铁路实名制数据应用于旅财案件的思考

铁路实名制数据应用于旅财案件的思考

自2012年铁路全面实行实物替代以来，实物数据在防止犯罪嫌疑人和计划旅行案件中发挥了越来越重要的作用。一、使用他人的身份购买汽车轨道特征刑嫌人员冒用他人身份证购票,短期内的特征不会很明显,从长期来看,主要有如下四个方面特征。(一)如果同时使用了甲地或乙地,t针对利用他人身份证大量囤票的情况,铁路售票系统对行程冲突有一定的预判,行程有冲突是买不到车票的。但是,从近两年的案例来看,售票系统对行程冲突的算法存在明显的漏洞。现行的算法只能计算出乘车时间存在重叠的情况,譬如说用同一张身份证去购买A、B两趟车的车票,如果B车的发车时间在A车的发车、到站两个时间点之间,系统就会提示行程冲突,B车的车票就卖不出来。但至少有一种情况显然没有考虑到,那就是两张车票的购买地点是否能在购票的时间差内可达,譬如在甲地于T1时间点买了A车的车票,在乙地于T2时间点买了B车的车票,尽管A、B两趟车的乘车时间不存在重叠,但在T2-T1的时间内,用飞机、高铁等常规方法都不可能从甲地赶到乙地的,这种情况也应该算是行程冲突。此种情况人工分析可能一眼就能看出来,但算法十分复杂,而且不能仅凭售票数据来实现,对系统资源的消耗也非常大,售票系统舍弃对这种情况的计算也就不足为奇了。正因为如此,刑嫌人员冒用他人身份证购票时,如果两个人购票的次数都比较多,常常会有行程冲突的情况,找到行程冲突,就能确定该证件被他人冒用了。如表1所示,2015年6月23日的K1453与2015年6月25日的K79存在行程冲突,因为同一个人不可能在3小时14分钟之内从安徽阜阳赶到江苏无锡(破案后证实被冒用)。行程冲突的另一种表现形式是铁路行程与上网、住宿、飞机等其他轨迹类信息之间存在冲突。这类冲突主要有两种应用场景,一是发现某人的乘车轨迹可疑,但仅从乘车轨迹来看行程冲突不明显,可以结合大情报查询其他轨迹类信息,进一步发现、确认冲突;二是发现某两条记录之间在乘火车的情况下存在冲突,两地又存在机场,则需要利用大情报查询是否有乘飞机的记录,对是否存在冲突进行确认。(二)同一张身份证的购票由于每个人的购票习惯不同,因此冒用他人身份证购票时,如果两个人的购票次数都比较多,常常会发现同一张身份证的购票记录存在两种迥异的购票风格,感觉就像是两个人在购票,这种情况下身份证被他人冒用的可能性很大。购票风格迥异,从购票记录来看主要有以下八种表现形式:1.窗口类型站售、机售、自售主要体现在网订与非网订,以及非网订情况下的购票窗口类型(站售、机售、自售),网订与非网订可以通过票号来识别,窗口类型可以通过车站代码的最后两位来识别。当前刑嫌人员网订车票的比例极低。2.不同的类型的线路3.不同的安排既有线指座位与卧铺,动车、高铁指商务座、一等座与二等座,对应的字段为席别。4.不同的购买时间指购票的时间段,没有具体划分的点,譬如有些人喜欢白天购票,而有些人喜欢在晚上或者凌晨购票,对应的字段为售票时间。5.不同的购买价格指提前几天购买车票,需要结合售票时间与发车日期两个字段判断。刑嫌人员一般当天购票或提前一天购票,极少有提前两天以上的。6.不同的乘客选择不同的座位有些人喜欢在白天乘车,而有些人偏好晚上坐车,对应的字段为发车时间。刑嫌人员一般偏好晚上乘车。7.发站、到站可能被冒有些人乘坐区间比较固定,就是往返于A、B两站之间或者从A站去其他站再返回,如果突然出现几张车票的发站、到站不是此人常去的地点,而且与之前的轨迹不连贯,则有可能被冒用,再结合其他疑点确定是否被冒用。8.乘车区间不符有几个方面可以参考,一是发站、到站之间的距离,二是票价高低,三是距离长短。现行系统都没有采集这个字段,只能参考前两项去作判断。刑嫌人员乘坐的区间一般不长。如表2所示,陈某的乘车轨迹不存在冲突,但购票风格前后迥异:一是2015年8月22日之前全是网订,之后都是非网订;二是之前基本是白天乘车,之后全是晚上乘车。