基于顯露模式挖掘的反恐情報分類對比分析

摘 要：[目的/意義]利用顯露模式挖掘對不同類別的涉恐情報數據集進行分析，可以發現那些對反恐工作有參考價值的差異信息。[方法/過程]根據反恐工作的需求和顯露模式的特點，通過修改經典方法中的數據預處理、目標事務集生成、最大邊界壓縮、非交集屬性特征分離等步驟，使其更適用于反恐情報的快速分析。[結果/結論]在頻繁項集挖掘的基礎上，顯露模式可以發現一些反恐情報的多組屬性聚合規律用于分類，更快速的為反恐預警提供數據參考。

關鍵詞：反恐情報;數據挖掘;顯露模式;邊界

DOI：10.3969/j.issn.1008-0821.2020.05.004

〔中圖分類號〕G259;D631 〔文獻標識碼〕A 〔文章編號〕1008-0821（2020）05-0027-06

Research on Contrastive Classification of Counter Terrorism

Intelligence Based on Application of Emerging Pattern

Li Yongnan

（Peoples Public Security University of China，Beijing 100038，China）

Abstract：[Purpose/Significance]It offered valuable intelligence with remarkable difference for counter terrorism to analyze terror related data sets in different categories using emerging pattern mining.[Method/Process]According to the needs and characteristics of data mining system of counter terrorism，several steps in the classical method were modified such as data preprocessing，generation of objective transactions，compression of Largeborder and stripping attributes of non-intersection，so as to make it more adaptable to the needs of intelligence analysis.[Result/Conclusion]On the basis of mining frequent itemsets，emerging pattern could find the merging rules of multiple attributes to provide data references for early warning of counter terrorism.

Key words：counter terrorism intelligence;data mining;emerging pattern;border

近年來，受到暴力恐怖勢力、民族分裂勢力、宗教極端勢力等“三股勢力”影響，我國發生了多起暴力恐怖襲擊事件，造成了一定的社會影響，對國家安全風險防范能力提出了挑戰。為有效打擊恐怖主義活動，我國自2016年1月1日起施行《中華人民共和國反恐怖主義法》[1]。充分發揮情報的引領作用是提升反恐工作能力的重要環節[2]。大數據時代的到來使得各種犯罪的打擊模式發生了巨大變化，利用大數據技術挖掘涉恐情報信息，進而實現全景反恐和預測反恐是時代的必然選擇。

利用數據挖掘技術對海量涉恐數據進行分析，發現涉恐情報信息服務于反恐預警，優化反恐資源配置已經是一種較為普遍的反恐手段[3]。在反恐數據挖掘中，反恐情報分類分析是其中一種重要的方法類別。較為常用的分類方法包括決策樹分類、樸素貝葉斯分類、神經網絡分類、K-近鄰分類、基于關聯規則的分類、支持向量機分類等。此外，有一類用于發現不同數據集規律變化的模式挖掘方法即顯露模式挖掘也可以用于數據集分類。每一種分類方法都有其較為適用的樣本集和應用場景，它們彼此之間可以相互補充和借鑒。

目前，國內外已經有了一些利用決策樹、貝葉斯以及神經網絡等方法研究反恐情報分類的研究，但是還沒有發現研究顯露模式在反恐情報分析中應用的文獻。在中國知網、萬方等中文文獻數據庫中，以“顯露模式”和“反恐”為關鍵詞檢索發現沒有相關的文獻。在谷歌學術搜索中，以“Emerging Pattern”和“Counter Terrorism”為關鍵詞檢索，包含關鍵詞的只有2篇文獻，分別是關于自適應復雜網絡分析[4]和反恐預測模型[5]方向。在這兩篇文獻中，“Emerging Pattern”是表示“恐怖活動的傷亡率在上升”或“一種未出現的模型”，與本文的定義并不相同。而關于反恐情報分類分析的文獻主要包括基于余弦距離的分類[6]、決策樹分類[7]、貝葉斯分類[8-9]、支持向量機分類[10]、神經網絡分類[11]等。利用顯露模式對反恐情報進行分析，可以聚合多個模式同時考慮多組屬性進行分類，提高分類的準確率，是對反恐情報分類分析的一種有益的補充。本文將根據我國反恐情報數據的特點研究顯露模式挖掘在反恐情報分析中的應用。

