HTS Analizi: Adli Bilişim Perspektifinden Trafik, Cihaz, Zaman, Konum ve İlişki Verilerinin İncelenmesi

HTS/CDR verisi tek başına "kim, nerede, ne yaptı?" sorusuna kesin cevap veren bir kayıt değildir. Kaynağı, üretim biçimi, zaman ve konum belirsizliği, cihaz-hat ayrımı, iletişim grafiği ve hukuki bağlamı birlikte değerlendirilmesi gereken bir adli bilişim veri kümesidir.

Ünite 1: HTS Temelleri, Delil Yönetimi ve Veri Hazırlama

HTS incelemesine başlamadan önce veri kaynağı, zaman dilimi, saat farkı, kayıt türü ve kayıtların hangi olayları temsil ettiği tanımlanır. Aynı iletişim olayının farklı kayıtlarla temsil edilmesi ihtimaline karşı kimlik ve eşleştirme kuralları belirlenir. Veri temizleme sırasında eksik veya belirsiz alanlar yeni kesinlik üretilerek doldurulmamalıdır. Kaynaktan türetilen her analiz tablosunun dönüşüm adımları geriye izlenebilir tutulduğunda bulgunun yeniden üretilmesi mümkün olur.

1.1. Giriş

HTS analizi, yüzlerce veya milyonlarca satırlık telefon trafik kaydını Excel üzerinde filtrelemekten ibaret değildir. Asıl problem, elektronik haberleşme sisteminin farklı katmanlarında üretilmiş kayıtların hangi olayı temsil ettiğini, hangi olayı temsil etmediğini, birbirleriyle nasıl ilişkilendirilebileceğini ve bu ilişkiden ne ölçüde sonuç çıkarılabileceğini belirlemektir.

Adli bilişim uzmanı açısından temel ayrımlar şunlardır:

Kaynak kayıt ≠ yorum
Baz kaydı ≠ kesin konum
Abonelik ≠ fiilî kullanıcı
IMEI ≠ kişi
İletişim sayısı ≠ ilişkinin niteliği
Korelasyon ≠ nedensellik
Algoritmik aday ≠ adli sonuç

NIST yaklaşımında dijital adli inceleme yalnız verinin çözümlenmesinden ibaret değildir; edinim sürecinin belgelenmesi, bütünlüğün korunması, delil muhafaza zinciri, doğrulama ve sonucun yeniden üretilebilmesi de yöntemin parçalarıdır. ISO/IEC 27037 potansiyel dijital delilin elde edilmesi ve korunmasına, ISO/IEC 27042 ise analiz ve yorum süreçlerinin geçerlilik ve tekrarlanabilirlik koşullarına odaklanır.[17], [14], [21]

Benim adli bilişim yaklaşımımda HTS incelemesi dört katmana ayrılır:

ÖZGÜN KAYNAK
     ↓
DETERMİNİSTİK / İZLENEBİLİR DÖNÜŞÜM
     ↓
ALGORİTMİK ÇIKARIM / ADAY ÜRETİMİ
     ↓
UZMAN DEĞERLENDİRMESİ

Bir numaranın kaynak dosyadaki değeri birinci katmandadır. +90 5xx... ile 05xx... gösterimlerini aynı kanonik numaraya dönüştürmek ikinci katmandadır. İki hattın iletişim kümelerinin Jaccard benzerliğini hesaplamak üçüncü katmandadır. Bunun soruşturma bağlamındaki anlamını değerlendirmek dördüncü katmandadır.

Bu katmanların birbirine karıştırılmaması HTS analizinin temel ilkesidir: verinin söylediğinden fazlasını söylememek; söylediği şeyi de kaybetmemek.

1.2. HTS, CDR ve Trafik Verisi

Türkiye'de uygulamada HTS ifadesi çoğunlukla Geçmiş Trafik Sorgulama kayıtlarını anlatır. Uluslararası teknik literatürde daha genel kavram Call Detail Record (CDR) ve trafik/charging kayıtlarıdır.

3GPP TS 32.298, Charging Data Record parametrelerini telekomünikasyon yönetimi ve ücretlendirme mimarisi içinde tanımlar; TS 32.297 CDR dosya biçimi ve aktarımıyla ilgilidir.[28], [27] Adli makama gelen operatör çıktısı standardın bütün alanlarını içermek zorunda değildir. SWGDE, operatör kayıtlarının biçimlerinin farklılaşabildiğini; tarih-saat, kaynak/hedef numara, süre ve hücre/sektör gibi temel alanların ise yaygın olduğunu ve operatörün kayıt açıklama anahtarının yorum bakımından önemli olduğunu belirtir.[7]

Avrupa ePrivacy Direktifi, haberleşmenin taşınması ve ücretlendirilmesi sırasında işlenen üstveriyi trafik verisi kapsamında ele alır. Yönlendirme, zaman, süre, hacim ve bağlantının kurulması ya da sona ermesi gibi şebeke bilgileri bu kapsamda bulunabilir; konum verisi ise terminalin coğrafi konumuna ilişkin şebeke bilgisini ifade eder.[1]

HTS esas olarak üstveridır. Çoğu durumda:

• hangi numara,
• hangi numarayla,
• ne zaman,
• hangi yönde,
• ne kadar süre,
• hangi cihaz kimliğiyle,
• hangi hücre/baz bağlamında,
• hangi iletişim türüyle

etkileşim kurmuştur sorularına veri sağlar. Konuşmanın veya mesajın içeriğini HTS kaydından çıkarmak ise başka bir iddiadır ve standart trafik kaydıyla karıştırılmamalıdır.

1.3. Kişi, Hat, SIM ve Cihaz Kimliklerinin Ayrımı

1.3.1. MSISDN

Telefon numarası analiz grafiğinin en görünür düğümüdür; fakat doğrudan kişi değildir. Hat başka biri tarafından kullanılabilir, kurumsal olabilir, aile içinde paylaşılabilir veya abonelik sahibi ile fiilî kullanıcı farklı olabilir.

Bu nedenle:

subscriber(number) = X

ile

user(number, t) = X

aynı önerme değildir.

1.3.2. IMSI

IMSI mobil aboneliği/SIM'i şebeke düzeyinde tanımlar. Telefon numarasıyla aynı kavram değildir. Numara, abonelik ve cihaz ilişkisi zaman içinde değişebilir.

1.3.3. IMEI

GSMA'ya göre IMEI 15 hanedir; ilk 8 hane TAC'tır ve cihazın üretici/model ailesini tanımlamak için kullanılır.[41]

Adli model:

KİŞİ → HAT/SIM → CİHAZ

üç ayrı varlık içerir.

Aynı IMEI'nin birden fazla numarayla görülmesi cihaz paylaşımı, SIM değişimi veya veri kalitesi problemi gibi farklı açıklamalara sahip olabilir. Aynı numaranın birden fazla IMEI ile görülmesi de cihaz değişimini gösterebilir.

Bu nedenle MSISDN ↔ IMEI ilişkisi zaman aralığı olan bir ilişki olarak tutulmalıdır.

1.4. Baz İstasyonu Gözlemi ve Konum Belirsizliği

Baz/hücre verisi HTS analizinin en sık yanlış yorumlanan bölümüdür.

Tarihsel hücre verisinin gösterdiği temel gözlem, belirli bir haberleşme olayıyla ilişkilendirilen hizmet veren hücre veya sektördür. Bu şebeke gözleminden cihaz için noktasal bir coğrafi konum türetilemez; hücre kaydı tek başına belirli bir adresi ya da fiziksel noktayı kanıtlamaz.[7]

“Cell X kullanılmıştır.”

ile

“Cihaz Cell X'in koordinatındadır.”

aynı ifade değildir.

Hücre seçimini etkileyebilecek faktörler:

• RF yayılımı,
• anten azimutu ve sektör,
• frekans,
• arazi ve yapılaşma,
• şebeke yükü,
• optimizasyon,
• handover,
• cihaz/radyo koşulları.

RF saha ölçümü de geçmiş olay anını birebir yeniden üretmez; ölçüm anındaki RF ortamını örnekler.[7]

Hücre kimliğiyle yapılan tarihsel eşleştirmede ağın değişmez olduğu varsayılamaz. Aynı tanımlayıcı farklı tarihlerde farklı şebeke düzenlemeleriyle ilişkilendirilebilir; sektör yönü, frekans ve kapsama koşulları değişebilir. Bu nedenle hücre referans tablosunun hangi tarihte geçerli olduğu, veri sağlayıcısının kimliği ve kaydın olay zamanı birlikte ele alınır. Eşleştirmenin hangi sürümle yapıldığı saklanmıyorsa bir yıl sonra aynı sorgudan farklı harita üretilebilir. Böyle bir harita geçmiş gözleme dayalı yorumdur; kişinin kesin konumunun ölçümü değildir.

