鐵路實名制數(shù)據(jù)應(yīng)用于旅財案件的思考

鐵路實名制數(shù)據(jù)應(yīng)用于旅財案件的思考

自2012年鐵路全面實行實物替代以來，實物數(shù)據(jù)在防止犯罪嫌疑人和計劃旅行案件中發(fā)揮了越來越重要的作用。一、使用他人的身份購買汽車軌道特征刑嫌人員冒用他人身份證購票,短期內(nèi)的特征不會很明顯,從長期來看,主要有如下四個方面特征。(一)如果同時使用了甲地或乙地,t針對利用他人身份證大量囤票的情況,鐵路售票系統(tǒng)對行程沖突有一定的預(yù)判,行程有沖突是買不到車票的。但是,從近兩年的案例來看,售票系統(tǒng)對行程沖突的算法存在明顯的漏洞?，F(xiàn)行的算法只能計算出乘車時間存在重疊的情況,譬如說用同一張身份證去購買A、B兩趟車的車票,如果B車的發(fā)車時間在A車的發(fā)車、到站兩個時間點之間,系統(tǒng)就會提示行程沖突,B車的車票就賣不出來。但至少有一種情況顯然沒有考慮到,那就是兩張車票的購買地點是否能在購票的時間差內(nèi)可達,譬如在甲地于T1時間點買了A車的車票,在乙地于T2時間點買了B車的車票,盡管A、B兩趟車的乘車時間不存在重疊,但在T2-T1的時間內(nèi),用飛機、高鐵等常規(guī)方法都不可能從甲地趕到乙地的,這種情況也應(yīng)該算是行程沖突。此種情況人工分析可能一眼就能看出來,但算法十分復雜,而且不能僅憑售票數(shù)據(jù)來實現(xiàn),對系統(tǒng)資源的消耗也非常大,售票系統(tǒng)舍棄對這種情況的計算也就不足為奇了。正因為如此,刑嫌人員冒用他人身份證購票時,如果兩個人購票的次數(shù)都比較多,常常會有行程沖突的情況,找到行程沖突,就能確定該證件被他人冒用了。如表1所示,2015年6月23日的K1453與2015年6月25日的K79存在行程沖突,因為同一個人不可能在3小時14分鐘之內(nèi)從安徽阜陽趕到江蘇無錫(破案后證實被冒用)。行程沖突的另一種表現(xiàn)形式是鐵路行程與上網(wǎng)、住宿、飛機等其他軌跡類信息之間存在沖突。這類沖突主要有兩種應(yīng)用場景,一是發(fā)現(xiàn)某人的乘車軌跡可疑,但僅從乘車軌跡來看行程沖突不明顯,可以結(jié)合大情報查詢其他軌跡類信息,進一步發(fā)現(xiàn)、確認沖突;二是發(fā)現(xiàn)某兩條記錄之間在乘火車的情況下存在沖突,兩地又存在機場,則需要利用大情報查詢是否有乘飛機的記錄,對是否存在沖突進行確認。(二)同一張身份證的購票由于每個人的購票習慣不同,因此冒用他人身份證購票時,如果兩個人的購票次數(shù)都比較多,常常會發(fā)現(xiàn)同一張身份證的購票記錄存在兩種迥異的購票風格,感覺就像是兩個人在購票,這種情況下身份證被他人冒用的可能性很大。購票風格迥異,從購票記錄來看主要有以下八種表現(xiàn)形式:1.窗口類型站售、機售、自售主要體現(xiàn)在網(wǎng)訂與非網(wǎng)訂,以及非網(wǎng)訂情況下的購票窗口類型(站售、機售、自售),網(wǎng)訂與非網(wǎng)訂可以通過票號來識別,窗口類型可以通過車站代碼的最后兩位來識別。當前刑嫌人員網(wǎng)訂車票的比例極低。2.不同的類型的線路3.不同的安排既有線指座位與臥鋪,動車、高鐵指商務(wù)座、一等座與二等座,對應(yīng)的字段為席別。4.不同的購買時間指購票的時間段,沒有具體劃分的點,譬如有些人喜歡白天購票,而有些人喜歡在晚上或者凌晨購票,對應(yīng)的字段為售票時間。5.