铁路信号安全数据网是铁路信号系统的重要组成部分,是确保车站和中继站设备间、其与中心信号设备间安全信息可靠传输的通信平台,其安全性将直接影响行车安全。随着攻击手段的不断升级,信号安全数据网面临的信息安全隐患逐步加大,仅通过管理手段并不能完全阻止网络中异常行为的发生。为了提高信号安全数据网的安全水平,首先应对发生在网络内的异常行为进行精确检测,但现有的入侵检测手段大多应用于互联网与工业控制系统,无法全面地检测信号安全数据网中的异常行为,例如网络风暴、针对专用信号设备的漏洞攻击等。综上,开展铁路信号安全数据网异常行为检测方法的研究,具有重要的现实意义。本文结合信号安全数据网渗透测试结果,研究了面向铁路信号安全数据网的异常行为检测方法。首先将异常行为定义为网络攻击与网络堵塞,采用渗透测试分析信息安全风险。提出基于密度噪声应用空间聚类(Density-Based Spatial Clustering of Applications with Noise,DBSCAN)与差分自回归移动平均模型(Auto-Regressive Integrated Moving Average,ARIMA)相融合的网络攻击检测方法;结合局部敏感哈希(Locality Sensitive Hashing,LSH)算法的高实时性和极端梯度提升树(e Xtreme Gradient Boosting,XGBoost)算法的高准确性,提出了一种基于LSH-XGBoost的信号安全数据网网络堵塞检测方法。最后建立仿真测试平台与异常行为检测软件,以分析检测性能。论文的主要工作如下:(1)分析了信号安全数据网存在的安全风险。通过渗透测试的手段研究了信号安全数据网存在的脆弱性,根据渗透测试结果分析总结当前信号安全数据网中存在的潜在安全风险。(2)研究了基于DBSCAN-ARIMA的网络攻击检测方法。通过K-平均最近邻算法(K-Average Nearest Neighbor,KANN)自适应确定DBSCAN聚类算法参数,对聚类结果进行标定,然后通过ARIMA季节乘积模型使检测率进一步提升。(3)提出了基于LSH-XGBoost的网络堵塞检测方法。定义网络堵塞的广义形式,提出探测-分类的检测架构,通过LSH算法探测环网中是否存在堵塞情况,之后采用XGBoost分类算法对堵塞进行分类。(4)仿真验证了网络攻击与网络堵塞检测方法并分析了检测性能。搭建了信号安全数据网仿真测试平台,并编写了异常行为检测软件,最后验证了两种检测算法的有效性并分析了检测性能。通过仿真验证的结果可以得出,本文提出的信号安全数据网异常行为检测方法可以良好地检测网络攻击与堵塞,对于网络攻击的平均检测率为98.9501%,且相比现有方法提高了4.55%;对于网络堵塞的平均检测率为98.2887%,且相比单一XGBoost算法探测用时节省了37.9%,极大地提高了信号安全数据网的信息安全保障水平。图62幅,表23个,参考文献91篇。