1.5. Hukuki Çerçeve

HTS teknik veri olsa da ilk soru algoritmik değildir:

Veri hangi hukuki yetki ve süreçle elde edilmiştir?

Türkiye'de telekomünikasyon yoluyla iletişimin tespiti ve sinyal bilgilerinin değerlendirilmesinde CMK m.135 temel düzenlemelerden biridir. İletişimin tespiti, dinleme/kayda alma ve sinyal bilgisinin değerlendirilmesi aynı işlem değildir; somut tedbirin kapsamı ayrıca değerlendirilmelidir.[2], [30]

Anayasa Mahkemesi HTS kayıtlarının temini ve teknik analizine ilişkin kararlarında verinin elde edilme yöntemi, güvenilirliği, teknik anlamlandırılması ve savunmanın itiraz imkânı gibi unsurları birlikte ele almıştır. AYM'nin aktardığı Yargıtay yaklaşımında kişiselleştirilmiş ve ayrıntılı HTS raporlarının önemi de vurgulanmaktadır.[25]

Elektronik haberleşme verileri kişisel veri ve haberleşmenin gizliliği bağlamındadır. BTK'nın açıklamalarında 5809 sayılı Kanun m.51 ve ilgili yönetmelik kapsamında amaçla bağlantılılık, sınırlılık, ölçülülük ve güvenlik ilkeleri vurgulanır.[24], [48]

Teknik zincir:

Yetki kapsamı
   ↓
Edinilen veri kapsamı
   ↓
Teknik bütünlük
   ↓
Analiz
   ↓
Yorum
   ↓
Rapor

1.6. Delil Yaşam Döngüsü ve Veri Kökeni

Kaynak dosya geldiğinde ilk işlem tabloyu filtrelemek olmamalıdır.

Kaydedilecek asgari üstveri:

dosya adı
dosya boyutu
teslim zamanı
teslim eden / alan
dosya biçimi
resmî yazı / talep referansı
varsa sağlayıcı hash'i
hesaplanan hash
çalışma kopyası kimliği

SWGDE özgün elektronik kopyanın saklanmasını, çalışma kopyası kullanılmasını, hash ve chain-of-custody kayıtlarının korunmasını önerir.[7], [10]

1.6.1. Hash

SHA-256(source.xlsx) = ...
SHA-256(working-copy.xlsx) = ...

Hash byte bütünlüğünü destekler. Dosyanın maddi içeriğinin doğru yorumlandığını kanıtlamaz.

1.6.2. Kaynak ve Türev

source.xlsx
   ↓
normalized dataset
   ↓
deduplicated dataset
   ↓
analysis tables
   ↓
graph / timeline / map
   ↓
report

Her türev kaynağa geri izlenebilmelidir.

1.7. ETL: Analizden Önce Veri Mühendisliği

HTS analizinin en kritik fakat en görünmez kısmı Çıkarma--Dönüştürme--Yükleme (ETL) sürecidir.

Dosya
 ↓
container / biçim doğrulama
 ↓
sheet ve başlık tanıma
 ↓
operatör/veri türü
 ↓
kolon eşleme
 ↓
satır ayrıştırma
 ↓
canonical veri

Farklı operatörlerin alan adları ve rapor biçimleri değişebildiğinden kaynak formatının açıklama anahtarı önemlidir.[7]

1.7.1. Kanonik Şema

record_id
source_file
source_row
target_msisdn
peer_msisdn
event_type
direction
event_time
duration_seconds
target_imei
peer_imei
cell_id
sector
lac_tac
cell_raw
latitude
longitude
province
district
ip_address
source_port
destination_port
subscriber_id
subscriber_name
operator

Temel kural:

Kaynak kolon kaybolmamalı; kanonik değer kaynağa geri izlenebilmelidir.

1.8. Normalizasyon

1.8.1. Telefon Numarası

05321234567
5321234567
905321234567
+905321234567

aynı numarayı temsil edebilir.

normalize_msisdn(x):
    trim
    remove formatting
    apply documented country rule
    validate
    return canonical

Ülke bağlamı bilinmeden varsayım yapılmamalıdır.

1.8.2. IMEI

IMEI matematiksel sayı değil kimliktir; metin olarak korunmalıdır. Excel bilimsel gösterim riski vardır.

Kontroller:

yalnız rakam?
uzunluk?
Luhn?
TAC makul mü?
scientific notation bozulması var mı?

Başarısız kontrol kaydı silmek için değil, kalite bayrağı üretmek için kullanılmalıdır.

1.8.3. Tarih-Saat

09.09.2026 14:05:01
2026-09-09 14:05:01
Excel serial date
09/09/26 14:05

tek zaman damgası modeline çevrilir.

Belgelenmesi gerekenler:

• zaman dilimi,
• saniye hassasiyeti,
• zaman damgasının başlangıç mı bitiş mi olduğu,
• kaynak sistem semantiği.

1.8.4. Olay Tipi

VOICE_OUT
VOICE_IN
SMS_OUT
SMS_IN
MISSED
GPRS_SESSION
WAP
OTHER

Operatör kodu doğrulanmadan anlam atanmamalıdır.

1.9. Mükerrer Kayıtlar ve Tekilleştirme

Naif SELECT DISTINCT * her zaman doğru değildir.

Aynı olay hedef ve karşı sorgularında veya tekrar dışa aktarımlarda görünebilir. Bir kopyada ek baz alanı bulunabilir.

Aday anahtar:

target
peer
event_type
timestamp
duration
cell
imei

Akış:

ham veri
 ↓
duplicate candidate grouping
 ↓
alan bazlı karşılaştırma
 ↓
provenance koruma
 ↓
dedup görünüm

Ham ve dedup sonuçların ikisi de raporlanabilir.

1.10. Veri Kalitesi Analizi

Analize başlamadan:

N_total
N_invalid_time
N_empty_target
N_empty_peer
N_invalid_msisdn
N_invalid_imei
N_missing_cell
N_unresolved_cell
N_duplicate_candidate
N_unknown_event_type

ölçülmelidir.

q_time = 1 - N_invalid_time / N_total

q_cell = N_resolved_cell / N_cell_records

Eksik veri oranı bilinmeden "eşleşme yok" sonucu güçlü yorumlanamaz.

Ünite 2: İletişim Profili, Zaman ve İlişki Analizi

İletişim ağı analizinde önce düğümün kişi, hat veya cihazdan hangisini temsil ettiği açıkça seçilir. Kenarların yönü, zaman aralığı ve ağırlığı belirlenmeden derece veya merkezilik karşılaştırması yapılmamalıdır. Zaman penceresi değiştikçe ortaya çıkan ilişkiler yeniden hesaplanır; yoğun iletişim doğrudan sosyal veya hukuki ilişki kanıtı olarak yorumlanmaz. Şüpheli görünen örüntüler için alternatif açıklamalar ve kayıt üretim sisteminin sınırlılıkları ayrı değerlendirilmelidir.

2.1. Genel İletişim Profili

Bir hedef için:

toplam olay
arama / aranma
SMS gönderme / alma
cevapsız
toplam konuşma süresi
benzersiz karşı numara
benzersiz IMEI
benzersiz baz
aktif gün
ilk kayıt
son kayıt

çıkarılır.

Bu aşama bulgu üretmekten çok veri setinin ölçek ve karakterini anlamaktır.

2.2. İrtibat Analizi

Her karşı numara için:

count_total
count_out
count_in
count_sms
duration_total
first_seen
last_seen
distinct_days
distinct_cells

hesaplanır.

C(u,v)=|{e:e=(u,v)}|

D(u,v) = Σ_{e=(u,v)} duration(e)

İletişim sayısı veya süre ilişkinin niteliğini tek başına belirlemez.

2.3. İlk N Kayıt, Tek Görüşme ve Uzun Görüşme

2.3.1. En Çok Görüşülen

GROUP BY peer
ORDER BY COUNT(*) DESC

2.3.2. Bir Kez Görüşülen

GROUP BY peer
HAVING COUNT(*) = 1

2.3.3. En Uzun Tekil Görüşme

FILTER voice
FILTER duration > 0
ORDER BY duration DESC

maksimum tekil süre ile toplam ilişki süresi farklı metriklerdir.