1 顯露模式挖掘

1.1 對比模式和顯露模式簡介

對比模式是指“能夠描述兩類或多類樣本中的對比信息”，主要用于識別不同類別樣本數據集中的數據特征[12]。對比模式挖掘是指在一定的約束條件下發現這些對比特征的過程，發現的特征用模式表示[13]。對比模式挖掘目前主要用于電力供應預測分析、基因組檢測分析、網絡社區分析、文本和圖像分類以及商業領域的購物籃商品頻繁項集對比分析。

常用的對比模式挖掘方法包括顯露模式挖掘[14]、最小區分子序列挖掘[15]、具有間隙約束的序列模式挖掘[16]、帶有間隔約束的Top-k對比模式挖掘[17]等。其中顯露模式是最基礎也是最常用的一種對比模式。顯露模式的支持度在不同數據集分類之間有明顯差異，經常與其他的挖掘方法組合進行集成挖掘。這種模式能夠發現不同數據集之間的支持度顯著變化，很好的實現多組屬性之間的分類效果。因其具有良好的區分能力，同時較容易在線性時間內被挖掘出來[18]，非常適合捕捉目標類和非目標類上多組屬性的差異，尤其適合“布爾型”數據的分類。例如區分一組人員“是”或“不是”涉恐人員，所以顯露模式的挖掘方法對反恐情報分析非常有借鑒意義。本文將研究顯露模式挖掘在反恐情報分析中的應用。

1.2 顯露模式的基本概念

顯露模式是指那些從數據集D′到數據集D的支持度發生很大變化的項集X，X可以捕捉到目標類以及非目標類在多個屬性之間的區別。本文用到的關于顯露模式的基本概念如下[19]：

1）支持度：表示項集X在樣本數據集中的計數與總樣本計數的比值，本文中主要用到項集X在類C中的支持度，形如Supc（X）=Countc（X）|C|，支持度可以表示顯露模式在對應數據集中的覆蓋范圍。

2）增長率：用來描述兩個數據集D′和D支持度的差異，形如GR（X，D′，D）。其定義有3種不同的情況：當SupD′（X）=SupD（X）=0時，GR（X，D′，D）=0;當SupD′（X）=0且SupD（X）≠0，GR（X，D′，D）=∞;否則，GR（X，D′，D）=SupD（X）/SupD′（X）。增長率能夠表示項集X支持度改變的程度，可以反映出顯露模式的區分能力。

3）增長率閾值：定義為ρ>1，用于篩選顯露模式。

4）顯露模式：如果項集X從數據集D′到D的增長率GR（X，D′，D）≥ρ，則稱X是從數據集D′到D的顯露模式，能夠有效捕捉數據集之間的顯著差異。

5）邊界Border：形如〈L，R〉，符號L和R都是項集的集合，其中集合L表示左邊界，集合R表示右邊界，左邊界集合L中的所有元素是右邊界集合R中元素的子集，R中的元素是L中元素的超集。邊界的概念是用于在挖掘流程中表示集合的最小和最大集合構成的區間，顯然每一個樣本數據集都可以表示為邊界的形式，L為最短項集集合，R為最長項集集合。

6）最大邊界LargeBorder：給定一個正數α，所有支持度大于或者等于α的項集的集合表示為Largeα（X），Largeα（X）的邊界即為最大邊界LargeBorderα（X），其左邊界集合為空集，右邊界集合為最長模式集。這一概念在顯露模式挖掘中作為參數使用。

1.3 顯露模式挖掘經典方法的流程

顯露模式挖掘的經典方法是使用HORIZON-MINER方法和MBD_LLBORDER方法組合來發現顯露模式，其基本流程可描述如下[20]：

1）收集基礎樣本數據集，完成數據預處理，并將連續屬性進行離散化處理，得到兩組數據分別可以對應某個二元屬性的類別，例如顯露模式挖掘中的經典例子“毒蘑菇類”和“可食用蘑菇類”。