不同的購買價格指提前幾天購買車票,需要結(jié)合售票時間與發(fā)車日期兩個字段判斷。刑嫌人員一般當天購票或提前一天購票,極少有提前兩天以上的。6.不同的乘客選擇不同的座位有些人喜歡在白天乘車,而有些人偏好晚上坐車,對應(yīng)的字段為發(fā)車時間。刑嫌人員一般偏好晚上乘車。7.發(fā)站、到站可能被冒有些人乘坐區(qū)間比較固定,就是往返于A、B兩站之間或者從A站去其他站再返回,如果突然出現(xiàn)幾張車票的發(fā)站、到站不是此人常去的地點,而且與之前的軌跡不連貫,則有可能被冒用,再結(jié)合其他疑點確定是否被冒用。8.乘車區(qū)間不符有幾個方面可以參考,一是發(fā)站、到站之間的距離,二是票價高低,三是距離長短?，F(xiàn)行系統(tǒng)都沒有采集這個字段,只能參考前兩項去作判斷。刑嫌人員乘坐的區(qū)間一般不長。如表2所示,陳某的乘車軌跡不存在沖突,但購票風格前后迥異:一是2015年8月22日之前全是網(wǎng)訂,之后都是非網(wǎng)訂;二是之前基本是白天乘車,之后全是晚上乘車。結(jié)合2015年9月1日至2015年9月4日乘車頻繁的現(xiàn)象,基本可以確定陳某的身份證被他人冒用(破案后證實被冒用)。(三)年甚至一年內(nèi)僅某一個月集中乘車刑嫌人員冒用的身份證,主要有兩個來源:一是盜竊失主的身份證,二是從第三方手中購得。由于使用失主的身份證坐車很容易被追查到,此種情況主要在2016年以前居多,目前多使用從第三方手中購得的證件。嫌疑人獲得他人身份證后,一般會在短時間內(nèi)集中坐車,使用一段時間或者做一單大案后,該身份證就會被棄用。如果身份證主人很少坐火車,在購票記錄上就表現(xiàn)為一年甚至幾年內(nèi)僅某段時間集中坐車。如表3所示,此表為仇某2015年1月1日至2017年4月1日兩年多時間內(nèi)的購票記錄,集中在11天內(nèi)購買了8次車票,被人冒用的可能性極大(破案后證實被冒用)。(四)多次使用行為不連貫軌跡不連貫是指下一趟車的發(fā)站不是前一趟車的到站,而且兩個站之間相隔比較遠。刑嫌人員冒用他人身份證,經(jīng)常會存在多張身份證交替使用的情況,因此對某張身份證而言,會存在乘車軌跡不連貫的現(xiàn)象。如表4所示,此表為周某民2016年以來的全部購票記錄,短時間內(nèi)集中坐車且軌跡不連貫,6條記錄都不連貫,購票者應(yīng)該交替使用了別人的身份證,經(jīng)查周某民無前科,則身份證被他人冒用的可能性極大(破案后證實被冒用)。以上四個特征,是筆者根據(jù)長期的實名制數(shù)據(jù)分析經(jīng)驗,結(jié)合管內(nèi)的實際案例總結(jié)出來的,各個地方的情況可能不一樣,需要注意的是,部分特征是有時效性的,隨著我們分析手段的暴露,刑嫌人員反偵查意識的提高,他們在買票的時候就可能盡量減少某些特征的出現(xiàn),譬如說網(wǎng)上訂票、讓某張身份證的軌跡盡量連貫,等等。二、盜用他人身份證購票公車對于發(fā)生在列車上的旅財案件,當與前科人員碰撞沒有結(jié)果時,不管是不是有人臨時起意作案,都要考慮前科人員冒用他人身份證購票上車作案的可能。對這類案件的研判要分兩步走:第一步是分析出案發(fā)列車上誰的身份證被冒用了,第二步是分析出被同一個人冒用的更多的身份證,直至軌跡連貫并且在未抓獲嫌疑人之前能持續(xù)分析以掌握其行蹤。(一)分析每旅客的乘車軌跡,并從保證乘車分析發(fā)現(xiàn)被冒用的身份證,就是分析某張身份證一段時間內(nèi)的軌跡從而發(fā)現(xiàn)前述四大類特征的過程。