RemOD：适应运行漂移的入侵检测

基于摘要分析。该研究针对关键基础设施中正常设备行为随运行需求和时间变化而产生的运行漂移（operational drift，OD），提出在线学习入侵检测方法 RemOD，旨在避免离线训练模型将正常变化反复识别为异常，并降低频繁整体重训练的成本。 核心机制是通过在线更新适应 OD，而非重新训练整个模型。摘要未说明模型结构、更新规则、漂移识别方式，以及更新是否依赖标签或人工确认；这些细节决定其能否在适应正常变化的同时保留攻击检测能力，尚待全文核对。来源栏目为 State space models，但摘要不足以确认 RemOD 使用状态空间模型。 作者报告在动态环境 SWaT 和稳态环境 C-town 两个基准数据集上验证方法，并在 SWaT 上相较 PASAD 等基线获得“6.88 倍更低”的误报。摘要未给出误报的具体计量口径、各基线的独立结果、数据划分及攻击检测指标，因此该数值不能解释为整体检测性能的等比例提升，也不能判断误报下降是否伴随漏检变化。实验协议、消融及统计信息尚未验证。 平台推测（待验证）：若 EEG 中的跨会话变化可以被可靠识别为正常漂移，RemOD 的在线局部更新思路可能用于减少固定检测模型的误报，但关键基础设施传感器上的结果不等于 BCI 有效。可复用的是增量适应思路，EEG 特征、更新触发和异常保护机制需另行设计；低信噪比、通道变化、被试差异及少量数据可能导致模型把任务相关变化或伪迹错误吸收。一个可检验的小实验是在按时间顺序划分的 Cross-session EEG 数据上，对照冻结模型与在线更新模型，同时检查正常时段误报和目标事件漏检，明确监督信息与更新所用数据。已有相关 EEG 工作尚未检索确认。