2）輸入支持度的閾值參數θ<1，增長率閾值參數ρ>1，計算另一個支持度閾值參數δ=θ/ρ。

3）根據支持度閾值篩選得到兩組事務集T={T1，T2，…，Tn}和S={S1，S2，…，Sm}。

4）利用HORIZON-MINER方法分別得到兩組樣本集的最大邊界LargeBorderθ（T）和LargeBorderθ（S）。

5）將以上兩個最大邊界參數作為輸入參數利用MBD_LLBORDER方法找出所有在T中支持度大于或者等于閾值θ，且在S中支持度小于或者等于δ的項集集合，輸出一組邊界〈Li，Ri〉（i=1，…，k）即為滿足條件（增長率大于ρ）的顯露模式集合。在MBD_LLBORDER的執行過程中需要循環調用BORDER-DIFF方法來獲取目標事務集和非目標事務集的笛卡爾積。

6）輸出這組邊界的集合即為顯露模式集作為分類區分標準。

2 反恐情報中的顯露模式挖掘分析

2.1 反恐情報分析中對顯露模式經典方法的修改

顯露模式應用于反恐情報分析，本質上是在樣本數據集中找出一組屬性特征值組合，可以在增量數據中發現明顯的涉恐人員數據，或者排除明顯的非涉恐人員數據。為了提高篩選重點人員的效率，宜采用快速找出涉恐人員的方式，即將涉恐人員數據作為目標類，非涉恐人員數據作為非目標類。對于經典方法的修改主要體現在第一、三、四、五步。

1）第一步數據預處理的修改。在實際的反恐情報分析工作中，已經可以根據統計方法或者其他數據挖掘方法掌握一些非常明顯的涉恐屬性特征，這些涉恐屬性特征可以直接作為已知量用于篩選數據，這樣可以大量壓縮無關數據，提高反恐情報分析的效率。例如，根據國家網信辦2014年的報告，我國的恐怖分子幾乎都觀看或收聽過暴恐音頻及視頻[21]。因此，在數據預處理時，所有的數據都可以利用已知的這類屬性特征進一步壓縮樣本事務集，提高分析效率。在《識別宗教極端活動（75種具體表現）基礎知識》[22]、兩高兩部于2018年5月印發的《關于辦理恐怖活動和極端主義犯罪案件適用法律若干問題的意見》、2018年10月9日發布的“新疆維吾爾自治區實施《中華人民共和國反恐怖主義法》辦法”[23]、2019年3月發布的《新疆的反恐、去極端化斗爭與人權保障》白皮書[24]等文獻中還包含了大量的這類已知屬性特征可以用于壓縮數據量。此外，這些已知涉恐特征項還可以用于在第五步中分離目標類和非目標類的非交集特征數據。

2）第三步目標事務集生成的修改。反恐情報的數據挖掘分析是一個綜合的方法體系，各種方法互為補充才能覆蓋更多的情報信息，其中的關聯分析中包括頻繁項集挖掘、強關聯規則挖掘、頻繁子圖挖掘[25]、頻繁序列模式挖掘、頻繁軌跡模式挖掘等。海量數據中的涉恐人員特征是相對固定的，顯露模式挖掘可以在頻繁項集挖掘的基礎上進行，即第三步在生成涉恐人員組別的頻繁項集時，直接引用已知的多種高支持度頻繁項集作為目標類別事務集，提高反恐情報分析的效率，高支持度（例如可取閾值β>90%）的頻繁項集則可以在關聯分析時利用頻繁模式樹[26]或者先驗原理[27]獲得。考慮第四步分析過程的便利，在原始涉恐數據獲取高支持度頻繁項集時宜采用先驗原理。

3）第四步中目標事務集最大邊界LargeBorder挖掘的修改。在第四步HORIZON-MINER方法的最大邊界LargeBorder挖掘中，其要實現的功能就是將事務集中所有是其他項集子集的項集刪除掉，只保留全部的最大項集，產生最大邊界LargeBorder的右邊界集合。在利用先驗原理挖掘涉恐活動特征頻繁項集的過程中，所有的（k+1）-項集（k>0）都是由兩個k-項集合并得到的，為了顯露模式挖掘的便利性，可以在這一步直接單獨存儲一組LargeBorder項集集合，即每生成一個頻繁（k+1）-項集，則將其對應的頻繁k-項集從LargeBorder項集集合中刪除，這樣僅在關聯分析時增加了很小的存儲開銷，第四步中只需要對非涉恐人員的事務集進行最大邊界LargeBorder挖掘。

