基于经验约束规则和证据理论的入室盗窃案件嫌疑人异常轨迹检测

张新宇, 陈 鹏, 顾海硕

(中国人民公安大学信息网络安全学院,北京 100038)

0 引言

时空轨迹数据是描述主体时空行为的重要手段,特别是在犯罪学中,时空轨迹数据能够精确的刻画犯罪人员在作案前后的空间行为,因此,利用人群的时空轨迹数据能够有效地挖掘和分析出潜在的犯罪人员,对相关决策以及侦查破案等都具有很大的参考价值[1-2]。近年来,时空轨迹分析已经在海洋地理[3-4]、交通运输[5-6]、城市热点分析[7-8]、新冠肺炎疫情防控[9-10]等领域广泛应用并取得了显著成果,但是在公共安全领域,利用时空轨迹数据挖掘和分析犯罪人的时空行为模式,特别是发现轨迹数据中隐藏的异常行为模式还处在一个相对较少被触及的阶段。事实上,目前针对特定轨迹或异常轨迹的挖掘已经开展了一些相应的工作,如文献[11]提出一种基于长短期记忆网络的异常轨迹挖掘模型,有效识别了异常车辆轨迹;文献[12]利用ST-DBSCAN算法和重点部位观测点法标定轨迹数据,并进行动态轨迹序列化建模进行了社区治安高危人员异常轨迹识别。此外,文献[13]提出了一种时空轨迹的热点区域提取算法应用于交通管理,能够高效地提取热点区域。

与车辆等主体的异常出行轨迹相比,犯罪嫌疑人异常活动时可以选择不同类型的交通工具,停留地点也根据潜在作案地点转换。因此,其轨迹往往具有多模态、不确定性等特点,给轨迹数据分析带来了较大的困难。然而,在一些特殊类型的犯罪活动中,犯罪嫌疑人仍然具有一定规律的时空行为模式。以系列入室盗窃案件的嫌疑人主体为例,该类人群属于职业化犯罪群体,有着其独特的行为模式,如在时空行为模式中常常会表现出事前“踩点”、事中“蹲点”、事后快速逃离作案现场等特点,而且往往会选择在一些特殊时间段作案[14-15]。因此,这些典型的犯罪嫌疑人的行为特征是进行时空轨迹数据分析的关键要素,为深入挖掘潜在犯罪嫌疑人异常轨迹提供了可能。

Dempster-Shafer(D-S)证据理论用于处理不确定信息,推理时不需要先验概率和条件概率,并依靠证据的积累不断减少假设集的范围,具有表达“不确定”的能力,利用其组合规则可以在多证据下进行异常检测[16-18]。为此,本文拟利用入室盗窃案件嫌疑人的时空行为模式制定相应的经验规则,基于D-S证据理论来构建一种通过有效挖掘海量时空坐标点轨迹数据来发现潜在犯罪嫌疑人的分析方法,并以实际数据的案例来印证该方法的有效性。

1 基于证据理论的异常检测

1.1 D-S证据理论

D-S证据理论中的辨识框架Θ包含了所有可能的判别假设,各假设之间独立且互斥,其子集共有2Θ个[16]。本文用N={正常}、U={异常}两种形式表示轨迹是否异常,则辨识框架Θ={U,N}有4种子集,分别为{U}、{N}、{U,N}和∅。对∀X⊆Θ,存在基本概率分配(Basic Probability Assignment,BPA)函数m(X),表示证据对假设X的信任程度,m(X)满足m(∅)=0且BPA可通过知识经验给出,根据BPA可计算证据对某命题X的信任函数Bel(X)和似然函数Pl(X):

式中,Bel(X)为包含在X中的所有子集的BPA之和,表示证据对X为真的信任程度,Pl(X)表示证据对X不为假的信任程度。Bel(X)和Pl(X)分别表示证据对假设X为真的信任程度的下限和上限,[Bel(X),Pl(X)]称为信任度区间[16-21]。

本文在进行异常轨迹检测前,首先进行时空距离约束,排除没有作案可能性的主体;之后选取主体在案发前后是否在案件现场周边出现(即是否存在“踩点”行为)、案发时是否围绕案件现场徘徊(即是否存在“蹲点”行为)、案发后是否出行速度加快(即是否快速逃离作案现场)等3个指标作为证据判别轨迹的异常程度。

