🤖 machine learning

A Tsetlin Machine-driven Intrusion Detection System for Next-Generation IoMT Security

تقترح هذه الورقة نظاماً مبتكراً لكشف التسلل في شبكات إنترنت الأشياء الطبية (IoMT) يعتمد على آلة تسيتلين (Tsetlin Machine) ويتميز بالقابلية للتفسير، حيث يحقق دقة فائقة (99.5% للتصنيف الثنائي و90.7% للتصنيف متعدد الفئات) على مجموعة بيانات CICIoMT-2024 مقارنة بمصنفات التعلم الآلي التقليدية، مع توفير رؤى واضحة حول قرارات النموذج من خلال المنطق القائم على القواعد والرسوم التوضيحية.

المؤلفون الأصليون: Rahul Jaiswal, Per-Arne Andersen, Linga Reddy Cenkeramaddi, Lei Jiao, Ole-Christoffer Granmo

نُشر 2026-04-06

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Rahul Jaiswal, Per-Arne Andersen, Linga Reddy Cenkeramaddi, Lei Jiao, Ole-Christoffer Granmo

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل مستشفى يعج بالحركة، حيث يتصل الأطباء والممرضون والمرضى جميعاً عبر شبكة واسعة وغير مرئية من الأجهزة الذكية. هناك أجهزة مراقبة ضربات القلب على المعاصم، وموازين حرارة ذكية في الغرف، وأجهزة مراقبة للأطفال في غرف الحضانة. هذا هو إنترنت الأشياء الطبية (IoMT). إنه يشبه الطريق السريع لبيانات الصحة، مما يجعل الرعاية أسرع وأفضل.

ولكن، تماماً مثل أي طريق سريع، لديه مشكلة: مجرمو الإنترنت. هؤلاء هم اللصوص الرقميون الذين يحاولون تعطيل النظام، أو سرقة بيانات المرضى الخاصة، أو حتى خداع الطبيب لإعطائه الدواء الخاط onto عن طريق تزييف قراءة ميزان الحرارة.

ولإيقافهم، تستخدم المستشفيات أنظمة كشف التسلل (IDS). فكر في نظام كشف التسلل كأنه حارس أمن عند البوابة. مهمته هي النظر في كل سيارة (حزمة بيانات) قادمة وتقرر: "هل هذا مريض طبيعي يزورنا؟ أم أنه مجرم يحاول الاقتحام؟"

الحراس القدامى مقابل الحراس الجدد

لفترة طويلة، اعتمد حراس الأمن على كتب القواعد. كانوا يقولون: "إذا كانت السيارة تبدو كشاحنة حمراء، أوقفها". هذا ينجح مع المجرمين المعروفين، لكنه يفشل عندما يظهر لص بزي تنكري لم يره الحارس من قبل. كما أن هذه الكتب جامدة ولا يمكنها التعامل مع الحركة الهائلة في مستشفى حديث.

ثم جاء تعلم الآلة (ML). هؤلاء يشبهون الحراس الذين درسوا ملايين الصور للمجرمين. إنهم أذكياء وسريعون، لكنهم غالباً ما يكونون "صناديق سوداء". تسألهم: "لماذا أوقفت تلك السيارة؟" فيجيبون فقط: "لأن عقلي قال ذلك". لا يمكنهم شرح منطقهم، وهذا أمر مخيف عندما تكون حياة المرضى على المحك.

ظهور آلة تسيتلين (المحقق المنطقي)

تقدم هذه الورقة البحثية نوعاً جديداً من حراس الأمن يسمى آلة تسيتلين (TM). بدلاً من كونها صندوقاً أسود أو كتاب قواعد جامد، فإن آلة تسيتلين هي "محقق منطقي".

إليك كيف تعمل، باستخدام تشبيه بسيط:

تخيل أن آلة تسيتلين تحاول رصد لص. بدلاً من التخمين، تقوم ببناء قائمة من قواعد "إذا-إذن" البسيطة (مثل دفتر ملاحظات المحقق):

"إذا كانت السيارة مسرعة وَ ليس لها لوحة أرقام وَ تسير في دوائر، إذن من المرجح أنها لص."
"إذا كانت السيارة تسير ببطء وَ عليها ملصق مستشفى وَ تتجه إلى قسم الطواراء، إذن من المرجح أنها مريض."

تتعلم آلة تسيتلين هذه القواعد من خلال لعب لعبة "نعم" و "لا" مع البيانات. الأمر يشبه تعليم طفل التعرف على القطة من خلال عرض صور لها وقول: "القطط لها شوارب" (نعم) و "السيارات لها عجلات" (لا).

