張新宇, 陳 鵬, 顧海碩

(中國(guó)人民公安大學(xué)信息網(wǎng)絡(luò)安全學(xué)院,北京 100038)

0 引言

時(shí)空軌跡數(shù)據(jù)是描述主體時(shí)空行為的重要手段,特別是在犯罪學(xué)中,時(shí)空軌跡數(shù)據(jù)能夠精確的刻畫犯罪人員在作案前后的空間行為,因此,利用人群的時(shí)空軌跡數(shù)據(jù)能夠有效地挖掘和分析出潛在的犯罪人員,對(duì)相關(guān)決策以及偵查破案等都具有很大的參考價(jià)值[1-2]。近年來,時(shí)空軌跡分析已經(jīng)在海洋地理[3-4]、交通運(yùn)輸[5-6]、城市熱點(diǎn)分析[7-8]、新冠肺炎疫情防控[9-10]等領(lǐng)域廣泛應(yīng)用并取得了顯著成果,但是在公共安全領(lǐng)域,利用時(shí)空軌跡數(shù)據(jù)挖掘和分析犯罪人的時(shí)空行為模式,特別是發(fā)現(xiàn)軌跡數(shù)據(jù)中隱藏的異常行為模式還處在一個(gè)相對(duì)較少被觸及的階段。事實(shí)上,目前針對(duì)特定軌跡或異常軌跡的挖掘已經(jīng)開展了一些相應(yīng)的工作,如文獻(xiàn)[11]提出一種基于長(zhǎng)短期記憶網(wǎng)絡(luò)的異常軌跡挖掘模型,有效識(shí)別了異常車輛軌跡;文獻(xiàn)[12]利用ST-DBSCAN算法和重點(diǎn)部位觀測(cè)點(diǎn)法標(biāo)定軌跡數(shù)據(jù),并進(jìn)行動(dòng)態(tài)軌跡序列化建模進(jìn)行了社區(qū)治安高危人員異常軌跡識(shí)別。此外,文獻(xiàn)[13]提出了一種時(shí)空軌跡的熱點(diǎn)區(qū)域提取算法應(yīng)用于交通管理,能夠高效地提取熱點(diǎn)區(qū)域。

與車輛等主體的異常出行軌跡相比,犯罪嫌疑人異常活動(dòng)時(shí)可以選擇不同類型的交通工具,停留地點(diǎn)也根據(jù)潛在作案地點(diǎn)轉(zhuǎn)換。因此,其軌跡往往具有多模態(tài)、不確定性等特點(diǎn),給軌跡數(shù)據(jù)分析帶來了較大的困難。然而,在一些特殊類型的犯罪活動(dòng)中,犯罪嫌疑人仍然具有一定規(guī)律的時(shí)空行為模式。以系列入室盜竊案件的嫌疑人主體為例,該類人群屬于職業(yè)化犯罪群體,有著其獨(dú)特的行為模式,如在時(shí)空行為模式中常常會(huì)表現(xiàn)出事前“踩點(diǎn)”、事中“蹲點(diǎn)”、事后快速逃離作案現(xiàn)場(chǎng)等特點(diǎn),而且往往會(huì)選擇在一些特殊時(shí)間段作案[14-15]。因此,這些典型的犯罪嫌疑人的行為特征是進(jìn)行時(shí)空軌跡數(shù)據(jù)分析的關(guān)鍵要素,為深入挖掘潛在犯罪嫌疑人異常軌跡提供了可能。

Dempster-Shafer(D-S)證據(jù)理論用于處理不確定信息,推理時(shí)不需要先驗(yàn)概率和條件概率,并依靠證據(jù)的積累不斷減少假設(shè)集的范圍,具有表達(dá)“不確定”的能力,利用其組合規(guī)則可以在多證據(jù)下進(jìn)行異常檢測(cè)[16-18]。為此,本文擬利用入室盜竊案件嫌疑人的時(shí)空行為模式制定相應(yīng)的經(jīng)驗(yàn)規(guī)則,基于D-S證據(jù)理論來構(gòu)建一種通過有效挖掘海量時(shí)空坐標(biāo)點(diǎn)軌跡數(shù)據(jù)來發(fā)現(xiàn)潛在犯罪嫌疑人的分析方法,并以實(shí)際數(shù)據(jù)的案例來印證該方法的有效性。

