异常行为分析在侦查中的应用

李松岩 李 锋

（中国人民公安大学，北京 100038）

要分析研究异常行为，首先应该明确异常行为的含义。所谓行为，主要是指受思想支配而表现出来的外在活动，而社会日常生活中的异常行为常指违反社会文明准则或群体行为习惯和标准的 “反常”行为。对于多发性侵财案件中的高危人员也不例外，其异常行为主要是指此类人员在实施侵财犯罪之前、实施过程中以及实施之后所表现出来的有异于平常的行为。犯罪生涯研究的结论可以归纳为：6%的犯罪分子实施了约60%的犯罪。[1]通过研究多发性侵财案件中高危人员异常行为可以发现高危人员在实施该类犯罪案件时行为的规律特点，进而与某特定类别案件相关联。当该类犯罪案件再次出现时，可以利用所总结的规律特点锁定特定人员或特定群体。在侦查中，异常行为分析的三个具体应用步骤分别是异常行为选择、异常行为信息获取、异常行为信息合成。

一、异常行为类型选择

异常行为类型选择是在研究犯罪主体所实施的所有行为的基础上，发现和甄别出涉案异常行为的过程。哪类行为看似异常却与犯罪案件无关，哪类案件看似正常却与犯罪行为紧密相关，这些是需要在异常行为类型选择中解决的问题。

异常行为类型选择中，需要完成三项任务，一是确定异常行为是否与正常行为存在足够明显的区别，二是研究异常行为与犯罪案件关联程度，三是筛选出与犯罪案件关系密切的异常行为。异常行为类型选择的基础方法是统计法，研究过程中可以用图表法加以表示。

如图1所示，该图展现不同案别犯罪嫌疑人旅馆住宿的异常时段，可以直观的发现，一是正常人的旅馆入住、退房时间分布相对均衡，在12时到13时、19时到21时、23时到0时占有相对较高比例；二是吸毒人员和抢劫、抢夺、入户盗窃犯罪人员的旅馆入住、退房时间与正常人的住宿时段存在明显区别，而且分布非常集中，大量存在于22时到1时之间；三是诈骗犯罪人员与正常人的住宿时段存在区别，但是不够明显。经过进一步研究可以归纳为：异常住宿行为与抢劫、抢夺、入户盗窃案件关系密切。

图1 不同案别犯罪嫌疑人旅馆住宿异常时段

上述方法是通过某一类异常行为与多种犯罪案件关联程度研究，确定该类异常行为与犯罪案件的关系是否密切。如果研究几类异常行为与某一种犯罪案件的关联程度，其操作方法较为简单，可以用柱状图、饼状图、连线图等横向对比各类异常行为在该类犯罪案件中所占比重，再行筛选。

应当注意的是，异常行为类型选择并不是仅仅考虑异常行为而忽视其他与案件有关的情况。由于犯罪主体、犯罪行为、犯罪案件之间并不是一维的、简单的关系，而是错综复杂的兼具显性与隐性联系的复杂关系。其他情况信息往往能够反映犯罪主体与犯罪行为之间的联系，有时可以直接或者间接反映出犯罪主体异常行为的规律。如图2所示，该图是浙江省某公安机关于抢夺、入室盗窃、诈骗犯罪案件年龄分布的统计研究。

图2 抢夺、入室盗窃、诈骗犯罪案件高危人员年龄分布

如图，抢夺与入室盗窃案件的高危人员的年龄集中分布在17-22岁之间，而诈骗犯罪高危人员的年龄分布则较为分散。依据此信息，我们可以发现抢夺、入室盗窃案件的犯罪高危人员多是刚刚成年的年轻人，可以推测该高危人员应当具备同年龄段人所共同的特点，比如经常去网吧上网、频繁使用QQ等网络聊天工具、挥霍无度等习惯。与此同时，研究该三类案件高危人员的异常行为可以发现，盗窃、抢夺犯罪人员在作案前经常有在网吧夜间上网的异常行为，诈骗犯罪人员在作案前则无此异常行为。将两者的结论加以比较，犯罪案件的年龄信息为证实异常行为的准确存在提供了佐证。虽然，从严格意义上讲，犯罪主体的年龄信息、犯罪前科经历、户籍地等信息并不是异常行为，但是与异常行为却有着千丝万缕的联系。因此，异常行为类型选择过程中应当参考其他情况信息。

二、异常行为信息获取

异常行为信息的获取是在异常行为选择的基础之上，针对与案件有密切联系的异常行为收集信息。异常行为信息资源是异常行为分析的核心支撑，必须拥有足够量的信息才能进行异常行为分析。

（一）通过公安网获取异常行为信息

随着全国公安机关信息化建设逐步推进，各地公安机关逐步建成了记录驾驶员、吸毒人员、在逃人员、违法犯罪人员、出入港人员、保安人员等人员信息库；旅馆、网吧、物流部门、交通数据等机构信息库；案件、事件、事故等档案信息库。相当多的异常行为信息存在于海量的公安数据信息之中，通过对多种信息库的应用可以获取异常行为信息。

