تقوم شبكات أنظمة التحكم الإشرافي وتحصيل البيانات (سكادا) وأنظمة التحكم الصناعية (ICS) على البنية التحتية الحرجة في قطاعات الطاقة والمياه والنقل والتصنيع. تواجه أنظمة كشف التسلل الحالية مفاضلات جوهرية: تحقق الأساليب القائمة على التوقيعات معدلات إنذارات كاذبة منخفضة لكنها لا تكشف هجمات اليوم الصفري، بينما تكشف أساليب الشذوذ التهديدات الجديدة لكنها تولّد تنبيهات غامضة تُثقل المشغّلين وتُضعف الثقة. وتكشف الدراسات التجريبية الحديثة فجوات تطبيقية مستمرة، منها صعوبة الحصول على بيانات هجوم موسومة للأساليب الموجَّهة، وتحديات ضبط المعلمات الفائقة الصعبة لمصنفات الصنف الواحد، والتكامل المحدود للسمات الواعية بالبروتوكول رغم انتشار الكشف الواعي بالعملية. ولا تزال أساليب قابلية التفسير غير مطبقة بما يكفي في كشف التسلل الصناعي رغم قدرتها على تحسين فهم المشغّلين وتكامل سير عمل الأمن. تعرض هذه المقالة مراجعة منهجية وأجندة بحثية لكشف التسلل الهجين القابل للتفسير في بيئات سكادا/ICS.
الكلمات المفتاحية: سكادا؛ ICS؛ كشف التسلل الهجين؛ الذكاء الاصطناعي القابل للتفسير؛ SHAP؛ الأجندة البحثية.
تعتمد البنية التحتية الحرجة على شبكات سكادا وأنظمة التحكم الصناعية التي صُمّمت تاريخيًا للعزل لا للاتصال بالإنترنت، فأصبحت مكشوفة للتهديدات السيبرانية مع التقارب بين تقنية المعلومات (IT) والتقنية التشغيلية (OT). تحقق أنظمة كشف التسلل القائمة على التوقيعات (مثل Snort وSuricata) دقة عالية للهجمات المعروفة لكنها عمياء عن نواقل الهجوم الجديدة، بينما يكشف كشف الشذوذ التهديدات الجديدة بكلفة إنذارات كاذبة تُرهق محللي مراكز العمليات الأمنية (SOC) وتُضعف الثقة بالنظام.
تعالج الأساليب الهجينة هذه المفاضلة بجمع التوقيعات وكشف الشذوذ، وأحيانًا الكشف القائم على المواصفات، عبر معماريات متسلسلة أو متوازية أو هرمية (بان وآخرون، 2015؛ خان وآخرون، 2019). وبالتوازي، يَعِد الذكاء الاصطناعي القابل للتفسير (XAI) — لا سيما إسنادات SHAP (لوندبرغ ولي، 2017) وLIME (ريبيرو وآخرون، 2016) — بتحويل التنبيهات الغامضة إلى مبررات قابلة للفهم مرتبطة بسياق العملية، غير أن تطبيقه في كشف التسلل الصناعي لا يزال محدودًا رغم نضجه في مجالات أخرى.
تُظهر الدراسات التجريبية الحديثة فجوات عملية خمسًا (G1–G5): تغطية محدودة لهجمات اليوم الصفري، وضبط غير كافٍ للإنذارات الكاذبة، وعمى بروتوكولي مقابل الوعي بالعملية، ونقص التفسيرات المتمحورة حول المشغّل، وانجراف النشر بين بيئات المختبر والتشغيل. تهدف هذه المراجعة إلى تجميع الأدلة حول هذه الفجوات وتقديم أجندة بحثية وقائمة تحقق تقييمية تُرسم عليها كل بند مقابل الفجوات.
تُنظَّم بقية الورقة كالتالي: تعرض الخلفية مفاهيم كشف التسلل الهجين وقابلية التفسير وأسئلة البحث؛ وتصف المنهجية بروتوكول المراجعة المنهجية؛ وتُجمّع النتائج الأدلة عبر المحاور الأربعة؛ ويُفصّل تحليل الفجوات التحديات المفتوحة؛ ثم تُعرض معمارية مرجعية مفاهيمية؛ ويحدد القسم 7 الأجندة البحثية؛ ويقدم القسم 8 خطة التقييم؛ ويناقش القسم 9 النتائج ويخلص إليها.
تُبنى أنظمة كشف التسلل الهجينة بثلاثة أنماط معمارية: متسلسلة تُرشّح فيها المكونات المبكرة البيانات قبل التحليل العميق (مثل الترشيح الإحصائي ثم التعلم العميق)؛ ومتوازية (مجمّعة) تجمع كواشف متزامنة بالتصويت أو التجميع (bagging وstacking وAdaBoost مع Naive Bayes وSVM بدقة تصل 99% على بعض المجموعات)؛ وهرمية تدمج المعالجة المسبقة وتحسين السمات وتقليل الأبعاد وطبقات كشف متعددة (مثل autoencoders للشذوذ وCNN لاستخلاص السمات وResNet-LSTM الهجين للأنماط الزمنية). وتُبلغ الأنظمة الهجينة دقة 90.4%–99.5% ومعدلات إنذارات كاذبة 0.8%–2.1% حيثما أُبلغ عنها.
