preserving techniques such as differential privacy or homomorphic encryption to mitigate risks of inference and poisoning attacks.
Introduction
The introduction of this research paper discusses the transformative impact of Internet of Things (IoT) devices on digital ecosystems, emphasizing their role in enhancing connectivity, automation, and data-driven services across various sectors. The proliferation of billions of heterogeneous IoT devices generates vast amounts of data, often in resource-constrained environments, which poses significant challenges for anomaly detection and intrusion prevention. Traditional machine learning (ML) methods, reliant on centralized data aggregation, face limitations in privacy, data imbalance, and the non-Independent and Identically Distributed (non-IID) nature of IoT data. Federated Learning (FL) emerges as a solution, allowing devices to collaboratively train models while preserving privacy and reducing data leakage risks.
Despite its advantages, FL struggles with the severe heterogeneity of IoT environments, leading to biased aggregated models that may overlook diverse attack types. To address these challenges, the authors propose a novel FL architecture that employs an adaptive double-clustering methodology. This approach dynamically groups clients with similar data distributions, enabling the training of specialized expert models while maintaining a global fallback model. The architecture integrates supervised learning and clustering algorithms to enhance detection performance in heterogeneous settings, achieving improved results compared to standard FL methods. The paper outlines its contributions, including the introduction of the adaptive clustering methodology, the deployment of complementary clustering algorithms, and an experimental evaluation demonstrating the robustness and efficiency of the proposed scheme across various IoT intrusion detection datasets.
Methods
The Methods section outlines the experimental setup utilized to assess the proposed architecture. It includes a comprehensive description of the datasets employed, the preprocessing steps undertaken, and the procedures for modeling heterogeneity. Additionally, the section details the learning models and baseline configurations used for comparative analysis. Evaluation metrics and parameter settings specific to the federated learning (FL) environment are also specified, ensuring a robust framework for evaluating the architecture’s performance.
Results
The results section evaluates the performance of the proposed approach against conventional federated strategies, emphasizing key metrics such as convergence, robustness to heterogeneity, and overall efficiency in terms of runtime and bandwidth usage. The analysis reveals that the proposed method demonstrates superior convergence rates and maintains stability in clustering, indicating a higher degree of cohesion among clusters compared to standard approaches. These findings suggest that the proposed strategy not only enhances performance but also effectively addresses challenges associated with heterogeneous data distributions in federated learning contexts.
Discussion
The discussion section of the paper reviews existing research on intrusion detection systems (IDS) in Internet of Things (IoT) networks and recent advancements in federated learning (FL) to address data heterogeneity. It highlights the limitations of traditional centralized approaches, such as Kitsune and N-BaIoT, which, despite achieving high accuracy, lack cross-device collaboration and personalization. The adoption of FL has shown promise in overcoming privacy and scalability issues, yet many methods still rely on a single global model and fail to adequately address data heterogeneity. Notable studies, including those by Lazzarini et al. and Campos et al., have explored various FL techniques but often overlook personalized or clustering mechanisms.
The section further discusses the emergence of more sophisticated, heterogeneity-aware FL methods, such as the Iterative Federated Clustering Algorithm (IFCA) and Clustered Federated Learning (CFL), which have demonstrated improved performance in non-IID settings. However, many existing FL-IDS approaches are evaluated on general-purpose datasets that do not accurately reflect the unique traffic patterns and attack behaviors of IoT networks. The authors emphasize the need for tailored solutions that utilize recent IoT-specific datasets and report comprehensive performance metrics, including accuracy and F1-score, to better capture the challenges of class imbalance in intrusion detection. The proposed architecture aims to fill these gaps by employing a Dirichlet-based non-IID partitioning strategy and an adaptive double-clustering approach, which enhances model personalization and stability across heterogeneous clients.