Käyttäytymisanalyysi (pattern-of-life, PoL) on käyttäytymistiedustelun haara, joka muodostaa kohteille käyttäytymisen perusnormit ja havaitsee poikkeamat näistä normeista. ISR-kontekstissa "kohde" voi tarkoittaa yksilöä, ajoneuvoa, kohdetta tai yksikköä — ja "malli" kattaa sen, missä ne liikkuvat, milloin ne viestivät, miten ne liikkuvat ja mitä toimintaa ne harjoittavat. Kun malli muuttuu, se on tutkimisen arvoinen signaali.
Käyttäytymisanalyysi sijoittuu JDL-tasolle 2 — se toimii korreloidulla seurantatiedolla ja tiedusteluraporteilla, ei raakojen sensorien syötteillä. Sen tuotokset ovat poikkeamahälytyksiä ja päivitettyjä kohdeprofiileja, ei uusia seurantajälkiä. Pelkkään seurantajälkien korrelointiin verrattuna se tuo lisäarvona ajallisen tiedustelun: ymmärryksen siitä, missä jokin on, mutta myös siitä, onko sen tämänpäiväinen käyttäytyminen yhdenmukaista edeltävien viikkojen käyttäytymisen kanssa.
ISR-kohteiden käyttäytymisen perustason määrittely
Käyttäytymisanalyysin ensimmäinen ja käsitteellisesti tärkein vaihe on määrittää, miltä "normaali" näyttää tietyn kohteen kohdalla. Ajoneuvon kohdalla normaali voi olla: pysäköi koordinaattiin 4QFJ123456 päivittäin klo 21.00–07.00, kulkee reittiä 5 itään noin klo 08.30 ja saapuu kohteeseen X klo 09.00 mennessä. Viestintäsolmun kohdalla normaali voi olla: lähettää taajuuksilla F1 ja F2 aamu- ja iltaikkunoiden aikana yhdenmukaisella modulaatiolla ja liikennemäärällä.
Perustason mallinnus edellyttää riittävää havaintohistoriaa — useimmissa käyttäytymismalleissa vähintään 7–14 päivän yhtenäistä dataa. Perustaso esitetään tyypillisesti todennäköisyysmallina: kullekin attribuutille (sijainti hetkellä T, viestintätaajuus, kulkunopeus) ylläpidetään tilastollista jakaumaa. Gaussin jakauma mallintaa jatkuvasti vaihtelevia attribuutteja; kategorinen jakauma mallintaa diskreettejä valintoja, kuten reitin valintaa.
Käytännössä kohteiden perustasot tallennetaan kohdeprofiilitietokantaan, jonka skeema on: target_id, observation_attribute, time_window, distribution_parameters, confidence_score, last_updated. confidence_score heijastaa sitä, kuinka paljon dataa perustason rakentamiseen oli käytettävissä — 30 päivän yhtenäiseen havainnointiin perustuva profiili on luotettavampi kuin 3 päivään perustuva.
Käyttäytymisanalyysin tietolähteet
SIGINT-sieppaukset tuottavat rikkaimman PoL-datan viestintäaktiivisille kohteille. Kohde, joka viestii kolmesti päivässä ennustettavan aikataulun mukaisesti käyttäen yhdenmukaisia taajuuksia ja salausparametreja, tuottaa viestintämallin, joka voidaan luonnehtia ja jota voidaan seurata. Taajuus, ajoitus, kesto ja liikennemäärä vaikuttavat kaikki malliin. Odotetun viestinnän puuttuminen on yhtä informatiivista kuin odottamattoman ilmaantuminen — viestintäsolmu, joka hiljenee ajanjaksona, jolloin sen pitäisi olla aktiivinen, on korkean prioriteetin poikkeama.
AIS-alusjäljet ovat erittäin hyödyllisiä merialueen PoL-analyysissä. Kaupalliset alukset noudattavat ennustettavia reittejä satamien välillä yhdenmukaisella ajoituksella. Tankkeri, joka poikkeaa vakiintuneelta reitiltään, hidastaa vauhtia epätavallisessa paikassa tai sammuttaa AIS-transponderinsa, käyttäytyy poikkeavasti. AIS-syöte tarjoaa jatkuvaa sijaintidataa minuuttitason tarkkuudella, mikä mahdollistaa hienojakoisen perustason mallinnuksen merikohteille.
Geomerkityt viestit — viestit ja julkaisut, joihin on upotettu sijaintimetatieto — tuottavat PoL-dataa avoimen lähteen tai harmaan vyöhykkeen toimialueilla toimivista kohteista. Kun kohteen sosiaalisen median julkaisut, viestisovelluksen metatieto tai laitteen RF-emissiot paikantuvat johdonmukaisesti tietylle alueelle, poistuminen tältä alueelta on havaittavissa.
Mobiililaitteiden mallit, jotka johdetaan SIGINT-keruusta — laitetunnisteiden emissiot matkapuhelinverkoista, Wi-Fi-koetinpyynnöt, Bluetooth-mainostukset — tuottavat korkearesoluutioista käyttäytymisdataa yksittäisistä kohteista. Mobiililaite, joka liikkuu samaa reittiä samaan aikaan joka päivä ja siirtyy sitten yhtäkkiä toiseen paikkaan, tuottaa yksiselitteisen PoL-hälytyksen.
HUMINT- ja IMINT-toimintaraportit tuottavat matalataajuisempia mutta korkean luottamustason datapisteitä. Kohde, joka vastaanottaa säännöllisesti ajoneuvotoimituksia tiistaisin ja lakkaa yhtäkkiä vastaanottamasta niitä, tai rakennus, joka näyttää säännöllistä yövaloa ja pimenee, vaikuttaa PoL-profiiliin.