结合2015年9月1日至2015年9月4日乘车频繁的现象,基本可以确定陈某的身份证被他人冒用(破案后证实被冒用)。(三)年甚至一年内仅某一个月集中乘车刑嫌人员冒用的身份证,主要有两个来源:一是盗窃失主的身份证,二是从第三方手中购得。由于使用失主的身份证坐车很容易被追查到,此种情况主要在2016年以前居多,目前多使用从第三方手中购得的证件。嫌疑人获得他人身份证后,一般会在短时间内集中坐车,使用一段时间或者做一单大案后,该身份证就会被弃用。如果身份证主人很少坐火车,在购票记录上就表现为一年甚至几年内仅某段时间集中坐车。如表3所示,此表为仇某2015年1月1日至2017年4月1日两年多时间内的购票记录,集中在11天内购买了8次车票,被人冒用的可能性极大(破案后证实被冒用)。(四)多次使用行为不连贯轨迹不连贯是指下一趟车的发站不是前一趟车的到站,而且两个站之间相隔比较远。刑嫌人员冒用他人身份证,经常会存在多张身份证交替使用的情况,因此对某张身份证而言,会存在乘车轨迹不连贯的现象。如表4所示,此表为周某民2016年以来的全部购票记录,短时间内集中坐车且轨迹不连贯,6条记录都不连贯,购票者应该交替使用了别人的身份证,经查周某民无前科,则身份证被他人冒用的可能性极大(破案后证实被冒用)。以上四个特征,是笔者根据长期的实名制数据分析经验,结合管内的实际案例总结出来的,各个地方的情况可能不一样,需要注意的是,部分特征是有时效性的,随着我们分析手段的暴露,刑嫌人员反侦查意识的提高,他们在买票的时候就可能尽量减少某些特征的出现,譬如说网上订票、让某张身份证的轨迹尽量连贯,等等。二、盗用他人身份证购票公车对于发生在列车上的旅财案件,当与前科人员碰撞没有结果时,不管是不是有人临时起意作案,都要考虑前科人员冒用他人身份证购票上车作案的可能。对这类案件的研判要分两步走:第一步是分析出案发列车上谁的身份证被冒用了,第二步是分析出被同一个人冒用的更多的身份证,直至轨迹连贯并且在未抓获嫌疑人之前能持续分析以掌握其行踪。(一)分析每旅客的乘车轨迹,并从保证乘车分析发现被冒用的身份证,就是分析某张身份证一段时间内的轨迹从而发现前述四大类特征的过程。通常的做法是:1.导出案发区段前方车站全部上车旅客并提取身份证号码到文本文件。为减少工作量,此步骤还要删除作案可能性极低的数据,譬如卧铺车厢发案,在席位复用的情况下无卧铺可补,嫌疑人在车上补卧铺的概率极低,可以删除座位车厢的数据。如果知道管内刑嫌极少网订车票,则可以优先分析非网订数据。此步骤须注意日期、车次的变化。2.利用第一步的文本文件批量比对过去一段时间的数据(通常是一年),查出每位旅客过去一年内的乘车轨迹。3.分析每位旅客过去一年的乘车轨迹,从中查找冒用他人身份证购票的四个方面的特征,发现冒用的身份证。分析发现案发列车上被他人冒用的身份证时需要注意:(1)数据一定要全。不要试图利用某个局或某几个局的数据去做分析,通常都是用《铁路公安实名制信息综合分析系统》去做,一是利用“车次站站查询”功能,二是利用“批量比对”功能。(2)上述三步并不是固定不变的。我们的最终目的是分析某个人过去一段时间的轨迹并从中发现疑点,如果我们对管内刑嫌人员的作案规律很了解,譬如知道某个区间发了案,嫌疑人一般是从Z站上车,那就可以优先分析Z站上车的旅客。(3)分析出某个冒用的证件后,对未分析完的数据还需要继续分析,以防一趟车上有多人冒用身份证上车作案的情况。(二)删除-删除身份证分析出冒用的身份证后,针对该身份证做临控、跟踪、抓现行即可。为什么还需要继续分析被同一个人冒用的更多的身份证呢?一是因为冒用多张身份证的人是盗窃嫌疑人的可能性更大;二是因为嫌疑人经常丢弃冒用的证件;三是因为把轨迹做连贯了能更多地串并案件。导出被冒用证件过去一年的乘车轨迹到数据文件,根据不同的购票风格删除本人购票,仅保留被冒用的购票记录。