2.4. İletişim Yönü ve Asimetri

O = giden,   I = gelen

A=(|O-I|)/(O+I)

A → 0 dengeli, A → 1 daha tek yönlü trafik örüntüsüdür.

Bu yalnız iletişim yönü ölçüsüdür; ilişkinin sosyal/hukuki anlamı değildir.

2.5. Zaman Analizi

Saatlik yoğunluk:

H(h) = Σ_i 1[hour(t_i) = h]

Günlük yoğunluk:

D(d) = Σ_i 1[date(t_i) = d]

Hafta içi/hafta sonu, gün ve saat profilleri çıkarılabilir. Sabit "gece = anormal" kabulü yerine kişinin kendi referans düzeyi tercih edilmelidir.

2.6. Aktivite Kesintisi

Sıralı zamanlar:

t_1<t_2<...<t_n

gap_i=t_{i+1}-t_i

gap_i ≥ T ise kesinti adayıdır.

sort by time
for adjacent events:
    gap = next - current
    if gap >= threshold:
        emit gap

Eşik, hattın normal kullanım sıklığıyla birlikte değerlendirilmelidir.

2.7. Olay Öncesi ve Sonrası

Olay zamanı t0:

W_before = [t0 - Δb, t0)

W_after = (t0, t0 + Δa]

Pencerelerde:

• iletişim,
• baz,
• IMEI,
• şehir,
• karşı taraf

değişimleri karşılaştırılır.

Olay zamanına yakınlık nedensellik değildir.

2.8. İletişim Grafiği

G=(V,E)

V: numaralar E: iletişim

kenar özellikleri:

count
duration
first_seen
last_seen
direction
distinct_days

Telekom literatüründe CDR üzerinden ağırlıklı graf, sosyal ağ benzerliği ve merkezilik ölçümleri yaygın biçimde kullanılmaktadır.[5]

Yüksek derece veya merkezilik, kişinin sosyal/hukuki rolünü otomatik belirlemez. Çağrı merkezleri doğal olarak yüksek derece üretebilir.

2.9. Ortak İrtibat

P_A = contacts(A),   P_B = contacts(B)

C = P_A ∩ P_B

Birden çok hedef:

C = ⋂_i P_i

Daha esnek model:

peer → kaç farklı hedefle iletişim kurdu?

Ortak irtibat yapısal bağlantıdır; ilişkinin niteliği ayrıca değerlendirilir.

2.10. Jaccard Benzerliği

J(A,B) = |A ∩ B| / |A ∪ B|

Aynı yöntem:

contact_jaccard
cell_jaccard
district_jaccard

için kullanılabilir.

Jaccard bir benzerlik ölçüsü, kimlik kararı değildir.

2.11. İlişki Gücü

HTS/CDR kayıtlarından iki numara arasındaki ilişkinin duygusal veya sosyal niteliği doğrudan çıkarılamaz. Ölçülebilen, seçilen zaman aralığında iletişimin ne kadar yoğun, karşılıklı, süreklilik gösteren ve güncel olduğudur. Bu nedenle burada "sosyal yakınlık" yerine ilişki gücü (tie strength) kullanılır. Telekom iletişim ağlarında çağrı sayısı ve toplam süre gibi ölçüler kenar ağırlığı için kullanılmakta; karşılıklı aramalar ile toplam görüşme süresi de ilişki gücünü tanımlamak için kullanılan gözlenebilir göstergeler arasında yer almaktadır.[5], [37]

Bir hat çifti için aşağıdaki özellikler birlikte tutulabilir:

f1  = aktif iletişim günü
f2  = iletişim sayısı
f3  = karşılıklılık
f4  = toplam görüşme süresi
f5  = ilişki zaman aralığı
f6  = güncellik
f7  = iletişim sürekliliği
f8  = son dönem aktivite değişimi
f9  = medyan iletişim aralığı
f10 = burstiness

f4 yalnız süre bilgisi anlamlı olan olaylarda hesaplanır. f5, last_seen - first_seen aralığını gösterir; iki seyrek olay arasındaki uzun takvim aralığı tek başına güçlü ilişki anlamına gelmez.

Yön bilgisi güvenilir olduğunda karşılıklılık şu şekilde ölçülebilir:

R(u,v) = 2 * min(N_u→v, N_v→u) / (N_u→v + N_v→u)

Değer 1'e yaklaştıkça iki yönün katkısı dengelenir; 0 tek yönlü iletişime karşılık gelir. Yön bilgisi bilinmiyorsa sıfır vermek yerine özellik hesaplanmamalıdır.

Güncellik, son iletişimden geçen Δt süresini azalan bir fonksiyona dönüştürebilir:

Recency = exp(-λ * Δt)

λ sabit bir evrensel değer değildir; incelenen zaman aralığına göre belirlenir.

Süreklilik için gün yerine hafta gibi daha kararlı zaman dilimleri kullanılabilir:

Persistence = active_periods / elapsed_periods

Böylece aynı sayıda iletişimin birkaç güne yığılması ile aylar boyunca düzenli sürmesi ayrılır. Son dönem değişimi de yakın dönem iletişim hızının geçmiş dönemle karşılaştırılmasıyla izlenebilir:

Trend = log((1 + recent_rate) / (1 + baseline_rate))

Pozitif değer son dönemde artışı, negatif değer azalışı gösterir. Bu değer ilişki niteliğini açıklamaz; yalnız seçilen iki dönem arasındaki aktivite değişimini ölçer.

İletişimler arasındaki sürelerin medyanı ve burstiness, ilişkinin zamansal ritmini ayrıca gösterir. Δt ardışık iki olay arasındaki süre olmak üzere klasik burstiness katsayısı:

B = (σ_Δt - μ_Δt) / (σ_Δt + μ_Δt)

şeklindedir.[18] Yüksek burstiness kısa süreli yoğun iletişim kümelerini gösterebilir; fakat bu durum tek başına daha güçlü ilişki anlamına gelmez. Çok az olay içeren çiftlerde katsayı kararsız olabileceğinden yeterli olay sayısı olmadan yorumlanmamalıdır. Bu nedenle f9 ve f10 ilişki profilinde gösterilebilir, ancak çekirdek skora zorunlu olarak katılmamalıdır.

Çekirdek özellikler dört grupta okunabilir:

yoğunluk             → f2, f4
süreklilik           → f1, f5, f7
karşılıklılık        → f3
güncellik / değişim  → f6, f8

Tek bir skor gerekiyorsa her özelliğe aynı normalizasyonu uygulamak yerine özelliğin dağılımına uygun dönüşüm kullanılmalıdır:

S(u,v) = Σ_{i∈C} w_i · g_i(f_i)
C = {1,2,3,4,5,6,7,8}

İletişim sayısı ve toplam süre gibi ağır kuyruklu değerlerde logaritmik dönüşüm veya yüzdelik sıralama, karşılıklılık ve süreklilik gibi doğal olarak sınırlı oranlarda doğrudan ölçek, güncellikte ise zaman bozunumu daha anlamlıdır. Ağırlıklar veri ve kullanım amacı üzerinden gerekçelendirilmelidir.

Gece veya hafta sonu iletişimi zaman bağlamını açıklayabilir; vardiya, nöbet ve çalışma düzeni nedeniyle ana ilişki skoruna doğrudan pozitif katkı olarak verilmemelidir. Sonuç da "yakın ilişki" hükmü olarak değil, belirli zaman penceresindeki iletişim bağının yoğunluk, süreklilik, karşılıklılık ve güncellik bakımından inceleme önceliği olarak kullanılmalıdır. Skor gösteriliyorsa onu oluşturan bileşenler ve kullanılan zaman aralığı da görünür kalmalıdır.

2.11.1. Referans Kümesi ve Skor Kararlılığı

İlişki gücü için üretilen birleşik bir puan mutlak bir fiziksel ölçüm değildir. Özellikle özellikler incelenen aday kümesine göre ölçekleniyorsa puanın değeri yalnız iki hat arasındaki gözlemlere değil, hangi ilişkilerin referans kümesine alındığına da bağlıdır.

Örneğin bir yoğunluk özelliği:

g_max(x; X) = x / max(X)

ile ölçeklenirse, X kümesine çok daha yüksek yoğunluklu yeni bir ilişki eklendiğinde daha önce hesaplanmış bütün göreli değerler küçülebilir. Kaynak olaylar değişmemiştir; değişen, karşılaştırma evrenidir.

