基于手机数字痕迹的法医活动分类：一种机器学习方法

《Forensic Science International: Digital Investigation》：Forensic activity classification using digital traces from iPhones: A machine learning-based approach

　　

智能手机和智能手表在日常生活中无处不在，为用户行为提供了丰富的信息来源。特别是，从手机内置运动传感器中提取的数字痕迹为法医调查人员提供了了解个人物理活动的机会。在这项工作中，研究人员提出了一种基于机器学习的方法，将数字痕迹转换为不同类型物理活动的似然比（LR）。在包含来自四种不同类型iPhone的数字痕迹（标记有19种活动）的新数据集NFI_FARED上进行评估，发现该方法能够生成有用的LR系统，以区分171种可能活动配对中的167种。同一方法被扩展用于同时分析多种活动（或活动组）的似然，并创建活动时间线，以协助法医调查的早期和后期阶段。该数据集和复制结果所需的所有代码也已公开，以鼓励对该主题的进一步研究。

**论文解读文章**

**研究背景与问题**
智能手机和智能手表已深度融入日常生活，成为通信、导航、支付等功能的必需品。从法医数字取证的角度看，这些设备内置的运动传感器（如加速度计和陀螺仪）产生的原始数据被处理为物理活动的详细信息，并以数字痕迹的形式存储在设备中（van Zandwijk和Boztas，2023）。现有研究已探索利用iPhone的数字痕迹（如步数、距离和楼层记录）来估计用户在特定时间窗口内的活动（van Zandwijk和Boztas，2019，2021；van Zandwijk等，2023）。然而，许多其他可用的数字痕迹变量（如运动状态类型）缺乏自我解释性，但可能包含有助于识别物理活动的额外信息。法医调查中，尤其是作为法庭证据时，需要量化机器学习活动分类的证明强度。构建似然比系统可提供透明、可量化的证据强度度量，并与其他证据结合形成完整情景。目前尚无研究利用数字痕迹来估计变量直接报告之外数量的似然。

**研究内容与结论**
研究人员提出了一种基于机器学习的方法，将数字痕迹转换为物理活动的似然比（LR）。该方法在二元和多元分类场景中均能应用，输出LR或似然值。利用新数据集NFI_FARED（包含11名受试者、4种iPhone型号、19种活动标签），评估显示171种活动配对中有167种可生成有用LR系统（Cllr<1）。进一步，研究人员将方法扩展到多元场景，通过将活动分组（如运动、交通、动态、升降、静止）构建时间线，辅助调查早期和后期阶段。研究还进行了消融实验、变量重要性分析和敏感性分析，证明CatBoost结合逻辑回归校准器表现最佳，且手机型号不匹配可能导致性能下降（Cllr平均增加0.04），但携带位置不影响通用性。

**主要技术方法**
研究人员采用以下关键技术方法：
- **数据采集**：从14名受试者（平均年龄26.6岁）在4种iPhone（6+、7、11、XR）上同时收集数据，执行19种活动（分4个实验环节：运动、升降、法医相关动态、交通）。受试者将手机置于前裤袋、后裤袋、胸袋、背包和手中，位置随机分配。
- **数据处理**：从全文件系统提取中导出`healthdb_secure.sqlite`和`cache_encryptedC.db`数据库文件，合并各表变量（如StepCountHistory、MotionStateHistory、NatalieHistory、samples、quantity_samples），聚合为1分钟间隔，处理缺失值（NA）。
- **机器学习模型**：采用CatBoost（基于梯度提升的树模型）作为评分器，原生处理缺失值和混合类型特征（分类和数值）。
- **校准与LR生成**：使用逻辑回归校准器将评分映射为后验概率，结合先验概率通过贝叶斯规则转换为LR，并应用ELUB边界限制极端值。
- **模型评估**：采用Cllr（对数似然比成本）、PAV图、Tippet图、ECE图评估区分度和校准度。

**研究结果**
**活动配对**：对所有171种活动配对构建二元LR系统，167个系统的Cllr低于1（有用）。平均Cllr最低的活动是跑步和步行（数据丰富），最高（最差）的是动态类活动（拳击、投掷、拖拽），但最差均值（拳击，0.6）仍在有用范围内。Cllr>1的配对包括（火车，有轨电车）、（电梯下，电梯上）、（拳击，踢腿）和（拳击，拖拽），因活动相似性导致混淆。
**消融实验**：CatBoost+逻辑回归校准器组合表现最佳（平均Cllr=0.504，97.7%配对Cllr<1）。随机森林和XGBoost尽管分类准确率更高，但Cllr更差，表明校准对LR系统至关重要。
**变量重要性**：变量`count`（累积步数）和`distance`（距离）对多数活动最重要，而`type`（运动状态类型）对交通活动（火车、有轨电车、公交车）贡献最大。17个变量平均重要性低于最大值的3%，可被移除以减少模型大小。
**敏感性分析**：携带位置分离不显著增加Cllr（p=1.00）；手机型号分离导致Cllr显著增加（p<0.01），平均增加0.04，96%配对增加≤0.15。
**多元LR系统**：将19种活动分为5个语义组（表1：运动、交通、动态、升降、静止），所有组合同步分析。包含两组时C?_mxe（标准化多元交叉熵成本）最低，所有组合均优于参考（最差为所有组，C?_mxe=0.78）。
**时间线**：构建的26分钟模拟时间线（坐→走路→上电车→走路→踢/拳击→逃跑）显示，模型在24/26分钟内正确识别活动组（静止、个人运动、车辆），动态组识别困难且似然低。

**讨论与结论**
**讨论**：本研究首次将数字痕迹用于活动分类（而非验证专有标记准确性），并公开了数据集NFI_FARED。二元场景中，Cllr热力图可作为初始参考，帮助调查者判断数字痕迹是否有助于特定案件。变量重要性分析揭示`type`变量与交通活动的强关联，支持先前发现。敏感性分析表明，携带位置不影响通用性，但手机型号不匹配会轻微降低性能（Cllr平均增加0.04），需定期更新数据集以适配新手机和操作系统。多元场景建议用于调查早期阶段，通过语义分组提高性能。时间线示例展示了应用潜力。实际案例（如纵火嫌疑人的行走路线争议）中，LR可与其他证据结合使用。
**结论**：研究人员探索了智能手机数字痕迹对法医活动分类的益处，提出了一种将数字痕迹转换为LR的简单方法（二元和多元）。这是首次发表利用这些数字痕迹进行活动分类的研究，发现167种活动配对可区分。未来关键步骤是数据收集：NFI_FARED作为首个公开的法医相关iPhone数字痕迹数据集，需要持续更新以保持有效性，并纳入更多受试者和地点以增强模型鲁棒性。