تقدّم أساليب قابلية التفسير — وأبرزها إسنادات SHAP القائمة على قيم شابلي (لوندبرغ ولي، 2017) وLIME (ريبيرو وآخرون، 2016) — إسنادات سمات تربط التنبيه بمدخلاته، مع تطبيقات ناشئة تربط الإسنادات بسياق العملية (مثل تحليل شابلي للكشف القائم على البروتوكول، والاستدلال السببي، والشبكات العصبية المستنيرة بالفيزياء). غير أن معظم الدراسات تستخدم التفسير لاحقًا للتحليل دون دمجه في سير عمل الفرز، وقليلة هي التي تُقيّم فهم المشغّل أو سرعة الفرز أو الثقة (ويرتس وآخرون، 2019).
يبقى البُعد البروتوكولي نقطة عمياء: فرغم أن بروتوكولات مثل Modbus وDNP3 وIEC 60870-5-104 وOPC UA تحمل دلالات غنية للكشف، تعتمد معظم الدراسات سمات عامة لحركة الشبكة أو بيانات العملية فقط (أوستيباي وآخرون، 2024). وتتوزع مجموعات البيانات المرجعية بين SWaT وWADI وHAI ومدونات IEC-104، مع هيمنة التقييم المخبري وضعف تمثيل ضجيج التشغيل الحقيقي وانجرافه.
صيغت أربعة أسئلة بحثية: (RQ1) ما الأنماط المعمارية للكشف الهجين وأداؤها؟ (RQ2) كيف تُدمج قابلية التفسير وما أثرها؟ (RQ3) ما البروتوكولات ومجموعات البيانات المغطاة؟ (RQ4) ما مقاييس التقييم والمقارنات مع الأساليب الأحادية؟ وتُهيكل هذه الأسئلة تخليق النتائج وتحليل الفجوات والأجندة.
تتبع المنهجية إرشادات التقارير المفضلة للمراجعات المنهجية والتحليلات التلوية (PRISMA) مكيفةً لبحوث الهندسة. أُجري بحث منهجي في خمس قواعد بيانات إلكترونية — IEEE Xplore وACM Digital Library وScopus وWeb of Science وGoogle Scholar — بتركيبات مصطلحات حول أنظمة التحكم الصناعية وأمن سكادا/OT وكشف التسلل الهجين والذكاء الاصطناعي القابل للتفسير، مقتصرًا على المقالات المحكّمة وأوراق المؤتمرات الكاملة والمنشورات الإنجليزية بين 2010 ومايو 2025.
جمع الاستعلام الأساسي ثلاث مجموعات مفاهيمية: المجال (ICS أو SCADA أو “industrial control” أو “operational technology”)، والكشف (“intrusion detection” أو IDS أو “anomaly detection”)، والنهج (hybrid أو fusion أو correlation أو ensemble) أو (explain* أو SHAP أو LIME أو XAI). وأعادت الاستعلامات 412 سجلًا أُضيف إليها 23 سجلًا من تتبع الاستشهادات القبلي والبعدي لثلاث بذور حول مجموعات بيانات ICS وكشف التسلل الهجين (كونتي وآخرون، 2021؛ ستوففر وآخرون، 2015؛ نيوبين وآخرون، 2022). وبعد إزالة 137 مكررًا بقي 298 سجلًا فريدًا للفرز، فاستُبعد 187 لخروجها عن الموضوع أو لافتقارها للتجريبية أو لمكون IDS، وبقي 111 مقالًا للتقييم النصي الكامل، فاستُبعد 71 لنقص السياق الصناعي أو العنصر الهجين/التفسيري أو مقاييس التقييم، لتستقر المجموعة النهائية على 40 دراسة.
طبّقت معايير إدراج واستبعاد صارمة: الإدراج يتطلب سياق ICS/OT صريحًا ومكون كشف هجين أو تفسيريًا وتقييمًا تجريبيًا بمقاييس مُبلغ عنها؛ والاستبعاد يشمل كشف التسلل الشبكي الصرف لتقنية المعلومات، والأوراق غير التجريبية، والدراسات دون مقاييس. واستُخرجت من كل دراسة معمارية الكشف والبروتوكولات ومجموعة البيانات وأسلوب التفسير والمقاييس والمحدوديات، ثم صُنّفت تخليقيًا عبر المحاور الأربعة لأسئلة البحث.