1 基于證據(jù)理論的異常檢測(cè)

1.1 D-S證據(jù)理論

D-S證據(jù)理論中的辨識(shí)框架Θ包含了所有可能的判別假設(shè),各假設(shè)之間獨(dú)立且互斥,其子集共有2Θ個(gè)[16]。本文用N={正常}、U={異常}兩種形式表示軌跡是否異常,則辨識(shí)框架Θ={U,N}有4種子集,分別為{U}、{N}、{U,N}和?。對(duì)?X?Θ,存在基本概率分配(Basic Probability Assignment,BPA)函數(shù)m(X),表示證據(jù)對(duì)假設(shè)X的信任程度,m(X)滿足m(?)=0且BPA可通過知識(shí)經(jīng)驗(yàn)給出,根據(jù)BPA可計(jì)算證據(jù)對(duì)某命題X的信任函數(shù)Bel(X)和似然函數(shù)Pl(X):

式中,Bel(X)為包含在X中的所有子集的BPA之和,表示證據(jù)對(duì)X為真的信任程度,Pl(X)表示證據(jù)對(duì)X不為假的信任程度。Bel(X)和Pl(X)分別表示證據(jù)對(duì)假設(shè)X為真的信任程度的下限和上限,[Bel(X),Pl(X)]稱為信任度區(qū)間[16-21]。

本文在進(jìn)行異常軌跡檢測(cè)前,首先進(jìn)行時(shí)空距離約束,排除沒有作案可能性的主體;之后選取主體在案發(fā)前后是否在案件現(xiàn)場(chǎng)周邊出現(xiàn)(即是否存在“踩點(diǎn)”行為)、案發(fā)時(shí)是否圍繞案件現(xiàn)場(chǎng)徘徊(即是否存在“蹲點(diǎn)”行為)、案發(fā)后是否出行速度加快(即是否快速逃離作案現(xiàn)場(chǎng))等3個(gè)指標(biāo)作為證據(jù)判別軌跡的異常程度。

1.2 時(shí)空距離條件約束

每個(gè)案件都有其時(shí)間和空間坐標(biāo),落在案件點(diǎn)Ci一定時(shí)空范圍外的坐標(biāo)軌跡點(diǎn)在作案可能性上基本為零,為此,引入時(shí)空距離向量Vst=(S,T)表示時(shí)空坐標(biāo)點(diǎn)Pi與案件的空間距離和時(shí)間距離。其中S與T的計(jì)算公式如下:

根據(jù)時(shí)空可達(dá)性,定義S和T的臨界值,若Ci與Pi的時(shí)空距離超過臨界值,則該P(yáng)i的作案嫌疑基本為零。設(shè)符合該條件的主體Bi形成的集合為Dst。

1.3 案發(fā)前后時(shí)空位置條件約束

根據(jù)犯罪的時(shí)空臨近重復(fù)性原理[19-20],系列入室盜竊案件的嫌疑人在作案前大部分會(huì)有“踩點(diǎn)”行為,以搜索合適的犯罪目標(biāo),而在案件發(fā)生后一段時(shí)間,嫌疑人一般會(huì)選擇返回作案現(xiàn)場(chǎng)附近再次尋找作案機(jī)會(huì)。根據(jù)Bi∈Dst,設(shè)條件CLb為Bi在案發(fā)前出現(xiàn),CLa為在案發(fā)后出現(xiàn),擴(kuò)大空間S的范圍為ds。設(shè)案發(fā)時(shí)間為t0,則案發(fā)前的時(shí)間距離為tb,案發(fā)后的時(shí)間距離為ta,此時(shí)Pi與Ci的時(shí)空距離條件應(yīng)滿足:(ds,-|t0-ta|)＜Vst＜(ds,|tb-t0|)。若案發(fā)前后均出現(xiàn),認(rèn)為滿足經(jīng)驗(yàn)條件CL。