Bu nedenle göreli puanlarda en az şu bilgiler belirtilmelidir:

referans zaman aralığı
referans alınan ilişki kümesi
kullanılan dönüşüm
özelliğin eksik olduğu kayıtların ele alınışı

Ağır kuyruklu sayım ve süre değişkenlerinde log(1+x) gibi dönüşümler, yüzdelik sıralama veya önceden tanımlanmış bir referans dağılımı kullanılabilir. Bunlar birbirinin eşdeğeri değildir. Yüzdelik sıralama incelenen topluluğa göre göreli konumu, sabit bir referans dağılımı ise farklı incelemeler arasında daha kararlı bir ölçeği öne çıkarır.

Bir puanın kararlı olması, adli anlamının güçlü olduğu anlamına gelmez. Ama aynı veri ve aynı tanımlanmış referans kümesiyle yeniden üretilebilmesi, yöntemsel denetlenebilirlik için gereklidir.

2.12. Hedefler Arası İletişim

Hedef kümesi T için:

u ∈ T AND v ∈ T

olan kenarlar seçilir.

kanonik pair:

(min(u,v), max(u,v))

ile iki yön tek ilişki altında gruplanabilir; yön ayrıca korunur.

2.13. Kısmi Veriyle Zamansal Yoğunluk ve Kapsama Hesabı

İletişim kayıtlarının takvim, saatlik histogram veya yoğunluk haritasında gösterilmesi yalnızca görsel bir özet değildir; sorgunun kapsamına ilişkin bir iddia da üretir. Analizde kullanılabilen ilk \(N\) kayıt veritabanındaki bütün kayıtları temsil etmiyorsa, boş bir gün ``iletişim gerçekleşmedi'' olarak yorumlanamaz. Özellikle kayıt sınırı, sayfalama, yetki kapsamı ve veri teminindeki gecikme ayrı belirsizlik kaynaklarıdır. Görselin başlığı ve açıklaması, sayımın yüklenen kayıtlar üzerinden mi yoksa doğrulanmış tam sorgu evreni üzerinden mi hesaplandığını belirtmelidir.

Birden fazla veri kaynağında aynı iletişimin farklı satırlarla temsil edilmesi, aritmetik toplamı bozabilir. Analiz öncesinde olay kimliğinin hangi alanlarla kurulduğu, kayıt sürümlerinin nasıl tekilleştirildiği ve farklı kaynaklardan gelen kayıtların nasıl uzlaştırıldığı açıklanmalıdır. Yön bilgisi ve hedef/karşı rolleri sabit bir çiftin iki kayıtta ters görünmesine yol açabilir; bu durum otomatik olarak mükerrer delil anlamına gelmez. Bir çağrı gece yarısını geçiyorsa günlük başlangıç sayısı yalnızca başladığı güne yazılır; süre yoğunluğu hesaplanıyorsa gerçek zaman aralığı gün sınırında bölünür. İki ölçüt aynı grafikte birbirine karıştırılmamalıdır.

Karşılaştırmalı incelemede aynı uzunluktaki zaman pencereleri, aynı saat dilimi ve aynı sorgu filtresi kullanılmalıdır. İşleme tarihine göre gelen kayıtların olay tarihine göre düzensiz olması mümkündür; yalnız istemcide sıralama yapmak, çekilmemiş eski tarihli kayıtların eksikliğini gidermez. Saatlik çubuklar ve hedef-kayıt ilişkileri, yetki sınırını genişleten yeni bir sorgu yolu değil, mevcut yetkili kayıt kümesinin farklı izdüşümleri olarak tasarlanmalıdır.

2.14. Eksik Gözlem Pencerelerinde İletişim Yoğunluğu

Zamana göre iletişim sayıları hesaplanırken yalnız kayıtların başlangıç tarihlerini gruplayarak elde edilen histogram, incelenen veri aralığının her noktasında aynı gözlem kapsamının bulunduğunu varsayar. Dosyaların bir bölümünün alınamadığı, sorgunun üst satır sınırına ulaştığı veya verinin belirli dönemlerde hiç üretilmediği durumlarda bu varsayım geçerli değildir. Gözlenen kayıt sayısı \(N(t)\) ile gözleme açık süre \(E(t)\) ayrı tutulabilir; yalnız \(E(t)>0\) koşulunda gözleme dayalı yoğunluk \(\hat\lambda(t)=N(t)/E(t)\) olarak yorumlanabilir.

Örneğin aynı sayıda görüşme bulunan iki günün birinde 24 saat, diğerinde yalnız 6 saat veri kapsanıyorsa ham sayılar benzerdir ama karşılaştırma simetrik değildir. Bu oran, iletişimin gerçek yoğunluğuna ilişkin tarafsız tahmin olduğunu kendiliğinden kanıtlamaz; eksikliğin rastgele olmayabileceği ve kaynakların farklı kayıp mekanizmaları taşıyabileceği ayrıca belirtilir. Aralıkların tümden kapsanmaması halinde görsel sıfır, olaysızlığı değil gözlemlenememeyi temsil etmelidir.

Saat dilimi, kayıt saatinin duyarlığı ve çoklu veri kaynağından gelen yinelenmiş olaylar hesaplamadan önce ortaklaştırılır. Bir görüşmenin gece yarısını geçmesi, olay sayısı açısından ikinci bir iletişim oluşturmaz; süre toplamı isteniyorsa süre her güne düşen gerçek örtüşmeye göre paylaştırılabilir. Sonuç raporu her gün için kayıt sayısı, kapsanan zaman aralığı, kayıp veri göstergesi ve kullanılan sayım tanımını taşımalıdır.

Ünite 3: Cihaz, Hat, Konum, Hareket ve Anomali Analizi

3.1. IMEI Analizi

3.1.1. Numara → IMEI

IMEI
first_seen
last_seen
event_count

3.1.2. IMEI → Numara

IMEI → {MSISDN1, MSISDN2, ...}

3.1.3. Ortak IMEI

|Users(imei)| ≥ 2

ise ortak cihaz adayı vardır.

Fakat zaman ayrımı kritiktir:

eşzamanlı kullanım
ardışık kullanım

aynı anlamı taşımaz.

3.1.4. IMEI Zaman Çizelgesi

t1 A → IMEI-X
t2 A → IMEI-Y
t3 B → IMEI-X

aggregate tablodan daha açıklayıcı olabilir.

3.2. Olası Aynı Kullanıcı / Çoklu SIM

Telekom araştırmalarında aynı kullanıcıyla ilişkili olabilecek birden fazla SIM'i incelemek için sosyal ağ ve davranış benzerliği ölçümleri kullanılmaktadır.[5]

İncelenebilecek gözlenebilir özellikler şunlardır:

ortak IMEI
irtibat kümesi benzerliği
hücre kümesi benzerliği
ilçe kümesi benzerliği
zamansal tamamlayıcılık
eşzamanlı kullanım çelişkisi

Bu özellikler tek bir kimlik puanında birleştirilmek zorunda değildir. Ortak cihaz veya benzer irtibat örüntüsü aynı kullanıcı hipotezini incelemeye değer kılabilir; buna karşılık aynı zaman aralığında fiziksel olarak bağdaşmayan konum gözlemleri güçlü bir karşı bulgu oluşturabilir. Eksik bir özellik sıfır değerli kanıt gibi yorumlanmamalıdır.

Çıktı:

aynı kullanıcı hipotezi bakımından incelenecek aday hat çifti

olmalıdır; "aynı kişidir" hükmü değil. Birleşik bir sınıflandırma modeli kullanılacaksa ağırlıkların ve karar eşiğinin bağımsız doğrulama verisi üzerinde gerekçelendirilmesi gerekir.

3.3. Sahiplik Belirsizliği ve Kayıt Temelli Göstergeler

Abonelik sahibi ile fiilî kullanıcı aynı kavram değildir. Bir hattın fiilî kullanıcısının belirsiz olduğu durumlarda inceleme, tek bir etiket veya puan yerine doğrulanabilir kayıt göstergeleri üzerinden yürütülmelidir.

İncelenebilecek göstergeler:

kimlik alanlarında eksiklik veya tutarsızlık
cihaz/SIM ilişkisinde sık değişim
aynı cihazın birden fazla hatla zaman içindeki kullanımı
kısa gözlem yaşam döngüsü
olay çevresindeki açılma veya kapanma örüntüsü
dar irtibat kümesi
tek yönlü veya düşük hacimli kullanım

Bu göstergelerin hiçbiri tek başına fiilî kullanıcıyı belirlemez. Bazı göstergeler veri kalitesi, cihaz paylaşımı, geçici kullanım veya olağan abonelik davranışıyla da açıklanabilir. Bu nedenle sahiplik belirsizliği, destekleyen ve çürüten gözlemler ayrı ayrı gösterilerek hipotez düzeyinde değerlendirilmelidir.