تُجمّع النتائج أدلة الدراسات الأربعين عبر المحاور الأربعة. في معماريات الكشف الهجين (RQ1) تبرز ثلاثة أنماط: متسلسلة تُخفّض العبء الحسابي (مثل مرشح Bloom مع LSTM بزمن تصنيف 0.03 مللي ثانية)، ومتوازية بدقة أعلى وكلفة أكبر، وهرمية الأكثر تطورًا بدمج autoencoders وCNN وResNet-LSTM. وتتراوح الدقة المُبلغ عنها بين 90.4% و99.5%، لكن المقارنات المباشرة مع الأساليب الأحادية نادرة؛ ودراستان فقط تُكمّمان التحسن (زيادة الإحكام 0.008 والاستدعاء 0.067 ودرجة F1 بمقدار 0.039 عن autoencoder الصرف).
في قابلية التفسير (RQ2) تهيمن إسنادات SHAP وLIME، مع تطبيقات متقدمة: تحليل شابلي للكشف القائم على البروتوكول (Ustebay وآخرون 2024)، والاستدلال السببي بخوارزمية PC (Ghazi وآخرون 2025)، والتفسيرات السببية من العمليات إلى الآثار في الشبكات المستنيرة بالفيزياء (Ike وآخرون 2023)، وتقييم SHAP المرتكز على الإنسان لمعالجة التنبيهات (Weerts وآخرون 2019). لكن التكامل في واجهات المشغّلين نادر، ومعظم التقييمات تقنية لا تركز على المستخدم.
في البروتوكولات ومجموعات البيانات (RQ3) يُغطَّى Modbus وDNP3 وOPC UA وIEC 60870-5-104 جزئيًا، مع هيمنة مجموعات SWaT وWADI؛ وتُظهر دراسات مثل TwinSec-IDS (Krishnaveni وآخرون 2024) وOyedotun وآخرون (2025) تغطية بروتوكولية محدودة ودقة 92% مع إحكام 0.49 لصنف الهجوم بسبب الاختلال. وفي مقاييس التقييم (RQ4) تسود الدقة والإحكام والاستدعاء ودرجة F1، بينما يندر الإبلاغ عن معدلات الإنذارات الكاذبة وزمن الكشف وكلفة الحوسبة، وتكاد تغيب تقييمات المتانة الخصومية.
يلخص جدول مقارن دراسات هجينة/تفسيرية حديثة (2019–2025): تحسن F1 بنسبة 2.27% بذاكرة ماركوف من الدرجة الثانية مع SHAP (Ghazi وآخرون 2025)؛ وصعوبة ضبط مصنفات الصنف الواحد دون هجمات وتقييم مخبري فقط (Wolsing وآخرون 2024)؛ ودقة 97% دون XAI وتنوع بروتوكولي محدود (Khan وآخرون 2019)؛ وتحسينات متواضعة (+0.008 إحكام، +0.067 استدعاء) عن autoencoder الصرف (Kwon وآخرون 2022).
خلاصة النتائج: تنجح الأساليب الهجينة مخبريًا لكن أدلتها الميدانية ضعيفة، وقابلية التفسير واعدة تقنيًا وغائبة تشغيليًا، والبروتوكولات الصناعية غير مستغلة بما يكفي، والتقييم غير موحد. وهذه الخلاصة هي أساس تحليل الفجوات الخمس والأجندة البحثية.
الفجوة G1 (تغطية محدودة لليوم الصفري): تطابق التوقيعات الأنماط المعروفة بدقة عالية لكنها لا تكشف الجديد؛ وتوفر أساليب الشذوذ تغطية أوسع بمفاضلة جوهرية بين الإنذارات الكاذبة على التغيرات التشغيلية المشروعة والفائتة على الأنماط الخفية. وتعالج الهجينة الفجوة جزئيًا: يُبلغ Pan وآخرون (2015) دقة إجمالية 90.4% لسيناريوهات مختلطة، لكن دقة كشف اليوم الصفري تهبط إلى 73.43% بالتحقق المتقاطع العشري على أنماط هجوم غير مرئية.
الفجوة G2 (ضبط الإنذارات الكاذبة): معدلات الإنذارات الكاذبة حاسمة لسير عمل SOC، إذ تُسبب التنبيهات المفرطة إجهاد المحللين وتُضعف الثقة؛ وتتراوح المعدلات المُبلغ عنها بين 0.8% و2.1% في التقييمات المضبوطة، لكن ظروف المختبر قد لا تعكس ضجيج التشغيل. وتُفاقم متطلبات البيانات وضبط المعلمات التحدي، إذ تتطلب مصنفات الصنف الواحد اختيارًا دقيقًا للمعلمات نادرًا ما ينتقل عبر سياقات ICS المختلفة (Wolsing وآخرون 2024).