1.4 案發(fā)期間時(shí)空位置條件約束

對(duì)有著一定犯罪經(jīng)驗(yàn)的嫌疑人,其在到達(dá)犯罪現(xiàn)場(chǎng)后往往因?yàn)槟繕?biāo)有人看守并不會(huì)立即得手,在這種情況下嫌疑人一般會(huì)在目標(biāo)附近徘徊等待目標(biāo)看守離開,即“蹲點(diǎn)”行為。從時(shí)空軌跡上就會(huì)表現(xiàn)出圍繞作案現(xiàn)場(chǎng)的高密度軌跡,即案發(fā)時(shí)間前后在案件周圍大量聚集形成的軌跡點(diǎn)團(tuán)簇。對(duì)此,可利用ST-DBSCAN算法進(jìn)行聚類分析[21-23],以“時(shí)間鄰域”和“空間鄰域”作為參數(shù),假設(shè)存在某集合D={X1,X2,…Xn},設(shè)空間距離為Eps1,時(shí)間距離為Eps2,閾值點(diǎn)數(shù)目為Minpts,若案件點(diǎn)在周圍空間距離Eps1和時(shí)間距離Eps2以內(nèi)出現(xiàn)最少M(fèi)inpts的軌跡點(diǎn),則可認(rèn)為出現(xiàn)了異常高密度軌跡,滿足經(jīng)驗(yàn)條件CU。

1.5 案發(fā)前后主體速度條件約束

入室盜竊犯罪嫌疑人在得手后通常迅速離開作案現(xiàn)場(chǎng)以躲避偵查。根據(jù)Bi∈Dst,可進(jìn)行速度分析。設(shè)案發(fā)前主體Bi的移動(dòng)速度為v1,案發(fā)后移動(dòng)速度為v2,根據(jù)其經(jīng)緯度信息調(diào)用OSRM路徑規(guī)劃服務(wù),計(jì)算案發(fā)前后各10分鐘內(nèi)的移動(dòng)距離進(jìn)而計(jì)算時(shí)間,比較v1與v2的大小。若存在v2＞v1,則認(rèn)為其滿足經(jīng)驗(yàn)條件Cs。

1.6 異常指數(shù)

本文以案發(fā)前后出現(xiàn)CL、速度異常變化Cs和案發(fā)期間軌跡異常CU作為主要證據(jù)分別檢驗(yàn)每條軌跡為異常的信任程度,其中時(shí)空距離約束條件為判別的前提,檢驗(yàn)流程如圖1所示。Dempster組合規(guī)則根據(jù)多證據(jù)的基本信度分配從而得到綜合的BPA函數(shù),考慮到“Zadeh”悖論,設(shè)置m{U,N}為0.05。Bel(U)表示認(rèn)為軌跡屬于異常的信任程度,Bel(U)值越大越異常;Pl(U)表示不認(rèn)為軌跡為異常的程度,Pl(U)值越小越正常[24]。根據(jù)偵查知識(shí)經(jīng)驗(yàn),Bel(U)＞70%的軌跡可認(rèn)為異常,而Pl(U)＜70%的軌跡可認(rèn)為正常。

圖1 算法流程

2 實(shí)驗(yàn)和分析

2.1 數(shù)據(jù)與預(yù)處理

本文選取北京市2007~2012年入室盜竊案件數(shù)據(jù)和同期部分人群的時(shí)空坐標(biāo)點(diǎn)軌跡數(shù)據(jù)集為例進(jìn)行分析。其中案件數(shù)據(jù)共125 654條,軌跡數(shù)據(jù)共有182個(gè)主體的18 669條。兩類數(shù)據(jù)均來自于北京市公安局。兩種數(shù)據(jù)中都包含時(shí)間信息和經(jīng)緯度點(diǎn),分別對(duì)數(shù)據(jù)進(jìn)行清洗、去重、格式轉(zhuǎn)換等預(yù)處理后,部分案件點(diǎn)和軌跡信息的空間可視化效果如圖2所示,其中線表示軌跡,標(biāo)記點(diǎn)為案發(fā)點(diǎn)。