4）第五步中挖掘顯露模式方式的修改。在循環調用BORDER-DIFF時，需要不斷計算目標事務集和非目標事務集的笛卡爾積，不同于一般的顯露模式挖掘過程，在反恐情報分析中涉恐人員數據和非涉恐人員數據的屬性特征只在一部分特征上會有交集，而另一部分特征是幾乎沒有交集的。無交集的特征例如涉恐人員穿極端化服飾，非涉恐人員不穿極端化服飾;有交集的特征例如身高、收入、職業等屬性的不同值。因此可以根據反恐情報分析的經驗，提前將一部分無交集的屬性特征分離出來，進一步減少數據量，在使用MBD_LLBORDER方法挖掘顯露模式的過程中只考慮那些可能有交集的屬性特征。而那些非交集屬性特征是我們已掌握的先驗知識，無需再通過顯露模式挖掘來獲取。

2.2 基于顯露模式挖掘的反恐情報對比分析流程

綜上所述，如圖1所示，本文設計的反恐情報分析中的顯露模式挖掘流程如下：

1）收集涉恐基礎數據集，除了完成常規的數據預處理[28]，還利用一些已知統計數據或者相關文獻中的確定性屬性特征進一步壓縮數據量，最后將這些數據集分為涉恐人員數據和非涉恐人員數據兩組。

2）設定頻繁項集支持度的閾值參數θ<1（要求滿足小于已知涉恐人員事務集的高支持度閾值β），增長率閾值參數ρ>1，計算另一個閾值參數δ=θ/ρ。

圖1 基于顯露模式挖掘的反恐情報對比分析流程

3）涉恐人員的事務集T={T1，T2，…，Tn}為已知量直接在完成頻繁項集挖掘分析后從數據庫中提取，而非涉恐人員的事務集S={S1，S2，…，Sm}則以δ=θ/ρ為最小支持度閾值為條件專門進行一輪挖掘提取。

4）LargeBorderθ（T）為已知量，利用HORIZON-MINER方法分別得到非涉恐人員的最大邊界項集集合LargeBorderθ（S）。

5）分離目標事務集和非目標事務集中的非交集屬性。將分離后的兩個最大邊界T′和S′作為輸入參數利用MBD_LLBORDER方法找出所有在T′中支持度大于或者等于閾值θ，且在S′中支持度小于或者等于δ的項集集合。MBD_LLBORDER方法輸出最后的一組邊界〈L′i，R′i〉（i=1，…，k）即為滿足條件的顯露模式集合。

6）輸出這組邊界的集合即為顯露模式集作為反恐情報分類區分標準。

3 反恐情報中的顯露模式挖掘示例

本文的主要貢獻在于修改了顯露模式挖掘經典方法中的數據預處理、目標事務集生成、最大邊界壓縮、非交集屬性特征分離等步驟。其中數據預處理主要利用先驗知識壓縮數據，較為簡單無需進一步描述，本節將以示例詳細描述其他修改的步驟。對于其他未修改步驟感興趣的讀者可參閱本文引用的相關文獻。

3.1 第三步目標事務集的獲取及第四步最大邊界壓縮示例

在反恐情報的關聯分析中，以大于顯露模式挖掘目標事務集支持度閾值θ的一個較高的閾值β為參數，利用先驗原理挖掘目標事務集。在挖掘過程中，直接利用其特點獲取所有滿足條件的最大邊界LargeBorder，則第四步只需考慮非目標事務集的最大邊界LargeBorder即可。

筆者在前期工作中已經研究了利用先驗原理進行反恐情報頻繁項集挖掘的詳細流程[27]，本節僅說明如何通過這一過程直接獲取涉恐人員事務集最大邊界LargeBorder的結果。在生成頻繁項集集合的過程中，維護一個涉恐人員事務集最大邊界LargeBorder右界集合。以生成頻繁4-項集為例，必須由兩個滿足條件的頻繁3-項集生成，且這兩個頻繁3-項集的前兩個項必須相同。例如頻繁3-項集{觀看暴恐視頻，私制炸藥，囤積刀具}和{觀看暴恐視頻，私制炸藥，囤積高壓鍋}，合并后為候選4-項集{觀看暴恐視頻，私制炸藥，囤積刀具，囤積高壓鍋}，如果該候選4-項集不滿足條件則刪除，最大邊界LargeBorder右界集合不變;如果滿足條件則其為頻繁4-項集，此時在最大邊界LargeBorder右界集合中僅保留該頻繁4-項集，生成它的兩個頻繁3-項集屬于其子集從右界集合中刪除。