الفجوة G3 (الوعي بالعملية مقابل العمى البروتوكولي): تدمج أنظمة الكشف الواعية بالعملية نماذج حالة المصنع والقيود الفيزيائية، لكنها تتجاهل غالبًا دلالات البروتوكولات الصناعية (حقول Modbus/DNP3/IEC 104 الوظيفية وآلات حالاتها). والمطلوب كواشف واعية بالبروتوكول أولًا تُدخل مخرجاتها (درجات انتهاك الثوابت وشذوذ حالات الأتمتة) في طبقة الدمج بدل معاملتها خطوط أساس منفصلة.
الفجوتان G4 وG5 (التفسير والانجراف): تبقى أساليب التفسير غير مطبقة بما يكفي رغم قدرتها على تحسين فهم المشغّل؛ والتقييمات المتمحورة حول الإنسان نادرة؛ والواجهات التفسيرية نفسها مكوّن أمني إذ ثبتت هشاشة المفسّرات اللاحقة وقابليتها للتلاعب (Ghorbani وآخرون 2019؛ Slack وآخرون 2020). كما يتدهور الأداء المخبري عند النشر بسبب انجراف البيانات وقيود الكمون وتغطية البروتوكولات، ما يستلزم كشف الانجراف وتحديث العتبات وإعادة التدريب الموجَّهة بأهمية SHAP (وادينغر وكفاسنيكا، 2024).
يعرض هذا القسم معمارية مرجعية مفاهيمية لكشف التسلل الهجين القابل للتفسير في بيئات سكادا/ICS، وهي مخطط مستمد من تحليل الفجوات وتخليق الأدبيات لا نظام منفَّذ بالكامل. فمكونات مشابهة (توقيعات IDS ونماذج شذوذ ومفسّرات SHAP ومحللات ICS) موجودة في أعمال سابقة؛ والإسهام هنا تنظيمها في إطار هجين تفسيري مؤسَّس على الأدلة مع صياغة رياضية وخطة تقييم للتحقق التجريبي مستقبلًا.
تتكون المعمارية من أربعة عناصر: (1) محرك توقيعات واعٍ بالبروتوكول (مثل Snort/Suricata/Zeek بقواعد خاصة بـICS) يطابق أنماط الهجوم المعروفة وانتهاكات البروتوكول؛ (2) محرك شذوذ بنماذج السلاسل الزمنية ومتعددة المتغيرات (autoencoders وشبكات LSTM وغابات العزل) مدرَّبة على البيانات التشغيلية السليمة؛ (3) طبقة دمج تجمع المخرجات بإزالة التكرار والارتباط الزمني وتجميع الدرجات؛ (4) طبقة XAI بوحدة تفسير SHAP تحسب إسنادات السمات لتنبيهات الشذوذ وترفق مبررات قابلة للتأويل في منصة المشغّل مع سياق العملية.
تُصاغ آليات الدمج رياضيًا: درجة الدمج F(x) = α · A(x) + (1 − α) · S(x) (1)، حيث A(x) درجة الشذوذ وS(x) ثقة التوقيع وα وزن قابل للضبط (بالبحث الشبكي أو الأمثلة البايزية على مجموعة تحقق) ويُولَّد التنبيه عندما تتجاوز F(x) العتبة τalert. وتشمل بدائل الدمج قاعدة الحد الأقصى (conservative، تُفعَّل بأي قناة) وتركيب Dempster–Shafer؛ وتُصاغ أيضًا آليات كشف الانجراف وتحديث العتبات وخطوط تفسير SHAP كمنطق مخطط للتنفيذ المستقبلي.
تحدد الأجندة البحثية مسار الانتقال من المعمارية المفاهيمية إلى نموذج أولي مُتحقق ونشر تجريبي، ويرتبط كل بند بفجوة أو أكثر: (1) تكامل النموذج الأولي [G1–G3]: تنفيذ محركي التوقيعات والشذوذ المتوازيين مع طبقة الدمج، ودمج محللات ICSNPP لبروتوكولات Modbus وDNP3 وIEC 60870-5-104 وOPC UA، ومعايرة وزن الدمج α والعتبة τalert على حركة الأساس.
(2) التقييم المرجعي [G1–G2]: مقارنة الإعدادات الهجينة مع خطوط الأساس الأحادية على مجموعات ICS متعددة (SWaT وWADI وHAI ومدونة IEC-104) والإبلاغ عن مكاسب تغطية اليوم الصفري وضبط الإنذارات الكاذبة بمقاييس موحدة. (3) تجربة المستخدم التفسيرية [G4]: تصميم سرديات تربط إسنادات SHAP بسياق العملية، ودراسات قابلية استخدام مع مشغلي ICS ومحللي SOC لقياس سرعة الفرز ودقة القرار والثقة (خضيري وآخرون، 2024).