لماذا هذه الورقة مميزة؟

اختبر الباحثون هذا "المحقق المنطقي" على مجموعة بيانات ضخمة من الهجمات الحقيقية والمزيفة في المستشفيات (تسمى CICIoMT-2024). وإليك ما وجدوه:

إنه حارس ذكي للغاية: في الاختبارات، كانت آلة تسيتلين دقيقة بشكل مذهل. فقد حددت حركة المرور الطبيعية بدقة 99.5% من الوقت، وكشفت أنواعاً مختلفة من الهجمات بنسبة 90.7% من المرات. لقد تفوقت بالفعل على حراس الذكاء الاصطناعي الآخرين "الصناديق السوداء" في المواقف المعقدة.
إنه شفاف (عامل "لماذا"): هذا هو الفوز الأكبر. نظرًا لأن آلة تسيتلين تستخدم قواعد منطقية بسيطة، يمكننا سؤالها: "لماذا قمتِ بتمييز هذه الحركة؟" ويمكنها أن ترينا دفتر ملاحظاتها. قد تقول: "لقد ميزتُ هذه الحركة لأن عنوان الـ IP لا يتطابق مع معرف الجهاز." هذا يبني الثقة. يمكن للأطباء ومديري المستشفيات رؤية السبب وراء قرار النظام بالضبط.
إنه خفيف الوزن: الأجهزة الطبية (مثل منظم ضربات القلب أو الساعة الذكية) لديها بطارية وقدرة حوسبة محدودة جداً. آلة تسيتلين فعالة للغاية بحيث يمكنها العمل على هذه الأجهزة الصغيرة دون استنزاف بطارياتها، على عكس نماذج الذكاء الاصطناعي الثقيلة والمستهلكة للطاقة في الماضي.

النتائج باللغة البسيطة

أجرى الباحثون ثلاثة اختبارات مختلفة:

الاختبار 1 (بسيط): التمييز بين حركة المرور "الطبيعية" و "السيئة". كانت آلة تسيتلين شبه مثالية.
الاختبار 2 (معقد): التمييز بين حركة المرور "الطبيعية" و خمسة أنواع مختلفة من الهجمات (مثل هجمات DoS، وDDoS، وSpoofing، وما إلى ذلك). لقد سحقت آلة تسيتلين المنافسة، متفوقة على جميع الطرق الأخرى.
الاختبار 3 (المزيج الكبير): دمج جميع أنواع حركة المرور والهجمات. مرة أخرى، كانت آلة تسيتلين هي البطل.

الخلاية

تقترح هذه الورقة طريقة جديدة لحماية مستشفياتنا الرقمية. بدلاً من استخدام ذكاء اصطناعي غامض وقوي لا يمكننا فهمه، نحن نستخدم محققاً منطقياً ذكياً، وقابلاً للتفسير، وفعالاً.

إنه يشبه الترقية من حارس أمن يكتفي بالصراخ "توقف!" إلى حارس يمكنه القول: "توقف! أنت لص لأنك ترتدي قناعاً وتجري في الاتجاه الخاطئ، وإليك الدليل."

من خلال جعل الأمن قابلاً للتفسير (سهل الفهم) ودقيقاً، يساعد نهج آلة تسيتلين هذا في ضمان بقاء أجهزتنا الطبية آمنة، ومرضانا في أمان، والأطباء قادرين على الثقة في التكنولوجيا التي يعتمدون عليها.

إليك ملخص تقني مفصل للورقة البحثية بعنوان: "نظام كشف التسلل القائم على آلة تيسلين لأمن الجيل القادم لإنترنت الأشياء الطبية (IoMT)."

1. بيان المشكلة

أدى التوسع السريع في إنترنت الأشياء الطبية (IoMT) إلى إحداث ثورة في الرعاية الصحية من خلال الاتصال السلس بين الأجهزة والأنظمة والخدمات الطبية. ومع ذلك، فإن هذا الاتصال يفرض مخاطر سيبرانية جسيمة. فغالباً ما تكون أجهزة IoMT محدودة الموارد وحرجة من حيث السلامة، مما يجعلها عرضة لهجمات سيبرانية متنوعة (مثل هجمات حجب الخدمة DoS، وهجمات حجب الخدمة الموزعة DDoS، والانتحال Spoofing، والاستطلاع Reconnaissance).