通常的做法是:1.導出案發(fā)區(qū)段前方車站全部上車旅客并提取身份證號碼到文本文件。為減少工作量,此步驟還要刪除作案可能性極低的數(shù)據(jù),譬如臥鋪車廂發(fā)案,在席位復用的情況下無臥鋪可補,嫌疑人在車上補臥鋪的概率極低,可以刪除座位車廂的數(shù)據(jù)。如果知道管內(nèi)刑嫌極少網(wǎng)訂車票,則可以優(yōu)先分析非網(wǎng)訂數(shù)據(jù)。此步驟須注意日期、車次的變化。2.利用第一步的文本文件批量比對過去一段時間的數(shù)據(jù)(通常是一年),查出每位旅客過去一年內(nèi)的乘車軌跡。3.分析每位旅客過去一年的乘車軌跡,從中查找冒用他人身份證購票的四個方面的特征,發(fā)現(xiàn)冒用的身份證。分析發(fā)現(xiàn)案發(fā)列車上被他人冒用的身份證時需要注意:(1)數(shù)據(jù)一定要全。不要試圖利用某個局或某幾個局的數(shù)據(jù)去做分析,通常都是用《鐵路公安實名制信息綜合分析系統(tǒng)》去做,一是利用“車次站站查詢”功能,二是利用“批量比對”功能。(2)上述三步并不是固定不變的。我們的最終目的是分析某個人過去一段時間的軌跡并從中發(fā)現(xiàn)疑點,如果我們對管內(nèi)刑嫌人員的作案規(guī)律很了解,譬如知道某個區(qū)間發(fā)了案,嫌疑人一般是從Z站上車,那就可以優(yōu)先分析Z站上車的旅客。(3)分析出某個冒用的證件后,對未分析完的數(shù)據(jù)還需要繼續(xù)分析,以防一趟車上有多人冒用身份證上車作案的情況。(二)刪除-刪除身份證分析出冒用的身份證后,針對該身份證做臨控、跟蹤、抓現(xiàn)行即可。為什么還需要繼續(xù)分析被同一個人冒用的更多的身份證呢?一是因為冒用多張身份證的人是盜竊嫌疑人的可能性更大;二是因為嫌疑人經(jīng)常丟棄冒用的證件;三是因為把軌跡做連貫了能更多地串并案件。導出被冒用證件過去一年的乘車軌跡到數(shù)據(jù)文件,根據(jù)不同的購票風格刪除本人購票,僅保留被冒用的購票記錄。接下來如何進一步分析被同一個人冒用的更多證件呢?1.a、c兩證件的合并如果A經(jīng)常與B同行,B又經(jīng)常與C同行,那么A、C可能是同一個人,如果A、C兩人的記錄合并后使軌跡變得更連貫且沒有無法解釋的沖突,則A、C兩證件極可能是同一個人在使用。2.真實賬戶票的異地票斷點,是指軌跡不連貫的地方。斷點又分為有效斷點和無效斷點,有效斷點是指前后兩條記錄的乘車時間間隔短,中間缺失的記錄只有一條,滿足前后兩條記錄時空要求的數(shù)據(jù)量較少,研判起來比較簡單。無效斷點是指前后兩條記錄的乘車時間間隔長,中間缺失的記錄較多,不能通過滿足前后兩條記錄的時空要求去開展研判。有效斷點和無效斷點之間可以轉(zhuǎn)化。表5是一個真實案例分析到第三個冒用證件時的部分記錄,其中2016年4月22日的K775與2016年4月24日的K408之間是一個有效斷點,而2016年4月24日的K408與2016年4月30日的Z150之間是一個無效斷點,但2016年4月30日這條記錄是一張異地票(異地票是指售票站與上車站不是同一個站的車票),自帶斷點。(1)有效斷點分析。分析2016年4月22日的K775與K408之間的斷點,應(yīng)該存在一張車票,滿足2016年4月23日7:50(K775到達衡陽的時間)后從衡陽發(fā)車,2016年4月24日8:37之前到達廣州東(K408是廣州東站售)。把所有滿足條件的記錄查出來后,再逐條導出過去一年的軌跡,分析是否被冒用,如果合并記錄后軌跡變得更連貫,則就是我們要找的記錄。