3.4. Baz Analizi

Her baz için:

count
first_seen
last_seen
distinct_days
province
district
coordinate

hesaplanır.

Mümkünse teknik anahtar:

operator + LAC/TAC + Cell ID/ECGI + sector

kullanılır. Sadece adres metni kırılgandır.

3.5. Haversine Mesafesi

İki koordinat için:

a = sin²(Δφ/2) + cos(φ₁) cos(φ₂) sin²(Δλ/2)

d = 2R · arcsin(√a)

Bu iki baz koordinatı arasındaki geometrik mesafedir; cihazların gerçek uzaklığı veya RF kapsama mesafesi değildir.

3.6. Ortak Baz Analizi

İki hedef:

A={(t,cell)}
B={(t,cell)}

Temporal koşul:

|t_A - t_B| ≤ Δt

Spatial koşul:

same_cell

veya:

distance(cell_A, cell_B) ≤ R

olabilir.

3.6.1. İki İşaretçili Yöntem

i = j = 0
while i < len(A) and j < len(B):
    dt = A[i].time - B[j].time
    if abs(dt) <= tolerance:
        evaluate spatial match
    elif dt < 0:
        i += 1
    else:
        j += 1

3.6.2. Çoklu Hedef

PARTITION BY cell
ORDER BY time
SLIDING WINDOW Δt
EMIT distinct user pairs
AGGREGATE

Bu yaklaşım tüm kullanıcı çiftlerini naif biçimde karşılaştırmaktan daha ölçeklenebilirdir.

3.6.3. Sınırlandırılmış Zamansal Eşleştirme

Bir olayın başka bir zaman dizisindeki en yakın kaydı aranırken yalnız "en yakın" kaydı bulmak yeterli değildir. En yakın kayıt kabul edilebilir zaman aralığının dışında kalabilir. Bu nedenle arama iki ayrı adımdan oluşmalıdır:

1. zamansal olarak en yakın adayı bul
2. |t_aday - t0| <= Δt koşulunu ayrıca doğrula

Zaman damgaları sıralıysa t0 için ekleme konumu ikili arama ile bulunabilir. En yakın aday yalnız ekleme konumunun iki yanındaki kayıtlar arasındadır. Böylece her sorguda bütün zaman dizisini taramak yerine arama maliyeti yaklaşık O(log n + k) düzeyine indirilebilir; k, kabul aralığında ayrıca incelenen küçük aday kümesini gösterir.[11]

İki aday t0'a eşit uzaklıktaysa seçim sessizce yapılmamalıdır. Her iki aday korunabilir veya önceden belgelenmiş ikincil bir anahtarla kararlı bir teknik sıra üretilebilir. İkincil anahtar, gerçek olay sırasına ilişkin yeni bir kanıt olarak yorumlanmamalıdır.

3.6.4. Çoklu Eşleşme Kümeleri ve Geçişlilik Sınırı

Çok sayıda hedefte zamansal-konumsal eşleşmeler bir graf olarak modellenebilir. Düğümler incelenen hatları, kenarlar ise tanımlanmış Δt ve konum koşullarını sağlayan çiftleri gösterir.

u -- v  =>  u ile v arasında tanımlı koşulları sağlayan en az bir eşleşme var

Bağlı bileşenler, ayrık kümeler birleştirme (Union-Find) gibi yöntemlerle verimli biçimde oluşturulabilir.[11] Ancak eşleşme ilişkisi zorunlu olarak geçişli değildir:

u ~ v
v ~ w

olması,

u ~ w

sonucunu gerektirmez. Bu nedenle bağlı bileşen "bütün üyeler aynı anda aynı yerdeydi" anlamına gelmez; yalnız seçilen eşleşme kurallarıyla birbirine bağlanan bir korelasyon kümesi adayıdır. Küme içindeki gerçek çift eşleşmeleri ve bunların zaman farkları ayrıca korunmalıdır.

3.7. "Aynı Baz"In Seviyeleri

1. aynı Cell ID / sektör
2. aynı fiziksel site, farklı sektör
3. yakın fiziksel siteler

aynı şey değildir.

Raporda "aynı baz"ın teknik tanımı açıkça yazılmalıdır.

3.8. Görüşme Anı Baz

Çağrı A → B, t0.

Hedef baz doğrudan kayıtlı olabilir. Karşı taraf için ayrı kayıt gerekiyorsa:

candidate=argmin|t_B-t_0|

ve:

|t_B - t_0| ≤ Δt

aranmalıdır.

"En yakın kayıt" ile "aynı anda kayıt" aynı değildir.

3.9. Şehir Değişimi

Zaman dizisi:

Ankara
Ankara
Bolu
Bolu
İstanbul

sıkıştırılır:

Ankara → Bolu → İstanbul

Her transition:

from
to
last_seen_from
first_seen_to
Δt
distance

ile tutulabilir.

3.10. Rota ve Hareket

HTS'den GPS rotası çıkarılmaz. Üretilen şey zaman sıralı hücre kullanım izidir:

(t1,cell1)
(t2,cell2)
...

Görünür hız:

v = distance(cell_i, cell_{i+1}) / (t_{i+1} - t_i)

çok yüksekse veri hatası, hücre oscillation, saat farkı veya şebeke davranışı araştırılmalıdır.

CDR tabanlı hareket araştırmaları konum belirsizliği ve hücre oscillation'ının işlenmemesinin hareket düzenliliğini olduğundan yüksek gösterebildiğini ortaya koymaktadır.[47]

3.11. Yaşam Rutini

Özellikler:

hour_of_day
weekday/weekend
cell
distinct_days
event_count

Örnek:

gece → Cell A → 24 farklı gün
mesai → Cell B → 19 farklı hafta içi gün

Doğru yorum:

Cell A gece zaman diliminde tekrarlanan dominant hücredir.

Yanlış kesinlik:

Cell A kişinin evidir.

3.12. Olay Yeri ve Kritik Nokta Yakınlığı

Olay yeri P0:

d_i=distance(P_i,P_0)

d_i ≤ R ise hücre sitesi coğrafi adaydır.

Bu hücre sitesi yakınlığıdır, cihazın olay yerinde olduğunun ölçümü değildir.

POI analizi de:

havalimanı
otogar
otel
hastane
sınır kapısı
özel nokta

gibi kümelerle metinsel veya coğrafi yapılabilir.

3.13. Tarihsel Konum Sorgusunun Teknik Yorumu

Doğru algoritma:

candidates =
    records where |event_time - t0| <= tolerance

nearest =
    argmin |event_time - t0|

Çıktı:

t0
en yakın kayıt zamanı
Δt
cell/sector
coordinate

Doğru cümle:

t0 zamanına en yakın HTS kaydı X hücresidir.

SWGDE'nin kesin konum uyarısı burada özellikle geçerlidir.[7]

3.14. Konferans Görüşmesi Adayları

Açık session ID yoksa çağrılar interval olarak modellenebilir:

I(c) = [start, start + duration]

Sweep-line:

call start/end events oluştur
time'a göre sırala
active call set tut
eşzamanlı ilgili call sayısı eşiği aşarsa candidate üret

Bu yalnız zaman çakışmasıdır; operatör semantiği doğrulanmadan kesin konferans sonucu değildir.

3.15. Anomali Tespiti

Anomali "normal modele göre beklenmeyen" demektir; "suç" demek değildir.

3.15.1. Z Skoru

z = (x - μ) / σ

3.15.2. Medyan Mutlak Sapma (MAD) ile Sağlam Değerlendirme

MAD=median(|x_i-median(x)|)

z_r=0.6745(x-median(x))/(MAD)

3.15.3. Örnek Anomali Özellikleri

beklenmeyen saat
ani günlük yoğunluk
yeni baz
yeni IMEI
uzun sessizlik
olağandışı şehir geçişi

CDR trafik anomalilerinde zaman serisi, clustering ve tahmin yöntemleri akademik literatürde kullanılmaktadır.[33]

anomaly ≠ malicious
anomaly ≠ criminal
anomaly ≠ intentional

3.16. GPRS, IP ve CGNAT

Mobil internet analizinde yalnız public IP çoğu zaman yeterli değildir.

CGNAT bağlamında:

public_ip
source_port
timestamp
subscriber/private context

birlikte değerlendirilir.