圖2 入室盜竊案件與軌跡數(shù)據(jù)示例

2.2 時(shí)空距離約束分析

首先,根據(jù)異常軌跡研判的基礎(chǔ)條件進(jìn)行異常軌跡篩選。限定時(shí)間范圍為案發(fā)前后各90分鐘以內(nèi),空間范圍為案件現(xiàn)場(chǎng)方圓100米以內(nèi),進(jìn)行時(shí)空匹配,分析結(jié)果如表1所示,前三列表示每年發(fā)生的入室盜竊案件數(shù)目和待分析的軌跡總數(shù)目,時(shí)空約束案件數(shù)目表示經(jīng)過時(shí)空距離限定后有異常軌跡經(jīng)過的案件數(shù)目,時(shí)空約束軌跡數(shù)目表示在案件時(shí)空距離之內(nèi)的軌跡量,約束案件占比為時(shí)空約束案件數(shù)目與案件總數(shù)目的比值。在182個(gè)主體的18 669條軌跡中,發(fā)現(xiàn)201個(gè)案件與60個(gè)主體的222條軌跡存在顯性關(guān)聯(lián)。為此構(gòu)成主體集合B={B1,B2,…Bi,…B60}。其中,“案件-主體-軌跡”存在多種關(guān)聯(lián)關(guān)系,既包含有某個(gè)主體的一條軌跡與一個(gè)案件產(chǎn)生關(guān)聯(lián),也包括某個(gè)主體的多條軌跡與多個(gè)案件產(chǎn)生關(guān)聯(lián),以及多個(gè)主體的軌跡與一個(gè)案件相關(guān)等。經(jīng)統(tǒng)計(jì),60個(gè)主體所涉及的案次共計(jì)232次。

表1 時(shí)空距離條件約束結(jié)果

2.3 證據(jù)指標(biāo)

證據(jù)指標(biāo)將直接影響最終的判別結(jié)果,所以依據(jù)每個(gè)特征的異常頻率考慮每個(gè)證據(jù)指標(biāo)的設(shè)置,同時(shí)如表2所示,根據(jù)統(tǒng)計(jì)基本信息R和實(shí)戰(zhàn)經(jīng)驗(yàn)設(shè)置不同條件的可疑程度C。其中,案發(fā)前后時(shí)空位置條件約束中,tb設(shè)為3天,ta設(shè)為1天,ds為100米;案發(fā)期間時(shí)空位置條件約束中,空間距離Eps1設(shè)為100米,時(shí)間距離Eps2設(shè)為30分鐘,閾值點(diǎn)數(shù)目Minpts設(shè)為ln(n),n為分析對(duì)象主體的軌跡點(diǎn)數(shù)量。

表2 實(shí)驗(yàn)數(shù)據(jù)統(tǒng)計(jì)

由表2得出,在案件現(xiàn)場(chǎng)位置前3天和后1天出現(xiàn)的軌跡數(shù)量比例為4.7%;速度變化異常的主體占比24.6%;而形成案發(fā)期間案件現(xiàn)場(chǎng)“異常高密度軌跡團(tuán)簇”的主體占比極小,僅有3.4%。需要說明的是,在分析CU時(shí),案件周邊的軌跡密度可能有3種情況,如圖3所示。其中,第一種為主體Bi恰好在案發(fā)時(shí)“經(jīng)過”案件現(xiàn)場(chǎng);第二種為主體Bi長(zhǎng)時(shí)間滯留在案件現(xiàn)場(chǎng)附近,但與案件位置沒有交集;第三種為主體Bi的軌跡在案件現(xiàn)場(chǎng)周邊高度集中,且與案件位置出現(xiàn)重合現(xiàn)象,即疑似徘徊“蹲點(diǎn)”。因此,在利用ST-DBSCAN算法獲得異常高密度軌跡點(diǎn)后還需要再進(jìn)一步進(jìn)行人工研判,符合條件的歸納為CU。