قصور الحلول الحالية: تعتمد أنظمة كشف التسلل (IDS) التقليدية على قواعد أو تواقيع ثابتة، والتي تفشل في اكتشاف التهديدات المتطورة. علاوة على ذلك، فإن مناهج تعلم الآلة (ML) والتعلم العميق (DL) الحالية، رغم دقتها، غالباً ما تعمل كـ "صناديق سوداء"، وتفتقر إلى القابلية للتفسير. وفي مجال الرعاية الصحية، حيث تكون سلامة المرضى ذات أهمية قصوى، يعد فهم سبب قيام النموذج بتصنيف حركة مرور ما على أنها هجوم أمراً حيوياً لبناء الثقة والامتثال التنظيمي.
الفجوة: هناك حاجة لنظام كشف تسلل ليس دقيقاً للغاية وخفيف الوزن (مناسب لأجهزة الحافة/Edge) فحسب، بل يكون أيضاً قابلاً للتفسير، ويوفر عمليات اتخاذ قرار شفافة.

2. المنهجية

يقترح المؤلفون نظام كشف تسلل مبتكر يعتمد على آلة تيسلين (Tsetlin Machine - TM). وآلة تيسلين هي إطار عمل لتعلم الآلة قائم على القواعد يستخدم المنطق القضاياوي (propositional logic) لتعلم الأنماط، مما يوفر قابلية متأصلة للتفسير.

أ. بنية النظام

يتبع نظام كشف التسلل المقترح مساراً يتكون من ثلاث مراحل:

إعداد البيانات: يتم التقاط حركة مرور الشبكة الخام، وتنظيفها (معالجة القيم المفقودة)، وموازنتها. يتم استخراج الميزات وثنائتها (binarization) (تحويلها إلى 0/1) لتتناسب مع متطلبات مدخلات آلة تيسلين.
تدريب النموذج: تتعلم نموذج آلة تيسلين (TM) البنود المنطقية (conjunctions of literals) للتمييز بين حركة المرور الحميدة والخبيثة. وهي تستخدم أتمتة تيسلين (Tsetlin Automata - TA) لتعلم أي العناصر (literals) يجب تضمينها أو استبعادها في البنود الإيجابية والسلبية.
النشر: يستقبل النموذج المدرب مسبقاً ميزات تدفق الشبكة المثنية، ويقوم بحساب درجات الفئات بناءً على تنشيط البنود، ويصنف حركة المرور كحميدة أو خبيثة.

ب. آلية آلة تيسلين (TM)

التعلم القائم على المنطق: على عكس الشبكات العصبية التي تستخدم الأوزان، تستخدم آلة تيسلين بنوداً منطقية ( $C_j(x)$ ). بالنسبة للفئة $c$ ، تكون المخرجات هي مجموع البنود الإيجابية ناقص مجموع البنود السلبية.
القابلية للتفسير: يخرج النموذج درجات تصويت لكل فئة وخرائط حرارية لتنشيط البنود، مما يسمح للمستخدمين برؤية أي القواعد المنطقية أدت تحديداً إلى تصنيف معين.
المعلمات (Parameters): تستخدم الدراسة معاملات تشغيل مثل عدد البنود ( $m$ )، وعتبة التصويت ( $T$ )، والخصوصية ( $s$ ) للتحكم في دقة التعلم.

ج. الإعداد التجريبي

مجموعة البيانات: CICIoMT-24، وهي مجموعة بيانات شاملة تحتوي على حركة مرور من 40 جهازاً من أجهزة IoMT (حقيقية ومحاكية) تستخدم بروتوكولات Bluetooth وMQTT وWi-Fi. وتتضمن حركة مرور حميدة وستة أنواع من الهجمات: DoS، وDDoS، والاستطلاع (Reconnaissance)، وهجمات MQTT، والانتحال (Spoofing).
السيناريوهات:
- السيناريو 1: التصنيف الثنائي (Bluetooth فقط: حميد مقابل DoS).
- السيناريو 2: التصنيف متعدد الفئات (MQTT وWi-Fi: حميد مقابل 5 أنواع من الهجمات).
- السيناريو 3: التصنيف متعدد الفئات (جميع البروتوكولات مجتمعة: حميد مقابل 6 أنواع من الهجمات).
المقارنات: تمت مقارنة TM مع 8 مصنفات تقليدية لتعلم الآلة وهي: شجرة القرار (DT)، والغابة العشوائية (RF)، وXGBoost، وLightGBM (LGBM)، وK-الأقرب (KNN)، وNaive Bayes (NB)، والانحدار اللوجستي (LR)، والشبكات العصبية (NN).
المعالجة المسبقة: تم تطبيق تقنية SMOTE (تقنية الإفراط في أخذ العينات للأقلية الاصطناعية) على بيانات التدريب لمعالجة عدم توازن الفئات.