Taşıyıcı sınıfı NAT yapılarında aynı genel IPv4 adresi birden fazla abone tarafından paylaşılabildiğinden, abone eşleştirmesi yalnız IP adresine dayanamaz. RFC 6888, eşleştirme için dış kaynak adresi, dış kaynak portu, zaman damgası ve abone tanımlayıcısı gibi kayıtların birlikte tutulmasının önemini açıklar.[39]

IP geolocation:

IP → kesin fiziksel adres

değildir.

ASN/ISP, tahsis ve coğrafi tahmin farklı bilgi katmanlarıdır.

3.17. Abonelik Sahibi ile Fiilî Kullanıcı

Abonelik:

subscriber(number)=X

gösterebilir.

Fiilî kullanıcı:

user(number,t)=X

için ek korelasyon gerekir.

Sinyaller:

• cihaz ilişkisi,
• uzun dönem kullanım,
• rutin,
• doğrulanmış diğer hatlarla ilişki,
• cihaz adli incelemesi,
• başka dijital artefact,
• tanık/ifade.

SWGDE CDR'nin cihazı kullanan kişiyi kesin olarak göstermediğini belirtir.[7]

Ünite 4: Analitik Çıkarım, Ölçek, Doğrulama ve Yeniden Üretilebilirlik

4.1. Kaynak, Türev ve Yorum Ayrımı

• Kaynak: 14:05'te Cell X kaydı
• Deterministik türev: Cell X--olay yeri mesafesi 1,8 km
• Algoritmik çıkarım: olay yeri yakınlık adayı
• Uzman yorumu: diğer bulgularla birlikte değerlendirme

Algoritma yorum yerine geçmemelidir.

4.2. Yanlış Pozitif ve Yanlış Negatif

False Positive:
algoritma işaretledi, bağlamda anlamlı değil

False Negative:
anlamlı örüntü var, algoritma işaretlemedi

Ortak bazda şehir merkezi yoğunluğu false-positive, seyrek kayıt false-negative riskini artırabilir.

Sonuç ekranı eşleşmeyle birlikte veri kapsamını göstermelidir.

4.3. Eşleşme Kalitesinin Ayrı Boyutları

Bir zamansal-konumsal eşleşmenin niteliğini tek bir "güven puanı"na indirgemek zorunlu değildir. En az üç ayrı boyut birlikte fakat ayrı değerler olarak tutulabilir:

zamansal uygunluk     → olaylar arasındaki zaman farkı ve kaynak zaman çözünürlüğü
konumsal çözünürlük   → aynı sektör / aynı fiziksel site / yakın site
veri yeterliliği      → eksik, çözümlenemeyen ve kapsam dışı kayıtların etkisi

Bu boyutlar birbirinin yerine geçmez. Çok küçük zaman farkı, düşük konum çözünürlüğünü telafi etmez; yüksek veri tamlığı da hücre gözlemini kesin fiziksel konuma dönüştürmez.

Raporlama sırasında boyutların ayrı gösterilmesi, sonucun hangi yönden güçlü veya sınırlı olduğunun denetlenmesini kolaylaştırır. Herhangi bir birleşik puan kullanılacaksa bunun evrensel delil ağırlığı olmadığı, dönüşümün ve ağırlıkların ayrıca doğrulanması gerektiği açıkça belirtilmelidir.

4.4. Büyük Veri ve Performans

Milyonlarca kayıt için veri mimarisi algoritma kadar önemlidir.

İndeksler:

(target,event_time)
(peer,event_time)
(imei,event_time)
(cell,event_time)
(event_time)

Ön hesap:

contact_stats
imei_usage
cell_usage
daily_activity
hour_profile

Columnar storage, vectorized execution, predicate pushdown ve projection büyük CDR kümelerinde gereksiz veri taşınmasını azaltır.

Temel ilke:

Hesaplamayı verinin bulunduğu yerde yap; gereksiz veriyi taşıma.

4.4.1. Aynı Analitik Sonuca Giden Yöntemlerin Maliyeti

Büyük HTS kümelerinde algoritmik doğruluk kadar, aynı tanımı daha düşük maliyetle hesaplayabilmek de önemlidir. İki zaman dizisindeki her kaydı diğer bütün kayıtlarla karşılaştıran naif yöntem, sırasıyla n ve m kayıt için:

O(n * m)

karşılaştırma gerektirir.

Diziler zamana göre sıralandığında iki işaretçili tarama veya kayan zaman penceresi, sonuç sayısı c olmak üzere sıralama sonrasında yaklaşık:

O(n + m + c)

maliyetle ilerleyebilir. Sıralama henüz yapılmamışsa buna O(n log n + m log m) ön maliyeti eklenir. Tek bir zaman noktasının sıralı dizide aranması ikili aramayla O(log n) maliyete indirilebilir.[11]

Graf tabanlı çoklu korelasyonda bağlı bileşenlerin ayrık kümeler birleştirme yöntemiyle kurulması da uygun veri yapılarıyla pratikte doğrusal sınıra yakın çalışır.[11]

Performans için kullanılan iyileştirme analitik tanımı değiştirmemelidir. Yeni yöntem, daha basit bir başvuru yöntemiyle seçilmiş örnekler üzerinde aynı eşleşme ve sınır davranışlarını üretmelidir. Hız artışı, farklı sonuç üretmenin gerekçesi değildir.

4.5. Graf Merkeziliği ve Topluluk Tespiti

derece, ağırlıklı derece, aradalık merkeziliği veya PageRank benzeri ölçüler graph yapısındaki önemi ölçebilir.

yüksek centrality ≠ hukuki/sosyal liderlik

Louvain/Leiden gibi community detection algoritmaları yoğun bağlantı kümeleri üretebilir. Çıktı yalnız graph topluluğudur; aile, işyeri, servis veya başka bir bağlam olabilir.

Adli kullanım:

candidate cluster → contextual/manual review

4.6. Makine Öğrenmesi

Uygun alanlar:

• anomaly ranking,
• entity resolution,
• graph embedding,
• davranış kümeleme,
• kalite sınıflandırması.

Ancak:

model prediction ≠ source observation

Adli sistemde explainable-first yaklaşım çoğu durumda avantajlıdır:

SQL
set intersection
Jaccard
Haversine
sliding window
simple statistics

ISO/IEC 27042'nin yeniden üretilebilirlik ve bağımsız inceleme ilkeleri bu yaklaşımı destekler.[14]

4.7. Modelin Adli Analizdeki Rolü

Makine öğrenmesi HTS verisinde aday sıralama ve örüntü keşfi için yararlı olabilir; ancak delil kaynağı model değildir. Kaynak kayıt, operatör verisi ve doğrulanabilir türetilmiş ölçümler birincil kalır. Model sonucu:

inceleme önceliği / hipotez adayı

olarak ele alınmalı; kesin olay beyanına dönüştürülmemelidir.

4.8. Zaman Tabanlı Veri Bölme

Rastgele train/test ayırımı zaman içinde değişen iletişim davranışında sızıntı yaratabilir. Aynı kişi, cihaz veya olay zincirine ait çok benzer kayıtların iki kümeye dağılması değerlendirmeyi yapay biçimde yükseltebilir. Kullanım amacına göre zaman tabanlı holdout, kişi/cihaz bazlı group split veya olay bazlı ayrım tercih edilmelidir.

4.9. Açıklanabilirlikten Önce Yeniden Üretilebilirlik

Bir model için feature importance grafiği üretmek, analizin yeniden üretilebilir olduğu anlamına gelmez. Önce kullanılan veri kesiti, feature üretim kodu, model sürümü, eşik ve random seed izlenmelidir. Açıklama ancak aynı model davranışı yeniden üretilebildiğinde adli inceleme açısından değerlendirilebilir hale gelir.

4.10. Doğrulama ve Teknik İnceleme

SWGDE historical cell-site analizinde sonuçların örnek veri üzerinde manuel haritalama veya farklı metodoloji kullanan araçla doğrulanabilmesini ve teknik inceleme yapılmasını önerir.[7]

Genel HTS doğrulama akışı:

1. algoritmik sonuç üret
2. örneklem seç
3. kaynak satıra dön
4. elle yeniden hesapla
5. alternatif yöntemle karşılaştır
6. tutarsızlığı incele

4.11. Yeniden Üretilebilirlik Paketi

source_hashes.json
analysis_config.json
normalization_rules.md
software_version.txt
queries/
derived/
report/

Örnek parametre:

{
  "time_tolerance_seconds": 120,
  "distance_radius_meters": 1000,
  "analysis_mode": "deduplicated",
  "timezone": "Europe/Istanbul"
}

Parametre sonucu etkiliyorsa raporda görünmelidir.

