基于通信的列车运行控制系统(Communication Based Train Control,CBTC)系统通过大容量、连续、双向的车地无线网络和地面骨干网络实现对线路上的列车进行精准的运行控制。现有CBTC系统广泛采用商用产品,攻击者可以利用设备漏洞接入系统,实施数据篡改攻击,导致行车效率降低甚至引发安全事故。传统入侵检测通过分析信息特征发现入侵行为,无法有效检测数据篡改攻击。因此,研究基于列车行为分析的入侵检测方法,辨识针对CBTC系统的数据篡改攻击具有重要的理论指导和现实应用意义。本文主要研究基于列车行为分析的入侵检测方法。基于列车的动力学特性,对列车的运行过程进行建模,分析数据篡改攻击对列车行为的影响,设计检测器,并利用机器学习的方法进一步提高检测性能。本文提出了基于列车行为分析的和基于多智能体强化学习的入侵检测方法,并搭建仿真平台,模拟数据篡改攻击,验证入侵检测方法的有效性。本文完成的主要工作如下:(1)分析CBTC系统数据篡改攻击的可能性,考虑数据篡改攻击对不同子系统的影响。分析针对区域控制器(Zone Controller,ZC)和车载控制器(Vehicle On-Board Controller,VOBC)的数据篡改攻击,分析了4种可能的攻击模式;(2)提出基于列车状态估计的入侵检测方法。建模分析CBTC系统中列车的动力学特征,基于列车状态信息的观测值和行车命令,利用粒子滤波和卡方检测方法,设计入侵检测系统;(3)提出基于多智能体强化学习的入侵检测方法。针对CBTC系统中列车的移动性和分布式特点,提出基于多智能体的入侵检测框架,设计基于强化学习的入侵检测系统,利用数据集中的全局观测值离线训练模型,使用车载检测智能体的局部观测值进行在线检测;(4)搭建CBTC系统仿真平台模拟数据篡改攻击。生成入侵检测数据集,验证了基于列车状态估计和基于多智能体强化学习的入侵检测方法的有效性,并对比、评估了检测方法的性能。实验表明,基于列车行为分析的入侵检测方法能够实时、准确的发现数据篡改攻击行为。对于实验中的4种攻击模式,使用多智能体强化学习改进的基于列车状态估计的入侵检测方法,检准率达到99.14%,误报率为1.34%。论文提出的基于列车行为分析的入侵检测方法对于提高CBTC系统信息安全防护水平具有重要的理论指导和现实应用意义。