理論上講，非目標事務集即非涉恐人員事務集也可以通過這種方式獲取最大邊界LargeBorder的結果。但是在其他反恐情報關聯分析中，一般無需挖掘非涉恐人員數據的頻繁項集，顯然無法在其他反恐情報挖掘分析方法的基礎上直接獲取基礎數據，因此仍然按照顯露模式經典方法中的流程進行。

3.2 第五步MBD_LLBORDER方法交集參數的分離示例

如前文所述，根據反恐情報分析的經驗已知涉恐人員與非涉恐人員數據之間有部分特征是幾乎沒有交集的，為減少MBD_LLBORDER方法的開銷，這部分無交集數據直接不輸入MBD_LLBORDER方法參與運算。在挖掘出的顯露模式集合中，也只需要我們之前不知道的屬性特征集組合作為其他分類方法的補充。例如，目標事務集即涉恐人員事務集T的右邊界集合為{T1{使用極端化標志飾品，觀看極端化書籍，職業為小商販，教育程度為高中}，T2{使用極端化標志飾品，教育程度為高中，中產階級，青年}，T3{使用極端化標志飾品，觀看極端化書籍，身高偏高，城市居民，購買管制刀具}};而非涉恐人員事務集S的右邊界集合為{S1{中產階級，名下有機動車，抵制暴恐音視頻，無神論者}，S2{身高偏高，購買管制刀具，抵制暴恐音視頻，無神論者}}。已知“使用極端化標志飾品”、“觀看極端化書籍”為涉恐人員專有的屬性特征，“抵制暴恐音視頻”、“無神論者”為非涉恐人員專有的屬性特征。則在第五步開始前，首先將這些專有屬性特征即非交集屬性特征分離，目標事務集T′右邊界集合為{T′1{職業為小商販，教育程度為高中}，T′2{教育程度為高中，中產階級，青年}，T′3{身高偏高，城市居民，購買管制刀具}};非目標人員事務集S′右邊界集合為{S′1{中產階級，名下有機動車}，S′2{身高偏高，購買管制刀具}}。

3.3 分離非交集特征后的顯露模式分類示例

在獲取顯露模式后，即可直接利用相關事務集對增量數據進行分類。類似決策樹分類、樸素貝葉斯分類、最近鄰分類等方法在反恐情報分類建模完成后，對增量人員數據進行分類時仍然需要多個步驟的對比或者計算，而使用顯露模式則可以直接利用顯露模式一步式判斷是否屬于目標類。例如，如果挖掘出的事務集X{購買管制刀具，身高偏高，體重偏重}滿足顯露模式的條件，雖然其中沒有包含那些已知的明顯涉恐的項，但是根據挖掘結果，只要某條待分類的增量人員數據實例中包含該顯露模式X，則仍然可以判斷這名人員有很大可能屬于涉恐人員。

4 結 語

本文研究了顯露模式挖掘在反恐情報分類對比分析中的應用。顯露模式可以發現那些兩組對立數據集（即某一布爾型屬性值相異的兩組數據集）之間支持度變化比較大的項集，這些項集的集合非常有利于涉恐情報數據的分類，可以建立比較精確的分類器，進而根據分類結果優化反恐資源配置，提高反恐工作的針對性和成效。本文根據我國反恐情報數據的特點，對經典顯露模式挖掘方法中的數據預處理、目標事務集生成、最大邊界壓縮、非交集屬性特征分離等步驟進行了修改，使其更適用于反恐情報數據的對比分析，該方法與筆者前期研究的其他反恐情報分類方法可以相互補充，期望本文的工作可以為反恐情報海量數據的分類分析提供一定的參考。

參考文獻

[1]中華人民共和國反恐怖主義法[N].人民日報， 2015-12-28，（7）.

[2]張曉多.廉長剛——以情報主導反恐 提升反恐處突實戰水平[J].警察技術，2016，（6）：22-24.