1.2 时空距离条件约束

每个案件都有其时间和空间坐标,落在案件点Ci一定时空范围外的坐标轨迹点在作案可能性上基本为零,为此,引入时空距离向量Vst=(S,T)表示时空坐标点Pi与案件的空间距离和时间距离。其中S与T的计算公式如下:

根据时空可达性,定义S和T的临界值,若Ci与Pi的时空距离超过临界值,则该Pi的作案嫌疑基本为零。设符合该条件的主体Bi形成的集合为Dst。

1.3 案发前后时空位置条件约束

根据犯罪的时空临近重复性原理[19-20],系列入室盗窃案件的嫌疑人在作案前大部分会有“踩点”行为,以搜索合适的犯罪目标,而在案件发生后一段时间,嫌疑人一般会选择返回作案现场附近再次寻找作案机会。根据Bi∈Dst,设条件CLb为Bi在案发前出现,CLa为在案发后出现,扩大空间S的范围为ds。设案发时间为t0,则案发前的时间距离为tb,案发后的时间距离为ta,此时Pi与Ci的时空距离条件应满足:(ds,-|t0-ta|)＜Vst＜(ds,|tb-t0|)。若案发前后均出现,认为满足经验条件CL。

1.4 案发期间时空位置条件约束

对有着一定犯罪经验的嫌疑人,其在到达犯罪现场后往往因为目标有人看守并不会立即得手,在这种情况下嫌疑人一般会在目标附近徘徊等待目标看守离开,即“蹲点”行为。从时空轨迹上就会表现出围绕作案现场的高密度轨迹,即案发时间前后在案件周围大量聚集形成的轨迹点团簇。对此,可利用ST-DBSCAN算法进行聚类分析[21-23],以“时间邻域”和“空间邻域”作为参数,假设存在某集合D={X1,X2,…Xn},设空间距离为Eps1,时间距离为Eps2,阈值点数目为Minpts,若案件点在周围空间距离Eps1和时间距离Eps2以内出现最少Minpts的轨迹点,则可认为出现了异常高密度轨迹,满足经验条件CU。

1.5 案发前后主体速度条件约束

入室盗窃犯罪嫌疑人在得手后通常迅速离开作案现场以躲避侦查。根据Bi∈Dst,可进行速度分析。设案发前主体Bi的移动速度为v1,案发后移动速度为v2,根据其经纬度信息调用OSRM路径规划服务,计算案发前后各10分钟内的移动距离进而计算时间,比较v1与v2的大小。若存在v2＞v1,则认为其满足经验条件Cs。

1.6 异常指数

本文以案发前后出现CL、速度异常变化Cs和案发期间轨迹异常CU作为主要证据分别检验每条轨迹为异常的信任程度,其中时空距离约束条件为判别的前提,检验流程如图1所示。Dempster组合规则根据多证据的基本信度分配从而得到综合的BPA函数,考虑到“Zadeh”悖论,设置m{U,N}为0.05。Bel(U)表示认为轨迹属于异常的信任程度,Bel(U)值越大越异常;Pl(U)表示不认为轨迹为异常的程度,Pl(U)值越小越正常[24]。根据侦查知识经验,Bel(U)＞70%的轨迹可认为异常,而Pl(U)＜70%的轨迹可认为正常。

图1 算法流程

2 实验和分析

2.1 数据与预处理

本文选取北京市2007~2012年入室盗窃案件数据和同期部分人群的时空坐标点轨迹数据集为例进行分析。其中案件数据共125 654条,轨迹数据共有182个主体的18 669条。两类数据均来自于北京市公安局。两种数据中都包含时间信息和经纬度点,分别对数据进行清洗、去重、格式转换等预处理后,部分案件点和轨迹信息的空间可视化效果如图2所示,其中线表示轨迹,标记点为案发点。