3. المساهمات الرئيسية

نظام كشف تسلل مبتكر يعتمد على TM: تصميم نظام كشف تسلل فعال وقائم على البيانات، مصمم خصيصاً لطبيعة أجهزة IoMT المحدودة الموارد والحرجة من حيث السلامة.
تقييم شامل: اختبار صارم على مجموعة بيانات CICIoMT-2024 عبر سيناريوهات التصنيف الثنائي ومتعدد الفئات، مما أدى إلى التفوق على الطرق الحالية (SOTA).
تحليل القابلية للتفسير: توفر الورقة درجات تصويت لكل فئة وخرائط حرارية لتنشيط البنود، مما يقدم رؤى مقروءة للبشر حول عملية اتخاذ القرار (على سبيل المثال، إظهار أي البنود المنطقية ساهمت في تحديد هجوم معين).
قياس الأداء: أثبتت الدراسة أن نهج TM يحقق دقة فائقة في الإعدادات متعددة الفئات مقارنة بنماذج التعلم العميق المعقدة مع الحفاظ على أوقات استدلال تنافسية.

4. النتائج الرئيسية

أجريت التجارب على جهاز MacBook M4 (ذاكرة 16 جيجابايت) باستخدام Python/TensorFlow.

أ. التصنيف الثنائي (السيناريو 1: Bluetooth)

الدقة: حققت TM دقة بنسبة 99.5%.
المقارنة: بينما حققت DT وRF وXGBoost وNN دقة أعلى قليلاً أو مماثلة (99.7%–99.8%)، إلا أن TM قدمت توازناً قوياً بين الأداء والقابلية للتفسير.
وقت الاستدلال: استغرقت TM زمن قدره 0.743 ميكروثانية، وهو كفء، وإن كان أبطأ من الانحدار اللوجستي (0.019 ميكروثانية).
معدلات الخطأ: كان معدل الإيجاب الكاذب (FPR) منخفضاً للغاية عند 0.02%.

ب. التصنيف متعدد الفئات (السيناريو 2: MQTT وWi-Fi)

الدقة: حققت TM دقة بنسبة 90.7%، متفوقة بشكل كبير على جميع المصنفات الأخرى.
- المركز الثاني: XGBoost (86.2%)، وRF (81.6%)، وNN (74.3%).
الدقة/الاستدعاء/F1: حافظت TM على أكثر من 90% عبر جميع المقاييس.
وقت الاستدلال: 4.056 ميكروثانية.
ملاحظة: نجحت TM في التمييز بين أنواع الهجمات المعقدة (مثل DoS مقابل DDoS) حيث واجهت النماذج الأخرى صعوبة.

ج. متعدد الفئات المدمج (السيناريو 3: جميع البروتوكولات)

الدقة: حققت TM نسبة 88.4%، متفوقة مرة أخرى على جميع المنافسين (المركز الثاني: XGBoost بنسبة 85.1%).
وقت الاستدلال: 5.413 ميكروثانية.

د. المقارنة مع أحدث التقنيات (SOTA)

عند مقارنتها بالدراسات السابقة التي استخدمت نفس مجموعة البيانات (مثل [11] و[12]):

الثنائي: TM (99.5%) تضاهي SOTA (99.6%).
متعدد الفئات: TM (90.7%) تتفوق بشكل كبير على مناهج SOTA (73.5% – 78%).

5. الأهمية والخاتمة

الثقة والشفافية: تكمن الأهمية الرئيسية لهذا العمل في القابلية للتفسير لآلة تيسلين (TM). من خلال تصور تنشيط البنود ودرجات التصويت، يمكن لمحللي الأمن التحقق من سبب وسم حزمة بيانات معينة، وهو أمر بالغ الأهمية لأمن الأجهزة الطبية حيث يمكن أن تؤدي الإيجابات الكاذبة إلى تعطيل رعاية المرضى.
الكفاءة: تتميز TM بأنها خفيفة الوزن ومناسبة للنشر عند الحافة (edge) على أجهزة IoMT، على عكس نماذج التعلم العميق الثقيلة.
المتانة: تتعامل الآلة بفعالية مع عدم توازن الفئات ومتجهات الهجوم المتنوعة، مما يثبت جدواها لأمن الجيل القادم لـ IoMT.
العمل المستقبلي: يخطط المؤلفون لاختبار النموذج على منصات اختبار فيزيائية حقيقية وتطوير مجموعة بيانات جديدة ذات هجمات واقعية أكثر تنوعاً لمزيد من التحقق من الأداء على الأجهزة محدودة الموارد.

باختصار، تظهر الورقة أن آلة تيسلين (Tsetlin Machine) هي بديل متفوق لتعلم الآلة التقليدي لأنظمة كشف التسلل في IoMT، حيث تقدم مزيجاً فريداً من الدقة العالية، وزمن الاستجសារ المنخفض، والمنطق القابل للتفسير بشرياً.