接下来如何进一步分析被同一个人冒用的更多证件呢?1.a、c两证件的合并如果A经常与B同行,B又经常与C同行,那么A、C可能是同一个人,如果A、C两人的记录合并后使轨迹变得更连贯且没有无法解释的冲突,则A、C两证件极可能是同一个人在使用。2.真实账户票的异地票断点,是指轨迹不连贯的地方。断点又分为有效断点和无效断点,有效断点是指前后两条记录的乘车时间间隔短,中间缺失的记录只有一条,满足前后两条记录时空要求的数据量较少,研判起来比较简单。无效断点是指前后两条记录的乘车时间间隔长,中间缺失的记录较多,不能通过满足前后两条记录的时空要求去开展研判。有效断点和无效断点之间可以转化。表5是一个真实案例分析到第三个冒用证件时的部分记录,其中2016年4月22日的K775与2016年4月24日的K408之间是一个有效断点,而2016年4月24日的K408与2016年4月30日的Z150之间是一个无效断点,但2016年4月30日这条记录是一张异地票(异地票是指售票站与上车站不是同一个站的车票),自带断点。(1)有效断点分析。分析2016年4月22日的K775与K408之间的断点,应该存在一张车票,满足2016年4月23日7:50(K775到达衡阳的时间)后从衡阳发车,2016年4月24日8:37之前到达广州东(K408是广州东站售)。把所有满足条件的记录查出来后,再逐条导出过去一年的轨迹,分析是否被冒用,如果合并记录后轨迹变得更连贯,则就是我们要找的记录。此断点成功分析出另一张冒用的身份证李某祥。分析2016年4月30日自带断点的异地票,应该存在一张车票,满足2016年4月29日7:18后从长沙发车,2016年4月30日23:11之前到达玉屏,票号可能是J097990或J097992(同一个窗口先后卖出的两张车票票号连续),且符合嫌疑人的购票习惯,发现王某。比较这两个断点,如果嫌疑人2016年4月22日乘坐K775次存在提前下车或延长坐车的情况,则乘车区间变得不固定,分析起来就很困难,而异地票的区间是固定的,所以要优先分析异地票。(2)无效断点分析。无效断点不能利用满足前后两条记录的时空要求去分析,更多的是基于对嫌疑人购票习惯的了解,大胆假设,小心求证,下面以具体案例说明四种不同的分析方法。方法一:利用购票习惯分析某个站一段时间内所售全部车票。表6是从案件分析出的第一张被冒用身份证的部分记录,冒用的记录共22条,但没有一个有效断点,也没有异地票,研判工作一度陷入僵局。从李某祥的22条记录总结嫌疑人的购票规律:非网订,站售,只买卧铺,下车后即买票,当天晚上或次日凌晨乘车。那么根据嫌疑人的购票习惯,嫌疑人2016年5月23日乘T25次从鹰潭上车,2016年5月24日8:42到衡阳后,会立即到衡阳车站窗口买票,导出2016年5月24日8:30到10:00之间所有衡阳车站站售车票,再以非网订、卧铺、2016年5月24日晚上或2016年5月25日凌晨发车为条件过滤数据,对过滤出的数据逐条分析过去一年的轨迹,找到第二张冒用的身份证王某,合并轨迹后确认李某祥、王某的身份证是同一个人在使用。理论上所有下车车站都可以作为一个分析的点,之所以选择衡阳,一是在广州局管辖内,可以导出全部数据;二是衡阳火车站的客流相对较小,分析起来更容易。方法二:根据购票习惯推测到站。表7是逐条选取发站为武昌的部分记录。截至2016年12月10日嫌疑人乘Z5次从郑州到武昌(表中最后一条记录),此案已经做出了8张冒用的身份证,但直到2016年12月27日,这8张身份证都没有再使用过,分析可能是这8张身份证都被弃用了,而此人自2016年4月1日以来的轨迹基本上都做连贯了,联系武昌局调取数据按“方法一”分析也没有发现可疑证件。