面向边缘物联网的双教师蒸馏式轻量化入侵检测OA

面向动态性强、协议多样且算力受限的边缘/物联网(Internet of Things,IoT)环境,本文提出一种轻量级深度学习入侵检测框架,以端到端方式统一“特征-模型-蒸馏”三层设计,在保证检测性能的同时降低计算与部署开销。针对边缘侧网络流量异构性强、攻击类别分布不均衡以及少数类样本难以充分学习等问题,框架在数据层引入自适应特征工程与动态类别均衡机制,提取流量方向不对称度、协议一致性、会话交互模式等领域相关特征,以增强对复杂攻击行为的表征能力,并缓解长尾分布对模型训练的影响。在表示学习层,构建双教师协同架构:时间分支采用增强型双向长短期记忆(Bidirectional Long Short-Term Memory,BiLSTM)网络结合多头注意力机制,用于捕获流量序列中的周期性变化、突发依赖及上下文关联;空间分支采用多尺度残差一维卷积与轻量门控模块,用于学习跨字段的局部模式与共现结构,从而提升对复杂协议语义和攻击模式的识别能力。在决策层,采用以拼接集成为主的自适应集成策略,对两路教师输出进行互补融合,并通过温度缩放软标签与真实标签联合构成蒸馏损失,将教师模型知识迁移至超轻量学生模型,在压缩模型规模的同时尽可能保持判别能力。基于场景适配的CICIDS-2017数据集实验结果表明:教师集成模型准确率达到96.5%,宏平均F1(macro-F1)达到95.0%;学生模型在参数量减少超过70%的条件下,仍取得93.91%的准确率和90.34%的macro-F1,并在Patator、PortScan、Heartbleed等类别上实现超过98%的准确率,在类分布不均衡的测试条件下仍保持稳定识别。不同集成策略对比结果显示,拼接集成的macro-F1为90.34%,优于注意力集成的90.19%、温度加权软投票的89.79%和无集成方案的88.67%,验证了该融合方式的有效性。模型端侧单次推理时延约为68 ms,满足边缘环境实时检测需求。研究结果表明:所提方法能够较好地兼顾检测精度、模型轻量化与推理效率,为边缘/IoT入侵检测提供了一种兼顾准确性与实用性的技术路径。