此斷點成功分析出另一張冒用的身份證李某祥。分析2016年4月30日自帶斷點的異地票,應(yīng)該存在一張車票,滿足2016年4月29日7:18后從長沙發(fā)車,2016年4月30日23:11之前到達玉屏,票號可能是J097990或J097992(同一個窗口先后賣出的兩張車票票號連續(xù)),且符合嫌疑人的購票習慣,發(fā)現(xiàn)王某。比較這兩個斷點,如果嫌疑人2016年4月22日乘坐K775次存在提前下車或延長坐車的情況,則乘車區(qū)間變得不固定,分析起來就很困難,而異地票的區(qū)間是固定的,所以要優(yōu)先分析異地票。(2)無效斷點分析。無效斷點不能利用滿足前后兩條記錄的時空要求去分析,更多的是基于對嫌疑人購票習慣的了解,大膽假設(shè),小心求證,下面以具體案例說明四種不同的分析方法。方法一:利用購票習慣分析某個站一段時間內(nèi)所售全部車票。表6是從案件分析出的第一張被冒用身份證的部分記錄,冒用的記錄共22條,但沒有一個有效斷點,也沒有異地票,研判工作一度陷入僵局。從李某祥的22條記錄總結(jié)嫌疑人的購票規(guī)律:非網(wǎng)訂,站售,只買臥鋪,下車后即買票,當天晚上或次日凌晨乘車。那么根據(jù)嫌疑人的購票習慣,嫌疑人2016年5月23日乘T25次從鷹潭上車,2016年5月24日8:42到衡陽后,會立即到衡陽車站窗口買票,導出2016年5月24日8:30到10:00之間所有衡陽車站站售車票,再以非網(wǎng)訂、臥鋪、2016年5月24日晚上或2016年5月25日凌晨發(fā)車為條件過濾數(shù)據(jù),對過濾出的數(shù)據(jù)逐條分析過去一年的軌跡,找到第二張冒用的身份證王某,合并軌跡后確認李某祥、王某的身份證是同一個人在使用。理論上所有下車車站都可以作為一個分析的點,之所以選擇衡陽,一是在廣州局管轄內(nèi),可以導出全部數(shù)據(jù);二是衡陽火車站的客流相對較小,分析起來更容易。方法二:根據(jù)購票習慣推測到站。表7是逐條選取發(fā)站為武昌的部分記錄。截至2016年12月10日嫌疑人乘Z5次從鄭州到武昌(表中最后一條記錄),此案已經(jīng)做出了8張冒用的身份證,但直到2016年12月27日,這8張身份證都沒有再使用過,分析可能是這8張身份證都被棄用了,而此人自2016年4月1日以來的軌跡基本上都做連貫了,聯(lián)系武昌局調(diào)取數(shù)據(jù)按“方法一”分析也沒有發(fā)現(xiàn)可疑證件。仔細分析發(fā)現(xiàn)嫌疑人到武昌后通常會往兩個方向走,往北到鄭州站,往南到株洲或長沙站,那么嫌疑人乘Z5次列車于2016年12月11日2:46到達武昌后,按照其乘車習慣,會于當日晚上或次日凌晨乘車前往鄭州或者株洲或者長沙。研判策略:查出2016年12月11日或2016年12月12日兩天由武昌前往鄭州、株洲、長沙三地的全部臥鋪票,再根據(jù)其購票習慣過濾數(shù)據(jù),對過濾出的數(shù)據(jù)逐條分析過去一年的軌跡。通過這種方法找到了第九張冒用的身份證雷某偉,合并軌跡后確認是同一個人在使用。按“方法一”之所以分析不出,是因為雷某偉這張票是在鄭州站買的從武昌到長沙的異地票,武漢局的數(shù)據(jù)也不包含這條記錄。方法三:根據(jù)購票習慣推測車次。表8是選取的兩段連續(xù)記錄,其中第二段2016年12月15日至2016年12月17日中間有一個斷點,但由于武昌至懷化區(qū)間太遠,中間應(yīng)該不止一趟車,因此這不是一個有效斷點。