Tekninen toteutus: perustason mallinnus ja poikkeamien havaitseminen
Keskeinen laskennallinen tehtävä on ylläpitää kohteen käyttäytymisen todennäköisyysmallia ja laskea poikkeamapisteet uusille havainnoille. Vakiolähestymistavassa käytetään liukuvan ikkunan perustasoa: malli koulutetaan viimeisimpien N päivän havainnoilla niin, että vanhemman datan painoarvo pienenee. Tämä antaa mallin sopeutua oikeutettuihin käyttäytymismuutoksiin (yksikkö siirtyy uudelle toiminta-alueelle) ja samalla havaita äkilliset poikkeamat vakiintuneista malleista.
Jatkuville attribuuteille (sijaintikoordinaatit, signaalitaajuus) käytetään yleisesti monimuuttujaista Gaussin mallia. Uuden havainnon poikkeamapiste on Mahalanobis-etäisyys mallin keskiarvosta — dimensioton mittari siitä, kuinka monen keskihajonnan päässä havainto on odotetusta arvosta. Mahalanobis-etäisyys, joka ylittää viritetyn kynnyksen, laukaisee hälytyksen.
Aikasarja-attribuuteille (viestinnän ajoitus, toiminta-ikkunat) Fourier-analyysi tunnistaa perustasosta jaksolliset komponentit, ja poikkeamien havaitsemista sovelletaan poikkeamiin odotetusta jaksollisesta mallista. Kohde, jolla on 24 tunnin toimintajakso ja joka siirtää aktiivista ikkunaansa yhtäkkiä 6 tunnilla, on havaittavissa vaihesiirtymänä hallitsevassa Fourier-komponentissa.
Diskreeteille attribuuteille (reitin valinta, vierailtu kohde) Dirichlet-priorilla varustetut kategoriset jakaumat tuottavat Bayesilaisia poikkeamapisteitä. Kohde, joka on käyttänyt reittiä A 95 %:ssa historiallisista havainnoista ja käyttää yhtäkkiä reittiä C, tuottaa korkean poikkeamapisteen, vaikka reitti C olisi maantieteellisesti lähellä.
Väärien hälytysten hallinta ja analyytikon sisältävät työnkulut
PoL-järjestelmät tuottavat suuria määriä hälytyksiä — joista monet eivät ole operatiivisesti merkittäviä. Ajoneuvo poikkeaa odotetulta reitiltään tien sulkemisen vuoksi; viestintäsolmu hiljenee, koska operaattori on lomalla; kohde muuttaa toimitusaikatauluaan. Ilman analyytikon arviointia PoL-hälytykset hukuttaisivat tiedustelutyönkulun.
Vakiolähestymistapa on kaksivaiheinen työnkulku: automaattinen poikkeamapisteytys tuottaa poikkeamapisteiden mukaan järjestetyn ehdokashälytysjonon. Analyytikko tarkastaa korkeimman pisteen hälytykset ja merkitsee ne joko "operatiivisesti merkittäviksi", "selitetyiksi" tai "vääriksi hälytyksiksi". Analyytikon päätökset palautuvat malliin: tietyn hälytystyypin toistuva hylkääminen analyytikon toimesta laukaisee kyseisen hälytyksen kynnyksen uudelleenkalibroinnin.
Hälytysfuusio — saman kohteen korreloituneiden hälytysten ryhmittely useista tietolähteistä — on välttämätöntä hälytystulvan estämiseksi. Jos kohteen ajoneuvojälki, viestintämalli ja kohteen toiminta tuottavat kaikki samanaikaisia poikkeamia, nämä tulisi esittää yhtenä korreloituneena hälytyksenä, jolla on korkeampi yhdistetty luottamuspiste, eikä kolmena erillisenä hälytyksenä.
Keskeinen oivallus: Hyödyllisimmät PoL-hälytykset eivät ole yksittäisen lähteen poikkeamia — ne ovat monilähteisiä korreloituneita poikkeamia. Pelkällä ajoneuvojäljen poikkeamalla on monia viattomia selityksiä. Ajoneuvojäljen poikkeama, joka korreloi samanaikaisesti viestintähiljaisuuden ja kohteen toiminnan muutoksen kanssa, on paljon vahvempi osoitus tarkoituksellisesta käyttäytymismuutoksesta.
Yksityisyyttä ja lainsäädäntöä koskevat rajoitteet koalitio-operaatioissa
Siviiliväestöön kohdistuva PoL-analyysi aiheuttaa merkittäviä oikeudellisia rajoitteita, erityisesti koalitio-operaatioissa, joissa eri osallistuvilla mailla on erilaiset tiedustelutiedon keruuta ja säilyttämistä koskevat oikeudelliset kehykset. Keskeiset rajoitteet ovat datan minimointi (kerätään vain analyyttiseen tehtävään tarvittavat attribuutit), käyttötarkoituksen rajoittaminen (yhteen analyyttiseen tarkoitukseen kerättyä dataa ei saa käyttää uudelleen ilman valtuutusta) ja säilytysrajoitteet (henkilötiedoista rakennetut käyttäytymisen perustasot on poistettava määriteltyjen säilytysaikojen jälkeen).
Ohjelmistollisesti nämä rajoitteet edellyttävät luokittelu- ja käsittelymerkintöjä kohdeprofiileissa, automaattisia poistokäytäntöjä tietokantakerroksessa sekä auditointilokia kaikesta analyytikon pääsystä yksittäisten kohteiden dataan. Koalitiokäyttöön suunniteltujen järjestelmien on toteutettava konfiguroitavat käsittelysäännöt, jotka voivat panna täytäntöön mihin tahansa annettuun tietojoukkoon sovellettavan tiukimman kansallisen käytännön.