[3]莫豪文.數據挖掘方法在反恐預警中的應用[D].北京：北京工業大學，2017.

[4]Fellman P V，Wright R.Modeling Terrorist Networks，Complex Systems at the Mid-range[J].arXiv Preprint arXiv：1405.6989，2014.

[5]Lazaroff M，Snowden D.Anticipatory Models for Counter-Terrorism[M].Emergent Information Technologies and Enabling Policies for Counter-Terrorism，2005：51-73.

[6]郭璇，吳文輝，肖治庭，等.基于深度學習和公開來源信息的反恐情報挖掘[J].情報理論與實踐，2017，40（9）：135-139.

[7]李勇男.信息增益決策樹在反恐情報分析中的應用研究[J].情報科學，2018，36（4）：80-84.

[8]Singh S，Verma S，Tiwari A，et al.A Novel Way to Classify Passenger Data Using Nave Bayes Algorithm（A Real Time Anti-terrorism Approach）[C]//Next Generation Computing Technologies（NGCT），2016 2nd International Conference on.IEEE，2016：312-316.

[9]李勇男.貝葉斯理論在反恐情報分類分析中的應用研究[J].數據分析與知識發現，2018，2（10）：9-14.

[10]Agarwal S，Sureka A.Using Knn and Svm Based One-class Classifier for Detecting Online Radicalization on Twitter[C]//International Conference on Distributed Computing and Internet Technology.Springer，Cham，2015：431-442.

[11]Ahmadi N，Akbarizadeh G.Hybrid Robust Iris Recognition Approach Using Iris Image Pre-processing，Two-dimensional Gabor Features and Multi-layer Perceptron Neural Network/PSO[J].IET Biometrics，2017，7（2）：153-162.

[12]魏芹雙.對比模式挖掘研究進展[J].網絡安全技術與應用，2017，（1）：44，46.

[13]李安亞，王少妮.對比模式挖掘研究進展[J].科研信息化技術與應用，2017，8（5）：66-73.

[14]段磊，唐常杰，楊寧，等.基于顯露模式的對比挖掘研究及應用進展[J].計算機應用，2012，32（2）：304-308.

[15]Ji X，Bailey J，Dong G.Mining Minimal Distinguishing Subsequence Patterns with Gap Constraints[J].Knowledge & Information Systems，2007，11（3）：259-286.

[16]Wang X，Duan L，Dong G，et al.Efficient Mining of Density-Aware Distinguishing Sequential Patterns with Gap Constraints[J].2014，8421：372-387.

[17]楊皓，段磊，胡斌，等.帶間隔約束的Top-k對比序列模式挖掘[J].軟件學報，2015，26（11）：2994-3009.

[18]張麗.基于Boosting技術的顯露模式集成分類算法[D].長沙：湖南大學，2011.

[19]張維.共享顯露模式的挖掘算法研究[D].長沙：湖南大學，2013.

[20]魏芳.基本顯露模式的挖掘算法[D].鄭州：鄭州大學，2005.

[21]李休休.社交媒體上的恐怖活動研究[D].上海：華東政法大學，2016.

[22]新疆統一戰線.識別宗教極端活動（75種具體表現）基礎知識[EB/OL].http：//www.xjtzb.gov.cn/2017-06/19/c_1121167461.htm，2019-03-18.

[23]新疆維吾爾自治區實施《中華人民共和國反恐怖主義法》辦法[N].新疆日報（漢），2018-10-10，（5）.

[24]《新疆的反恐、去極端化斗爭與人權保障》白皮書[J].中國宗教，2019，（3）：12-19.

[25]李勇男.基于子圖模式的反恐情報關聯圖集分析[J].現代情報，2019，39（7）：37-43.

[26]李勇男，梅建明.基于頻繁模式樹的涉恐情報關聯分析[J].情報科學，2017，35（9）：141-145，152.

[27]李勇男，梅建明.先驗原理在涉恐情報分析中的應用研究[J].情報雜志，2017，36（8）：23-26.

[28]李勇男，梅建明，秦廣軍.反恐情報分析中的數據預處理研究[J].情報科學，2017，35（11）：103-107，113.

（責任編輯：陳 媛）