比較兩段記錄,推測嫌疑人2016年12月15日乘Z5次列車到武昌后,會與2016年12月10日乘Z5次列車到達武昌后類似,再乘坐Z77次列車,利用《鐵路公安實名制信息綜合分析系統(tǒng)》中的“車次站站查詢”導出20161216、Z77、武昌上車的全部旅客,再根據(jù)嫌疑人購票習慣過濾數(shù)據(jù),對過濾出的數(shù)據(jù)逐條分析過去一年的軌跡,找到第十二張冒用的身份證黃某樂,合并軌跡后確認是同一個人在使用。方法四:根據(jù)購票習慣推測換乘站。以“方法三”從2016年12月15日到2016年12月17日的斷點為例,該斷點還可以這樣分析:武昌至懷化區(qū)間太遠,中間應(yīng)該不止一趟車,武昌到懷化要經(jīng)過株洲、長沙,而且這兩個站也是嫌疑人經(jīng)常上下車的車站,那就以這兩個站為換乘站去試探,將無效斷點轉(zhuǎn)化為有效斷點,利用《鐵路公安實名制信息綜合分析系統(tǒng)》中“站站查詢”功能導出數(shù)據(jù)后再過濾,同樣可以將黃某樂分析出來。分析被同一個人冒用的更多的身份證時需要注意:1.《鐵路公安實名制信息綜合分析系統(tǒng)》當中的“同行乘車人員查詢”只能查詢同窗口、同車次這種情況下的同行,不足以反映全部的同行情形。2.當有多個點可以開展研判時,要從最簡單的點入手,合并進一個新證件的軌跡后,再重新從最簡單的點入手分析。3.如何從滿足斷點時空條件的若干記錄中高效地發(fā)現(xiàn)我們要找的記錄?只能從嫌疑人的購票習慣入手。4.檢驗新發(fā)現(xiàn)的身份證是否被同一個人冒用,方法是合并記錄,看軌跡是否變得更連貫?！鞍讣鷶?shù)據(jù)→人”這種模式是IT時代的研判方法,雖然有效,但耗時耗力。在大數(shù)據(jù)時代,我們有了“一大堆數(shù)據(jù)”,就可盡量用“大數(shù)據(jù)”的方法去解決問題。三、旅客身份特征冒用他人身份證可以通過計算發(fā)現(xiàn)嗎?答案是肯定的,就是讓計算機自動分析每張身份證一段時間內(nèi)的軌跡,從中發(fā)現(xiàn)符合冒用身份證購票的特征。計算分兩種情況:一是針對“案件→數(shù)據(jù)→人”模式的第一步,對案發(fā)列車全部旅客過去一年的軌跡進行計算,從中發(fā)現(xiàn)冒用他人身份證的人。二是建立“數(shù)據(jù)→人”的分析模型,系統(tǒng)根據(jù)冒用他人身份證購票在軌跡上的特征,自動每隔N天對過去2N天的數(shù)據(jù)進行分析,把全部數(shù)據(jù)當中可能被冒用的身份證計算出來,進一步合并同一個人冒用的N張身份證的軌跡,直至分析出嫌疑人的真實身份。四、對冒領(lǐng)人身份的分析冒用他人身份證的情況之所以存在,是嫌疑人鉆了驗證不嚴的漏洞,是不是進站口加強驗證就能杜絕呢?答案是否定的。隨著進站驗證工作的加強,部分刑嫌人員采取買兩張車票的“進階”模式:用自己的身份證買短途座位進站,用他人的身份證買長途臥鋪上車作案。這樣就解決了進站時人、證、票不一致的問題,而且發(fā)案后根本懷疑不到他。如表9所示,王某芬的身份證被刑嫌人員陳某冒用,兩張身份證買的是同一趟車的兩張票,這種情況只有一層冒用關(guān)系。有些刑嫌人員反偵查意識更強,連用于買短途座位進站的身份證都是冒用的。如表10所示,刑嫌人員許某某冒用沈某勇(男)身份證買短途座位進站,同時冒用劉某地(女)、李某如(女)的身份證購買長途臥鋪上車作案,而他自己的身份證兩年內(nèi)只買過4次票。前述兩個案例中,座位票、臥鋪票是同一趟車,既然座