基于通信的列车运行控制(Communication Based Train Control,CBTC)系统是保证列车安全、高效运行的关键设施。大量商用信息化组件的应用使CBTC系统面临严重的信息安全隐患。入侵检测技术能及时发现攻击行为,提高CBTC系统的信息安全防护能力。信息攻击容易触发CBTC系统的故障导向安全机制,使得信息攻击与随机故障难以区分,降低了CBTC系统入侵检测的性能。本文重点研究基于多模隐马尔可夫过程的列控系统入侵检测方法。从CBTC系统的网络通信和设备状态两个层面展开研究,设计入侵检测模型,并融合不同模型的检测结果,实现攻击与故障的区分,进一步提升入侵检测系统的性能。本文分别提出了基于指数加权移动平均控制图(Exponentially Weighted Moving Average,EWMA)和随机森林的网络通信检测方法、基于贝叶斯网络的设备状态检测方法以及基于隐马尔可夫模型(Hidden Markov Model,HMM)的多模信息融合方法,并搭建实验环境验证方法的有效性。论文的主要工作如下:(1)分析CBTC系统网络结构、通信协议、设备运行等方面的特点,研究CBTC系统可能遭受的信息攻击的类型及其实现原理。基于CBTC系统的入侵检测需求设计入侵检测的总体方案;(2)提出了基于EWMA和随机森林的网络通信入侵检测方法。一方面,统计流量数值形成流量序列,应用改进的EWMA算法分析该序列,识别系统流量的异常。另一方面,提取数据包特征,依据CBTC系统通信稳定分布的特点计算典型特征的可调节分段熵,并采用随机森林算法进行特征分类,实现数据包异常检测;(3)提出了基于贝叶斯网络的设备状态入侵检测方法。以子系统中各设备的状态作为贝叶斯网络的节点,选取适用于CBTC系统入侵检测的贝叶斯网络结构学习和参数学习算法,利用贝叶斯网络推理判定各子系统是否出现异常,并通过计算状态节点概率初步区分攻击与故障;(4)提出基于HMM的多模融合入侵检测方法。分析单一检测模型中存在的问题,构建HMM信息融合模型实现多个检测结果的综合决策。搭建CBTC系统实验环境,收集实验数据形成数据集,评估整体模型的检测性能。应用包含攻击与故障的数据集评估本文提出的入侵检测方法的性能,实验结果表明,该方法既能够准确识别CBTC系统中的攻击行为,检测率达到99.02%;又能够有效区分攻击与故障,相比传统检测方法,准确率提高了8%-19%。多模融合入侵检测方法的研究对于提高CBTC系统的信息安全防护能力具有重要的理论指导与现实应用意义。