图2 入室盗窃案件与轨迹数据示例

2.2 时空距离约束分析

首先,根据异常轨迹研判的基础条件进行异常轨迹筛选。限定时间范围为案发前后各90分钟以内,空间范围为案件现场方圆100米以内,进行时空匹配,分析结果如表1所示,前三列表示每年发生的入室盗窃案件数目和待分析的轨迹总数目,时空约束案件数目表示经过时空距离限定后有异常轨迹经过的案件数目,时空约束轨迹数目表示在案件时空距离之内的轨迹量,约束案件占比为时空约束案件数目与案件总数目的比值。在182个主体的18 669条轨迹中,发现201个案件与60个主体的222条轨迹存在显性关联。为此构成主体集合B={B1,B2,…Bi,…B60}。其中,“案件-主体-轨迹”存在多种关联关系,既包含有某个主体的一条轨迹与一个案件产生关联,也包括某个主体的多条轨迹与多个案件产生关联,以及多个主体的轨迹与一个案件相关等。经统计,60个主体所涉及的案次共计232次。

表1 时空距离条件约束结果

2.3 证据指标

证据指标将直接影响最终的判别结果,所以依据每个特征的异常频率考虑每个证据指标的设置,同时如表2所示,根据统计基本信息R和实战经验设置不同条件的可疑程度C。其中,案发前后时空位置条件约束中,tb设为3天,ta设为1天,ds为100米;案发期间时空位置条件约束中,空间距离Eps1设为100米,时间距离Eps2设为30分钟,阈值点数目Minpts设为ln(n),n为分析对象主体的轨迹点数量。

表2 实验数据统计

由表2得出,在案件现场位置前3天和后1天出现的轨迹数量比例为4.7%;速度变化异常的主体占比24.6%;而形成案发期间案件现场“异常高密度轨迹团簇”的主体占比极小,仅有3.4%。需要说明的是,在分析CU时,案件周边的轨迹密度可能有3种情况,如图3所示。其中,第一种为主体Bi恰好在案发时“经过”案件现场;第二种为主体Bi长时间滞留在案件现场附近,但与案件位置没有交集;第三种为主体Bi的轨迹在案件现场周边高度集中,且与案件位置出现重合现象,即疑似徘徊“蹲点”。因此,在利用ST-DBSCAN算法获得异常高密度轨迹点后还需要再进一步进行人工研判,符合条件的归纳为CU。

图3 案件现场周边异常轨迹的3种行为

2.4 检测结果与分析

本文以CL、CS、CU为主要判断证据,分别设置其特征值,根据实战经验以及统计数据设定初始BPA如表3所示。

表3 BPA函数初始值设定

根据Bel(U)和Pl(U)的值为不同主体划分不同程度的等级,检测结果及分类等级如表4所示。

表4 检测结果及分类等级

其中,可疑程度为A级的案件与轨迹相对时空关系如图4所示,其中平面坐标分别为纬度和经度,纵向坐标为时间,单位为秒,可见异常轨迹点与案件位置的相对关系并不显著,Bel(U)近似为0;可疑程度为D级的案件与轨迹时空关系如图5所示,异常轨迹点与案件位置在案发期间和案发后出现两次轨迹重合,Bel(U)为82%;而可疑程度为E级的案件与轨迹时空关系如图6所示,整体呈现出围绕案发位置频繁活动的现象,Bel(U)的值为92%。

图4 A级案件与轨迹时空关系示例

图5 D级案件与轨迹时空关系示例

图6 E级案件与轨迹时空关系示例

对预处理过后的222条轨迹,受限于每个案件有其独有的时空位置,再利用嫌疑人作案特点进行深入挖掘,且本文定量分析了嫌疑程度,为决策者提供了侦查依据,节省了较大的人力和物力,在传统的时空碰撞基础上进一步减小了排查范围。

3 结语

对于海量轨迹数据而言,每个入室盗窃案发点的时空位置不同,但嫌疑人活动有其一定的特征。本文针对系列入室盗窃案件嫌疑人的行为特征,在时空距离约束的基础上提出了一种基于证据理论和在案发前后与案发期间主体位置以及速度变化是否异常的检测方法,通过异常度区间[Bel,Pl]对每条轨迹进行检验从而圈定异常的活动主体。实验结果表明,该方法检测入室盗窃异常轨迹效果较好,并且可以减少正常轨迹构成的“噪声”,给出相应的可疑性等级,对案件研判具有一定的辅助决策作用。后续工作可结合案件本身特征、团伙作案下的同行主体分析等更多元的活动特征等行为证据检测异常轨迹。