（二）通过互联网获取异常行为信息

互联网已经是人们生活中必不可少的内容，犯罪人员同样使用互联网，并在上网过程中留下网上购物、论坛、博客、日志、电子邮件、QQ、交友、飞信、网卡、IP等信息。通过对购物网站、博客、日志、交友网站信息的获取，可以获取异常行为人的身份信息以及异常行为的文字信息；通过论坛、博客、网上个人空间、视频网站、社区网站能够获取关于异常行为的图像、视频信息；通过特殊工具软件可以获取IP记录、聊天内容等关于异常行为的情报信息。

（三）通过视频监控获取异常行为信息

近些年，在大小城市，覆盖城市街道、社会单位的视频监控系统逐步建成，为公安机关侦查模式转变提供了新的契机。视频监控包括公安视频监控与社会视频监控。通过视频监控可以获取反映犯罪人员异常行为的时空轨迹信息、特殊物品信息、车辆信息等。

（四）通过手机通讯获取异常行为信息

伴随通讯工具的大量普及，手机成为人们社会生活中的必需品。使用手机的过程中，主叫手机附近的基站与被叫手机附近的基站会同时留下痕迹，通话的时段以及时长也会被电信运营商详细记录。对手机通话信息进行分析，可以从中获取异常关系人信息、异常时空轨迹信息。手机通讯信息的应用意义已经在实战中得到了验证，某地公安机关通过构建高危人员通讯关系扩展图破获了多起流窜盗窃案件。

（五）通过其他社会信息资源获取异常行为信息

许多政府部门与企事业单位掌握丰富的社会信息资源，比如保险、民航、铁路客运、工商、税务、银行、房产、社保、邮政、二手车交易、婚姻登记、租赁、医疗等行业，存在大量信息，违法犯罪人员身为社会生活中的一员，其一言一行都存在于海量的社会信息之中，与犯罪有关的异常行为同样如此。目前，公安机关对社会信息资源的利用率非常低，通过多渠道掌握社会信息资源获取异常行为信息将是未来的趋势。

三、异常行为信息合成

异常行为信息合成需要运用假设分析法。依据假设分析法的步骤，首先，界定假设分析的对象。界定异常行为信息合成时，需要明确异常行为信息是否能够合成、异常行为信息之间是否存在逻辑冲突以及异常信息合成后是否可证的问题。其次，提出合理假设。假设要按照严密的逻辑推理方法提出，围绕异常行为信息合成结果构建。此外，评估异常行为信息合成结果。这一环节也被称为假设评估，是围绕案件搜集各类证据证明假设，验证异常行为信息合成结果的过程。最后，回归分析异常行为信息合成结果。当异常行为信息合成的结果不理想或出现问题的时候，应当回归至出现问题的步骤，再次界定对象、重新提出假设并进行评估。

异常行为信息合成可以分为三类情形：人与人之间、人与案之间、案与案之间。

（一）人与人之间的合成

人与人之间的异常行为信息合成模式是以确定嫌疑人为目的，通过异常行为信息进行合成，提出假设并予以验证，从而发现人与人之间的关系。具体而言，嫌疑人员A在作案时反映出其独特的异常行为信息A’，嫌疑人员B在作案时反映出其独特的异常行为信息B’，同时，A’与B’的内容高度吻合。可以提出假设：A与B可能是同一犯罪嫌疑人或者说A与B系犯罪同伙。提出假设后，通过收集证据、线索再对假设进行评估、回归分析。

（二）人与案之间的合成

人与案之间的异常行为信息合成模式是以确定嫌疑人与案件的关系为目的，通过异常行为信息合成，提出假设并予以验证，从而发现人与案件之间的关系。具体而言，嫌疑人员A具有犯罪前科，在之前的犯罪经历中反映出了异常行为信息A’，在一起案件B中，未能确定案件是由何人所为，但是通过侦查收集到了与A’内容高度吻合的异常行为信息B’。可以提出假设：案件B可能由嫌疑人员A所为。提出假设后，通过进一步收集证据、线索再对假设进行评估、回归分析。

（三）案与案之间的合成

案与案之间的异常行为信息合成模式是以确定案件之间是否存在并案可能为目的，通过异常行为信息合成，提出假设并予以验证，从而发现案件之间的关系。具体而言，案件A与案件B各自反映出了异常行为信息A’与B’，A’与B’内容高度吻合。可以提出假设：案件可能是由同一个或同一伙犯罪嫌疑人所为。通过进一步收集证据、线索再对假设进行评估、回归分析。

总之，异常行为分析应用的目的是为公安业务服务，打击、防范、控制犯罪的过程都存在不同程度的对异常行为分析的应用。异常行为信息合成的结果经过证实，可以作为战术情报使用。在信息化侦查工作不断加强的背景下，针对异常行为分析在犯罪预警与案件侦查中的特殊作用，公安机关将探索出更为深入的应用途径。

[1]（英）杰瑞……莱特克里菲.情报主导警务[M].崔嵩译.北京:中国人民公安大学出版社,2008:55.

[2]陈志军,张晶,靳新.犯罪情报信息学[M].北京:中国人民公安大学出版社,2008.

[3]崔嵩.再造公安情报[M].北京:中国人民公安大学出版社,2008.

[4]钱洋.侦查情报信息一体化应用机制探析[J].江苏警官学院学报,2011，(01).

[5]陈刚.犯罪情报分析[M].北京:中国人民公安大学出版社，2007.