Ünite 5: Raporlama, Harita, Korelasyon ve Hipotez Yönetimi

5.1. Raporlama Dili

Kötü:

Şahıs olay yerindedir.

Daha doğru:

Olay zamanına yakın zaman diliminde hedef hat için X hücresinin kullanıldığı görülmüştür. Hücre kaydı cihazın kesin fiziksel konumunu tek başına göstermediğinden bulgu diğer konum ve soruşturma verileriyle birlikte değerlendirilmelidir.

Kötü:

İki şahıs birlikte hareket etmiştir.

Daha doğru:

İki hatta ait kayıtlarda belirtilen zaman toleransı içinde aynı hücre/sektör eşleşmeleri tespit edilmiştir. Bu teknik korelasyon cihaz kullanıcılarının kimliğini ve fiziksel birlikteliğini tek başına belirlemez.

5.2. Raporun Minimum İçeriği

1. İnceleme görevi
2. Teslim edilen materyal
3. Hash / bütünlük
4. Veri kaynağı ve kapsam
5. Araç ve sürüm
6. Normalizasyon
7. Ham/dedup modu
8. Parametre/eşikler
9. Bulgular
10. Kaynak satır referansları
11. Harita/grafik açıklamaları
12. Sınırlılıklar
13. Sonuç

5.3. Harita ve RF Sunumu

Haritada:

• ölçek,
• kuzey,
• koordinat sistemi,
• baz/sektör,
• zaman,
• tolerans,
• sembol anlamı

görünmelidir.

Bir hücreyi sabit yarıçaplı daireyle çizmek gerçek RF kapsamasının o daire olduğu anlamına gelmez.

HTS geçmiş şebeke kaydıdır; RF survey belirli zamanda yapılan saha ölçümüdür. Aynı şey değildir.[7]

5.4. Çoklu Veri Korelasyonu

HTS şu kaynaklarla birlikte değerlendirilebilir:

mobil cihaz adli imajı
SIM artefact
uygulama kayıtları
CGNAT
kamera
araç verisi
erişim kontrol logları
tanık/ifade

NIST SP 800-101 mobil cihaz adli bilişimini cihaz üzerindeki dijital delilin forensically sound edinimi ve incelenmesi olarak ele alır.[15]

Cihaz forensics → endpoint artefact
HTS/CDR          → network/operator artefact

Çelişki varsa biri otomatik olarak yok sayılmamalıdır.

5.5. Hipotez ve Karşı Hipotez

Örnek:

H1: Hat A ve B aynı kullanıcı tarafından dönüşümlü kullanılmış olabilir.

Test:

ortak IMEI?
contact Jaccard?
baz rutini?
aynı anda uzak konum çelişkisi?
abonelik?
cihaz artefact'ı?

Karşı hipotez:

H0: Hatlar farklı kullanıcılarındır; benzerlik ortak sosyal/iş çevresinden kaynaklanmaktadır.

İyi analiz yalnız destekleyen bulguyu değil çelişkiyi de arar.

5.6. Veri Minimizasyonu ve Güvenlik

HTS kayıtları ilgisiz kişilere ait veriler de içerebilir.

Sistem:

• role-based access,
• audit,
• proje izolasyonu,
• export kontrolü,
• amaçla sınırlı işleme,
• retention

uygulamalıdır.

BTK/KVKK çerçevesindeki amaçla bağlantılı, sınırlı ve ölçülü işleme ilkeleri bu noktada önemlidir.[24], [48]

5.7. Yoğun İlişki Grafiklerinde Görsel Çıkarım Sınırı

İletişim grafiğinde düğüm ve kenar sayısı arttığında bütün bağlantıları tek görüntüye çizmek analitik kanıt üretmez. Yüksek dereceli düğümler görsel alanı doldururken, düşük frekanslı fakat araştırma açısından önemli ilişkiler görünmeyebilir. Toplulaştırma, eşikleme ve örnekleme yöntemleri kullanılacaksa her birinin grafikten hangi kayıtları sakladığı açık olmalıdır. Görselde bulunmayan bir kenar, kaynak veri kümesinde o ilişkinin kesinlikle bulunmadığı anlamına gelmez.

Bir ağdaki bağlantı sayısı gözlem fırsatına da bağlıdır. Daha uzun süre izlenen veya daha fazla kayıt üreten hatların yüksek dereceye sahip olması, tek başına daha güçlü sosyal bağ göstermez. Düğüm merkeziliği veya topluluk çıktısı, zaman penceresi, veri kapsamı ve çoklu karşılaştırma etkisine göre sınanmalıdır. Aynı veri üzerinde onlarca eşik ve ölçüt denenerek seçilen en dikkat çekici görsel bulgu, bağımsız doğrulama olmadan istatistiksel anlamlılık kanıtı sayılmaz.

Raporlamada ham kayıt, türetilmiş ilişki ve yorum ayrı gösterilmelidir. Düğüm yerleşim algoritmasının iki düğümü ekranda yakın konumlandırması coğrafi yakınlık ya da kişiler arasında doğrudan ilişki kanıtlamaz. Kaynaktan türetilmiş her kenar için kullanılan zaman aralığı, kayıt filtreleri ve ilişki kuralı yeniden üretilebilir olmalıdır. Belirsizlik ve kapsam sınırını görünür tutmak, görsel sadelikten daha önemli bir doğrulama gereksinimidir.

Ünite 6: HTS Verilerinin Uçtan Uca Analizi

6.1. Uçtan Uca HTS Algoritması

INPUT:
    source files
    legal scope
    event context

1. PRESERVE
    hash originals
    create working copies
    record provenance

2. DETECT
    identify provider/file type
    validate workbook structure

3. PARSE
    map source columns
    preserve source row identity

4. NORMALIZE
    MSISDN
    IMEI
    timestamp
    event type
    cell

5. VALIDATE
    missing/invalid/outlier fields
    duplicate candidates

6. ENRICH
    subscriber
    TAC
    cell coordinates
    province/district

7. BASELINE
    counts
    active days
    quality metrics

8. SINGLE-TARGET
    contacts
    time
    device
    cell
    route/routine

9. MULTI-TARGET
    common contacts
    common IMEI
    common cells
    internal graph

10. EVENT-CENTRIC
    before/after
    location proximity
    temporal windows

11. CANDIDATE GENERATION
    anomaly
    possible same user
    ownership uncertainty
    social proximity

12. VERIFY
    source sampling
    alternate method
    technical review

13. REPORT
    observation
    deterministic derivation
    algorithmic candidate
    expert interpretation
    limitations

6.2. Sentetik Kayıtlar Üzerinde Analitik Doğrulama

Hat P: 05xx...201
Hat Q: 05xx...202
Hat R: 05xx...203
Olay zamanı: t0
Olay noktası: P0

Kayıtlar:

P → Hücre K, t0 - δ1
Q → Hücre K, t0 - δ2
R → Hücre L, t0 - δ3

0 < δ2 < δ1
P ve Q aynı cihaz kimliğiyle farklı zaman aralıklarında gözlenmiş.
J_irtibat(P,Q) = j_c
J_hücre(P,Q)   = j_b

Buradaki j_c ve j_b yalnız hesaplanan benzerlik değerlerini temsil eder; örnekte karar eşiği tanımlamaz.

Yanlış:

P ve Q olay yerindeydi ve aynı kişidir.

Teknik değerlendirme:

1. P ve Q'nun aynı hücreyi olay zamanına yakın aralıklarda kullanması zamansal-konumsal korelasyondur.
2. Hücre K'nın olay noktasına geometrik uzaklığı ayrıca hesaplanmalıdır.
3. Hücre kullanımı kesin cihaz konumu değildir.
4. Ortak cihaz kimliği cihaz ilişkisini gösterir; kullanıcı kimliğini tek başına belirlemez.
5. Jaccard değerleri küme benzerliğidir; kimlik kararı değildir.
6. Aynı kullanıcı hipotezine karşı eşzamanlı ve bağdaşmayan kullanım gözlemleri aranmalıdır.
7. Sonuç diğer bağımsız delillerle birlikte değerlendirilmelidir.