(4) الأمثلة الموجَّهة بـSHAP [G4–G5]: أتمتة اختيار السمات وإعادة التدريب بإحصاءات أهمية SHAP المتراكمة، وتنفيذ كشف الانجراف وتحديث العتبات. (5) المتانة الخصومية [G1&G5]: تقييم مخاطر المراوغة والتسميم ضد الكاشف الهجين، واعتماد دفاعات المجمَّعات وأساليب الإسناد المجمَّعة (تشن وآخرون، 2022؛ عوض وآخرون، 2025؛ فونغ وآخرون، 2024)، ومعاملة واجهة التفسير مكوّنًا أمنيًا (التحكم في الوصول وتحديد المعدل ومراقبة استقرار التفسير تحت السبر الخصومي) (غورباني وآخرون، 2019).
(6) التكامل مع SOC وATT&CK الخاص بـICS [G4–G5]: ربط الكشوفات والتفسيرات بتقنيات MITRE ATT&CK for ICS لتحسين الفرز والوعي الظرفي (بهوسال وآخرون، 2024؛ كايا وآخرون، 2025). (7) النشر التجريبي [G5]: التحقق في منصة اختبار عالية الدقة أو بيئة تشغيلية شريكة، ومعالجة فجوات تغطية البروتوكولات وقيود الكمون وأنماط الانجراف الواقعية. (8) دمج النماذج القائمة على المواصفات والحالة [G1&G3]: إدخال مخرجات الكواشف القائمة على المواصفات وآلات حالات البروتوكول (درجات انتهاك الثوابت وشذوذ الحالات) مدخلات أصيلة في الدمج.
تحدد خطة التقييم قائمة تحقق توحّد تقييم أنظمة كشف التسلل الهجينة القابلة للتفسير: تغطية اليوم الصفري على أنماط هجوم غير مرئية بالتحقق المتقاطع؛ وضبط الإنذارات الكاذبة بعتبات مُبلغ عنها ومنحنيات المفاضلة؛ وتغطية البروتوكولات (Modbus وDNP3 وIEC 104 وOPC UA)؛ وجودة التفسير بتقييمات متمحورة حول الإنسان لسرعة الفرز ودقة القرار وثقة المشغّل (ويرتس وآخرون، 2019)؛ والمتانة الخصومية للكواشف والواجهات التفسيرية؛ وكلفة الحوسبة وزمن الكشف؛ وقابلية إعادة الإنتاج بمجموعات بيانات ومعلمات معلنة.
تُطبَّق القائمة على كل بند من الأجندة، فيُقاس النموذج الأولي بتغطية اليوم الصفري والإنذارات الكاذبة، وتُقيَّم تجربة المستخدم بدراسات المشغّلين، وتُختبر المتانة بالمراوغة والتسميم، ويُوثَّق النشر التجريبي بالدروس الميدانية. وتهدف القائمة إلى جعل المقارنات عبر الدراسات ممكنة وسدّ فجوة التقييم غير الموحد التي كشفتها المراجعة.
خلصت المراجعة إلى أن كشف التسلل الهجين في بيئات سكادا/ICS ناضج مخبريًا لكنه هش ميدانيًا: دقة 90.4%–99.5% في التقييمات المضبوطة تقابلها تغطية يوم صفري 73.43% فقط عند مواجهة الجديد، وضبط معلمات هش، وعمى بروتوكولي، وتفسيرات غائبة عن منصات المشغّلين. وقد حددت المراجعة — عبر 40 دراسة مختارة بمنهجية PRISMA من 412 سجلًا — خمس فجوات عملية وقدمت معمارية مرجعية بأربعة عناصر (توقيعات، شذوذ، دمج، تفسير) مع صياغة رياضية للدمج وكشف الانجراف وخطوط SHAP.
تتمثل المساهمات في: تخليق منهجي للأدلة عبر الأسئلة الأربعة؛ وتحليل فجوات يربط الأدلة بالتحديات العملية؛ ومعمارية مفاهيمية مؤسسة على الأدلة؛ وأجندة من ثمانية بنود تُرسم على الفجوات؛ وقائمة تحقق تقييمية توحّد القياس. وتدعو الورقة المجتمع البحثي إلى تجاوز تحسينات الدقة المختبرية نحو التحقق الميداني والتفسير المتمحور حول المشغّل والمتانة الخصومية.
من محدوديات المراجعة: الاقتصار على المنشورات الإنجليزية (2010–مايو 2025)؛ وهيمنة التقييم المخبري في الدراسات المدروسة؛ وكون المعمارية مفاهيمية بانتظار التنفيذ والتحقق. وتشمل الأعمال المستقبلية تنفيذ النموذج الأولي والتقييم المرجعي ودراسات المستخدم والنشر التجريبي وفق الأجندة وخطة التقييم المعلنتين.