圖3 案件現(xiàn)場(chǎng)周邊異常軌跡的3種行為

2.4 檢測(cè)結(jié)果與分析

本文以CL、CS、CU為主要判斷證據(jù),分別設(shè)置其特征值,根據(jù)實(shí)戰(zhàn)經(jīng)驗(yàn)以及統(tǒng)計(jì)數(shù)據(jù)設(shè)定初始BPA如表3所示。

表3 BPA函數(shù)初始值設(shè)定

根據(jù)Bel(U)和Pl(U)的值為不同主體劃分不同程度的等級(jí),檢測(cè)結(jié)果及分類等級(jí)如表4所示。

表4 檢測(cè)結(jié)果及分類等級(jí)

其中,可疑程度為A級(jí)的案件與軌跡相對(duì)時(shí)空關(guān)系如圖4所示,其中平面坐標(biāo)分別為緯度和經(jīng)度,縱向坐標(biāo)為時(shí)間,單位為秒,可見異常軌跡點(diǎn)與案件位置的相對(duì)關(guān)系并不顯著,Bel(U)近似為0;可疑程度為D級(jí)的案件與軌跡時(shí)空關(guān)系如圖5所示,異常軌跡點(diǎn)與案件位置在案發(fā)期間和案發(fā)后出現(xiàn)兩次軌跡重合,Bel(U)為82%;而可疑程度為E級(jí)的案件與軌跡時(shí)空關(guān)系如圖6所示,整體呈現(xiàn)出圍繞案發(fā)位置頻繁活動(dòng)的現(xiàn)象,Bel(U)的值為92%。

圖4 A級(jí)案件與軌跡時(shí)空關(guān)系示例

圖5 D級(jí)案件與軌跡時(shí)空關(guān)系示例

圖6 E級(jí)案件與軌跡時(shí)空關(guān)系示例

對(duì)預(yù)處理過后的222條軌跡,受限于每個(gè)案件有其獨(dú)有的時(shí)空位置,再利用嫌疑人作案特點(diǎn)進(jìn)行深入挖掘,且本文定量分析了嫌疑程度,為決策者提供了偵查依據(jù),節(jié)省了較大的人力和物力,在傳統(tǒng)的時(shí)空碰撞基礎(chǔ)上進(jìn)一步減小了排查范圍。

3 結(jié)語(yǔ)

對(duì)于海量軌跡數(shù)據(jù)而言,每個(gè)入室盜竊案發(fā)點(diǎn)的時(shí)空位置不同,但嫌疑人活動(dòng)有其一定的特征。本文針對(duì)系列入室盜竊案件嫌疑人的行為特征,在時(shí)空距離約束的基礎(chǔ)上提出了一種基于證據(jù)理論和在案發(fā)前后與案發(fā)期間主體位置以及速度變化是否異常的檢測(cè)方法,通過異常度區(qū)間[Bel,Pl]對(duì)每條軌跡進(jìn)行檢驗(yàn)從而圈定異常的活動(dòng)主體。實(shí)驗(yàn)結(jié)果表明,該方法檢測(cè)入室盜竊異常軌跡效果較好,并且可以減少正常軌跡構(gòu)成的“噪聲”,給出相應(yīng)的可疑性等級(jí),對(duì)案件研判具有一定的輔助決策作用。后續(xù)工作可結(jié)合案件本身特征、團(tuán)伙作案下的同行主體分析等更多元的活動(dòng)特征等行為證據(jù)檢測(cè)異常軌跡。