仔细分析发现嫌疑人到武昌后通常会往两个方向走,往北到郑州站,往南到株洲或长沙站,那么嫌疑人乘Z5次列车于2016年12月11日2:46到达武昌后,按照其乘车习惯,会于当日晚上或次日凌晨乘车前往郑州或者株洲或者长沙。研判策略:查出2016年12月11日或2016年12月12日两天由武昌前往郑州、株洲、长沙三地的全部卧铺票,再根据其购票习惯过滤数据,对过滤出的数据逐条分析过去一年的轨迹。通过这种方法找到了第九张冒用的身份证雷某伟,合并轨迹后确认是同一个人在使用。按“方法一”之所以分析不出,是因为雷某伟这张票是在郑州站买的从武昌到长沙的异地票,武汉局的数据也不包含这条记录。方法三:根据购票习惯推测车次。表8是选取的两段连续记录,其中第二段2016年12月15日至2016年12月17日中间有一个断点,但由于武昌至怀化区间太远,中间应该不止一趟车,因此这不是一个有效断点。比较两段记录,推测嫌疑人2016年12月15日乘Z5次列车到武昌后,会与2016年12月10日乘Z5次列车到达武昌后类似,再乘坐Z77次列车,利用《铁路公安实名制信息综合分析系统》中的“车次站站查询”导出20161216、Z77、武昌上车的全部旅客,再根据嫌疑人购票习惯过滤数据,对过滤出的数据逐条分析过去一年的轨迹,找到第十二张冒用的身份证黄某乐,合并轨迹后确认是同一个人在使用。方法四:根据购票习惯推测换乘站。以“方法三”从2016年12月15日到2016年12月17日的断点为例,该断点还可以这样分析:武昌至怀化区间太远,中间应该不止一趟车,武昌到怀化要经过株洲、长沙,而且这两个站也是嫌疑人经常上下车的车站,那就以这两个站为换乘站去试探,将无效断点转化为有效断点,利用《铁路公安实名制信息综合分析系统》中“站站查询”功能导出数据后再过滤,同样可以将黄某乐分析出来。分析被同一个人冒用的更多的身份证时需要注意:1.《铁路公安实名制信息综合分析系统》当中的“同行乘车人员查询”只能查询同窗口、同车次这种情况下的同行,不足以反映全部的同行情形。2.当有多个点可以开展研判时,要从最简单的点入手,合并进一个新证件的轨迹后,再重新从最简单的点入手分析。3.如何从满足断点时空条件的若干记录中高效地发现我们要找的记录?只能从嫌疑人的购票习惯入手。4.检验新发现的身份证是否被同一个人冒用,方法是合并记录,看轨迹是否变得更连贯。“案件→数据→人”这种模式是IT时代的研判方法,虽然有效,但耗时耗力。在大数据时代,我们有了“一大堆数据”,就可尽量用“大数据”的方法去解决问题。三、旅客身份特征冒用他人身份证可以通过计算发现吗?答案是肯定的,就是让计算机自动分析每张身份证一段时间内的轨迹,从中发现符合冒用身份证购票的特征。计算分两种情况:一是针对“案件→数据→人”模式的第一步,对案发列车全部旅客过去一年的轨迹进行计算,从中发现冒用他人身份证的人。二是建立“数据→人”的分析模型,系统根据冒用他人身份证购票在轨迹上的特征,自动每隔N天对过去2N天的数据进行分析,把全部数据当中可能被冒用的身份证计算出来,进一步合并同一个人冒用的N张身份证的轨迹,直至分析出嫌疑人的真实身份。四、对冒领人身份的分析冒用他人身份证的情况之所以存在,是嫌疑人钻了验证不严的漏洞,是不是进站口加强验证就能杜绝呢?答案是否定的。随着进站验证工作的加强,部分刑嫌人员采取买两张车票的“进阶”模式:用自己的身份证买短途座位进站,用他人的身份证买长途卧铺上车作案。这样就解决了进站时人、证、票不一致的问题,而且发案后根本怀疑不到他。如表9所示,王某芬的身份证被刑嫌人员陈某冒用,两张身份证买的是同一趟车的两张票,这种情况只有一层冒用关系。有些刑嫌人员反侦查意识更强,连用于买短途座位进站的身份证都是冒用的。如表10所示,刑嫌人员许某某冒用沈某勇(男)身份证买短途座位进站,同时冒用刘某地(女)、李某如(女)的身份证购买长途卧铺上车作案,而他自己的身份证两年内只买过4次票。前述两个案例中,座位票、卧铺票是同一趟车,既然座