Supervisory Control and Data Acquisition (SCADA) and Industrial Control System (ICS) networks underpin critical infrastructure across energy, water, transportation, and manufacturing sectors. Existing intrusion detection systems face inherent trade-offs: signature-based approaches achieve low false-positive rates but cannot detect zero-day attacks, while anomaly-based methods detect novel threats but generate ambiguous alerts that burden operators and erode trust. Recent empirical studies reveal persistent practical gaps, including the difficulty of obtaining labeled attack data for supervised methods, severe hyperparameter tuning challenges for one-class classifiers, and limited integration of protocol-aware features despite the prevalence of process-aware detection. Explainability techniques remain underimplemented in industrial intrusion detection despite their potential for improving operator understanding and security workflow integration. This article presents a systematic review and research agenda for explainable hybrid intrusion detection in SCADA/ICS environments.
Keywords: SCADA; ICS; hybrid intrusion detection; explainable AI; SHAP; research agenda.
Critical infrastructure relies on SCADA and ICS networks historically designed for isolation rather than internet connectivity, leaving them exposed to cyber threats as IT and operational technology (OT) converge. Signature-based IDS (e.g., Snort, Suricata) achieve high precision on known attacks but are blind to novel vectors, while anomaly detection catches new threats at the cost of false alerts that burden security operations center (SOC) analysts and erode system trust.
Hybrid approaches address this trade-off by combining signatures, anomaly detection, and sometimes specification-based detection through sequential, parallel, or hierarchical architectures (Pan et al., 2015; Khan et al., 2019). In parallel, explainable AI (XAI) — notably SHAP (Lundberg and Lee, 2017) and LIME (Ribeiro et al., 2016) attributions — promises to turn ambiguous alerts into understandable rationales linked to process context, yet its application in industrial intrusion detection remains limited despite maturity elsewhere.
Recent empirical studies reveal five practical gaps (G1–G5): limited zero-day coverage, insufficient false-positive control, protocol blindness versus process awareness, lack of operator-centred explanations, and deployment drift between lab and operations. This review synthesises evidence on these gaps and offers a research agenda plus an evaluation checklist mapping each item to specific gaps.
The rest of the article is organised as follows. Background covers hybrid IDS concepts, explainability, and the research questions; Methodology describes the systematic review protocol; Findings synthesise evidence across four themes; Gap analysis details open challenges; then a conceptual reference architecture is presented; Section 7 outlines the research agenda; Section 8 the evaluation plan; and Section 9 discusses and concludes.
Hybrid IDS are built in three architectural patterns: sequential, where early components filter data before deeper analysis (e.g., statistical filtering then deep learning); parallel (ensemble), combining concurrent detectors by voting or aggregation (bagging, stacking, AdaBoost with Naive Bayes and SVM reaching 99% accuracy on some datasets); and hierarchical, integrating preprocessing, feature optimisation, dimensionality reduction, and multiple detection layers (e.g., autoencoders for anomalies, CNNs for features, hybrid ResNet-LSTM for temporal patterns). Hybrid systems report 90.4%–99.5% accuracy and 0.8%–2.1% false-positive rates where reported.
Explainability methods — chiefly SHAP Shapley-value attributions (Lundberg and Lee, 2017) and LIME (Ribeiro et al., 2016) — offer feature attributions linking alerts to inputs, with emerging applications binding attributions to process context (e.g., Shapley analysis for protocol-based detection, causal inference, physics-informed networks). Yet most studies use explanations post hoc for analysis without integrating them into triage workflows, and few evaluate operator understanding, triage speed, or trust (Weerts et al., 2019).
The protocol dimension remains a blind spot: although protocols such as Modbus, DNP3, IEC 60870-5-104, and OPC UA carry rich detection semantics, most studies rely on generic traffic features or process data alone (Ustebay et al., 2024). Benchmark datasets span SWaT, WADI, HAI, and IEC-104 corpora, with lab evaluation dominant and real operational noise and drift underrepresented.
Four research questions were formulated: (RQ1) What hybrid architectural patterns exist and how do they perform? (RQ2) How is explainability integrated and with what effect? (RQ3) Which protocols and datasets are covered? (RQ4) What evaluation metrics and comparisons against single-method baselines exist? These questions structure the findings synthesis, gap analysis, and agenda.
The methodology follows Preferred Reporting Items for Systematic Reviews and Meta-Analyses (PRISMA) guidelines adapted for engineering research. A systematic search was conducted in five electronic databases — IEEE Xplore, ACM Digital Library, Scopus, Web of Science, and Google Scholar — using term combinations on industrial control systems, SCADA/OT security, hybrid intrusion detection, and explainable AI, limited to peer-reviewed articles, full conference papers, and English-language publications from 2010 to May 2025.
The core query combined three concept groups: Domain (ICS OR SCADA OR “industrial control” OR “operational technology”), Detection (“intrusion detection” OR IDS OR “anomaly detection”), and Approach (hybrid OR fusion OR correlation OR ensemble) OR (explain* OR SHAP OR LIME OR XAI). Queries returned 412 records, plus 23 added through backward and forward citation chasing of three seed papers on ICS datasets and hybrid IDS (Conti et al., 2021; Stouffer et al., 2015; Neupane et al., 2022). After removing 137 duplicates, 298 unique records remained for screening; 187 were excluded as off-topic, non-empirical, or lacking an IDS component, leaving 111 full texts for eligibility assessment; 71 were excluded at full-text stage, yielding 40 included studies.
Strict inclusion and exclusion criteria were applied: inclusion requires explicit ICS/OT context, a hybrid or explainable detection component, and empirical evaluation with reported metrics; exclusion covers pure-IT IDS, non-empirical papers, and metric-less studies. From each study the detection architecture, protocols, dataset, explainability approach, metrics, and limitations were extracted and synthesised across the four research-question themes.
Findings synthesise the 40 studies across four themes. On hybrid architectures (RQ1), three patterns emerge: sequential designs reducing computational burden (e.g., Bloom filter plus LSTM at 0.03 ms classification time), parallel designs with higher accuracy and cost, and hierarchical designs combining autoencoders, CNNs, and hybrid ResNet-LSTM. Reported accuracy spans 90.4%–99.5%, but direct comparisons with single methods are scarce; only two studies quantify gains (precision +0.008, recall +0.067, F1 +0.039 over autoencoder-only).
On explainability (RQ2), SHAP and LIME attributions dominate, with advanced uses: Shapley analysis for protocol-based detection (Ustebay et al. 2024), causal inference with the PC algorithm (Ghazi et al. 2025), causal operation-to-effect explanations in physics-informed networks (Ike et al. 2023), and human-grounded SHAP evaluation for alert processing (Weerts et al. 2019). Operator-console integration is rare, and most evaluations are technical rather than user-centred.
On protocols and datasets (RQ3), Modbus, DNP3, OPC UA, and IEC 60870-5-104 are partially covered, with SWaT and WADI dominant; studies such as TwinSec-IDS (Krishnaveni et al. 2024) and Oyedotun et al. (2025) show limited protocol coverage and 92% accuracy with 0.49 attack-class precision due to imbalance. On evaluation metrics (RQ4), accuracy, precision, recall, and F1 dominate, while false-positive rates, detection latency, compute cost, and adversarial robustness are rarely reported.
A comparative table of recent hybrid/XAI studies (2019–2025) shows: +2.27% F1 with second-order Markov memory plus SHAP (Ghazi et al. 2025); difficult attack-free hyperparameter tuning with lab-only evaluation (Wolsing et al. 2024); 97% accuracy without XAI and limited protocol diversity (Khan et al. 2019); and modest gains (+0.008 precision, +0.067 recall) over pure autoencoders (Kwon et al. 2022).
In sum: hybrids succeed in labs but lack field evidence, explainability is technically promising but operationally absent, industrial protocols are underexploited, and evaluation is unstandardised — the basis for the five-gap analysis and research agenda.
Gap G1 (limited zero-day coverage): signatures match known patterns precisely but miss novelty; anomaly methods offer broader coverage with a fundamental false-positive versus false-negative trade-off. Hybrids partially close the gap: Pan et al. (2015) report 90.4% overall accuracy for mixed scenarios, but zero-day accuracy drops to 73.43% under 10-fold cross-validation on unseen attack patterns.
Gap G2 (false-positive control): false-positive rates are critical for SOC workflows — excessive alerts cause analyst fatigue and erode trust; reported rates range 0.8%–2.1% in controlled evaluations, but lab conditions may not reflect operational noise. Data requirements and hyperparameter tuning exacerbate the challenge: one-class classifiers need careful configuration that rarely transfers across ICS contexts (Wolsing et al. 2024).
Gap G3 (process awareness vs protocol blindness): process-aware IDS incorporate plant-state and physics models but often ignore industrial protocol semantics (Modbus/DNP3/IEC 104 function fields and state machines). Protocol-aware detectors are needed whose outputs (invariant-violation scores, automaton-state anomalies) feed the fusion layer as first-class inputs rather than separate baselines.
Gaps G4 and G5 (explanation and drift): explainability stays underimplemented despite its operator-understanding potential; human-centred evaluations are rare; and explanation interfaces are themselves security-relevant, since post-hoc explainers are fragile and manipulable (Ghorbani et al. 2019; Slack et al. 2020). Lab performance also degrades at deployment through data drift, latency constraints, and protocol coverage — requiring drift detection, threshold updates, and SHAP-guided retraining (Wadinger and Kvasnica, 2024).
This section presents a conceptual reference architecture for explainable hybrid IDS in SCADA/ICS environments — a blueprint derived from gap analysis and literature synthesis, not a fully implemented system. Similar components (signature IDS, anomaly models, SHAP explainers, ICS parsers) exist in prior work; the contribution is organising them into an evidence-based explainable hybrid framework with mathematical formalisation and an evaluation plan for future empirical validation.
The architecture has four core elements: (1) a protocol-aware signature engine (e.g., Snort/Suricata/Zeek with ICS-specific rulesets) matching known attack patterns and protocol violations; (2) an anomaly engine with time-series and multivariate models (autoencoders, LSTM networks, isolation forests) trained on benign operational data; (3) an alert-fusion layer combining outputs through deduplication, temporal correlation, and score aggregation; (4) an XAI layer with a SHAP-based explanation module computing feature attributions for anomaly alerts, attached as interpretable rationales on the operator console with process context.
Fusion is formalised as F(x) = α · A(x) + (1 − α) · S(x) (1), where A(x) is the anomaly score, S(x) the signature confidence, and α a tunable weight (via grid search or Bayesian optimisation on a held-out set), alerting when F(x) exceeds threshold τalert. Alternatives include the maximum rule (conservative, triggers on either channel) and Dempster–Shafer combination; drift detection, threshold updates, and SHAP explanation pipelines are likewise formalised as planned logic for future implementation.
The research agenda charts the path from conceptual architecture to validated prototype and pilot deployment, each item tied to specific gaps: (1) Prototype integration [G1–G3]: implement parallel signature and anomaly engines with the fusion layer, integrate ICSNPP parsers for Modbus, DNP3, IEC 60870-5-104, and OPC UA, and calibrate fusion weight α and threshold τalert on baseline traffic.
(2) Benchmark evaluation [G1–G2]: compare hybrid configurations against signature-only and anomaly-only baselines on multiple ICS datasets (SWaT, WADI, HAI, IEC-104 corpus), reporting zero-day coverage and false-positive trade-offs with standardised metrics. (3) Explainability UX [G4]: design narratives mapping SHAP attributions to process context, with usability studies involving ICS operators and SOC analysts measuring triage speed, decision accuracy, and trust (Khediri et al., 2024).
(4) SHAP-guided optimisation [G4–G5]: automate feature selection and retraining with accumulated SHAP importance statistics, implementing drift detection and threshold updates. (5) Adversarial robustness [G1, G5]: assess evasion and poisoning risks against the hybrid IDS, adopt ensemble defences and attribution-ensemble methods (Chen et al., 2022; Awad et al., 2025; Fung et al., 2024), and treat the explanation interface as security-relevant (access control, rate limiting, monitoring explanation stability under adversarial probing) (Ghorbani et al., 2019).
(6) SOC integration and ATT&CK for ICS [G4–G5]: map detections and explanations to MITRE ATT&CK for ICS techniques for better triage and situational awareness (Bhosale et al., 2024; Kaya et al., 2025). (7) Pilot deployment [G5]: validate in a high-fidelity testbed or partner operational environment, addressing protocol coverage, latency constraints, and real drift patterns. (8) Specification and stateful model fusion [G1, G3]: ingest specification-based detector and protocol state-machine outputs (invariant-violation scores, automaton-state anomalies) as first-class fusion inputs.
The evaluation plan defines a checklist standardising assessment of explainable hybrid IDS: zero-day coverage on unseen attack patterns via cross-validation; false-positive control with reported thresholds and trade-off curves; protocol coverage (Modbus, DNP3, IEC 104, OPC UA); explanation quality through human-centred evaluations of triage speed, decision accuracy, and operator trust (Weerts et al., 2019); adversarial robustness of detectors and explanation interfaces; compute cost and detection latency; and reproducibility with disclosed datasets and parameters.
The checklist applies to each agenda item: prototypes measured on zero-day coverage and false positives, UX assessed in operator studies, robustness tested with evasion and poisoning, and pilots documented with field lessons. The checklist aims to enable cross-study comparison and close the unstandardised-evaluation gap the review exposed.
The review concludes that hybrid intrusion detection in SCADA/ICS environments is lab-mature but field-fragile: 90.4%–99.5% controlled accuracy meets only 73.43% zero-day coverage on novelty, fragile hyperparameter tuning, protocol blindness, and explanations absent from operator consoles. Through 40 PRISMA-selected studies from 412 records, the review identified five practical gaps and offered a four-element reference architecture (signatures, anomaly, fusion, explanation) with mathematical formalisation of fusion, drift detection, and SHAP pipelines.
Contributions are: systematic evidence synthesis across four research questions; gap analysis binding evidence to practical challenges; an evidence-based conceptual architecture; an eight-item research agenda mapped to gaps; and an evaluation checklist standardising measurement. The article calls on the community to move beyond lab accuracy gains toward field validation, operator-centred explanation, and adversarial robustness.
Review limitations include English-only publications (2010–May 2025), lab-evaluation dominance in studied works, and the architecture’s conceptual status pending implementation. Future work covers prototype implementation, benchmark evaluation, user studies, and pilot deployment per the stated agenda and evaluation plan.