6.3. Sık Yapılan Hatalar

1. Baz kaydını GPS sanmak.
2. Abonelik sahibini otomatik fiilî kullanıcı kabul etmek.
3. Ortak IMEI'yi aynı kişi kararı saymak.
4. Çok görüşmeyi ilişkinin niteliği saymak.
5. Ortak irtibatı doğrudan örgütsel bağ saymak.
6. Algoritmik skoru delil puanı sanmak.
7. Tekilleştirme sırasında veri kökeni bilgisini kaybetmek.
8. Haritayı ölçümden daha kesin göstermek.
9. Yalnız hipotezi destekleyen bulguyu raporlamak.
10. Δt, R ve threshold gibi parametreleri gizlemek.
11. Eksik veri oranını hesaba katmamak.
12. Kaynak gözlem ile model/uzman yorumunu aynı cümlede eritmek.

6.4. Uzman Kontrol Listesi

6.4.1. Kaynak

• [ ] Özgün dosya korundu mu?
• [ ] Hash alındı mı?
• [ ] delil muhafaza zinciri kayıtlı mı?
• [ ] Sağlayıcı ve format belli mi?

6.4.2. Normalizasyon

• [ ] MSISDN kuralları belgeli mi?
• [ ] IMEI identifier olarak korunuyor mu?
• [ ] zaman damgası semantiği belli mi?
• [ ] Event mapping doğrulandı mı?
• [ ] Baz anahtarı teknik olarak doğru mu?

6.4.3. Analiz

• [ ] Ham/dedup ayrımı belli mi?
• [ ] Zaman toleransı raporlu mu?
• [ ] Mesafe eşiği raporlu mu?
• [ ] Eksik veri oranı biliniyor mu?
• [ ] Karşı hipotez test edildi mi?

6.4.4. Rapor

• [ ] Kaynak gözlem ile yorum ayrıldı mı?
• [ ] Harita sınırlılığı yazıldı mı?
• [ ] Algoritma açıklanabilir mi?
• [ ] Sonuç kaynak satıra geri izlenebilir mi?
• [ ] Teknik inceleme yapılabilir mi?

6.5. Kanıt Temelli Analitik Değerlendirme

HTS analizinde amaç daha az analiz yapmak değildir. Gereksiz iddiayı azaltıp kanıt zincirini güçlendirmektir.

Az varsayım.
Açık veri.
Açık dönüşüm.
Açık parametre.
Açık hata sınırı.
Tekrarlanabilir sonuç.

İyi bir sistem yüzlerce grafik üretebilir. İyi bir adli bilişim uzmanı hangi grafiğin sorulan teknik soruya cevap verdiğini bilir.

Bir milyon satır içinde önemli olan her satırı göstermek değil, sonucu üreten zinciri gösterebilmektir.

Ünite 7: İleri Analiz, İzlenebilirlik ve Doğrulama

7.1. Graf Kenarından Kaynak Kayda Geri İzlenebilirlik

İletişim grafiğinde çizilen bir kenar, kaynak verinin kendisi değil kaynak kayıtlardan türetilmiş bir ilişkidir. Bu nedenle açıklanabilir analizde yalnız “A ile B arasında bağlantı var” demek yeterli değildir; kullanıcı bu ilişkinin hangi olaylardan üretildiğine geri dönebilmelidir.

graf kenarı
   -> ilişkiyi destekleyen iletişim olayları
   -> canonical olay kimliği
   -> kaynak kayıt / türev kayıt

Kenarın ağırlığı toplam iletişim sayısı, süre veya başka bir özellikten türetilmiş olabilir. Yön bilgisi varsa hangi tarafın başlattığı, iletişim türü varsa hangi olay sınıflarının kenara katkı verdiği ayrıca korunmalıdır. Görselleştirme bu ayrıntıları özetleyebilir; fakat özet, kanıtın yerini almamalıdır.

Bu yaklaşım veri kökeni bilgisi ile kullanıcı etkileşimini birleştirir. Analist graf üzerinde dikkat çeken bir ilişkiyi seçtiğinde aynı yetki ve veri kapsamı içinde destekleyici kayıtları açabilmeli, gerekirse zaman çizelgesine veya özgün/türetilmiş kayda dönebilmelidir. Böylece grafik, sonuç üreten kapalı bir model yerine kaynak veriye geri izlenebilen bir inceleme yüzeyi olur.

Özellikle çok büyük veri kümelerinde bütün geçmişi yeniden taramak yerine, grafın hangi sınırlı ve yetkili sonuç kümesinden üretildiği de raporlanmalıdır. “Bu ilişki veri kümesinde vardır” ifadesi ile “bu ilişki incelenen zaman ve filtre kapsamındaki sonuçlarda görülmüştür” aynı iddia değildir.

Bu nedenle açıklanabilir grafik analizi şu eşitlikle özetlenebilir:

türetilmiş ilişki + kaynak kanıt yolu + kapsam bilgisi

Bu zincir, sonucun yeniden üretilebilirliğini ve adli bilişim açısından kaynak ile yorum arasındaki sınırı güçlendirir.

7.2. Yapısal ve Zamansal Ağ Ölçülerini Birlikte Okumak

Aynı iletişim kümesi farklı sorular için farklı ölçüler gerektirir. Düğüm derecesi, bir kişinin kaç farklı karşıyla ilişki kurduğunu; ağırlıklı derece toplam trafik yoğunluğunu; k-core ise düğümün yoğun bağlı yapının ne kadar iç kısmında kaldığını gösterir. Kesim noktası ve köprü ölçüleri ise yüksek derece aramaz; ağın farklı parçaları arasındaki yapısal geçişleri bulur.

Bu nedenle:

çok bağlantı        != yapısal köprü
yüksek çekirdek sayısı != yüksek PageRank
yüksek PageRank     != adli önem

ayrımları korunmalıdır. Aynı kişi düşük dereceye sahip olduğu halde iki alt ağı birbirine bağlayan tek kesim noktası olabilir. Başka bir düğüm yüksek dereceye sahip olsa da yoğun bir kümenin içinde alternatif yollar bulunduğu için köprü rolü taşımayabilir.

Yönlü HTS verisinde güçlü ve zayıf bağlantılı bileşenler de ayrı ele alınır. WCC, yönler kaldırıldığında aynı yapıda kalan düğümleri; SCC ise yönlere uyarak birbirine erişebilen düğümleri toplar. Yönü bilinmeyen iletişimi iki yönlü varsaymak SCC ve PageRank sonucuna yeni kenar eklemek demektir. Bu nedenle yönlü ölçüyle birlikte yön bilgisi kapsaması da raporlanmalıdır.

Ortak karşı analizinde klasik Jaccard yalnız kümeleri karşılaştırır. İki hedef aynı karşılarla ilişki kuruyor fakat iletişim yoğunlukları çok farklıysa ağırlıklı Jaccard daha fazla bilgi taşır:

J_w(A,B) = Σ_i min(w_Ai, w_Bi) / Σ_i max(w_Ai, w_Bi)

Burada w_Ai, A hedefinin i karşısıyla iletişim ağırlığıdır. Değer yine 0 ile 1 arasındadır. Küme benzerliği ile yoğunluk benzerliği aynı sonuç olarak sunulmamalıdır.

Ortak karşıların ayırt ediciliğini hesaba katmak için Adamic-Adar ölçüsü kullanılabilir:

AA(A,B) = Σ_{z ∈ N(A) ∩ N(B), deg(z) > 1} 1 / ln(deg(z))

Çok kişiyle ilişkili ortak bir düğüm daha az, az bağlantılı ortak bir düğüm daha fazla ağırlık alır. Ölçünün klasik kaynağı Adamic ve Adar'ın 2003 tarihli Friends and Neighbors on the Web çalışmasıdır: https://doi.org/10.1016/S0378-8733(03)00009-1

Benzerlik yalnız kişi kümesiyle sınırlı değildir. Her hedef için 24 boyutlu saat histogramı veya 7 boyutlu haftanın günü histogramı oluşturulup kosinüs benzerliği hesaplanabilir:

cos(A,B) = (A . B) / (||A|| * ||B||)

Bu sonuç, iki profilin zaman kullanım biçiminin benzerliğini gösterir; aynı kişi, aynı amaç veya koordinasyon sonucu değildir. Vektörlerden birinin normu sıfırsa sonuç tanımsızdır ve sıfır benzerlik diye zorlanmamalıdır.

Statik ağ yapısı zaman sırasını da gizleyebilir. A -> B ve B -> C kenarlarının graf üzerinde bulunması, A'dan C'ye zaman içinde bilgi veya olay akışının mümkün olduğunu göstermez. Bir zamana saygılı zincirde ikinci olay birinciden önce gerçekleşemez. Bu nedenle yön, maksimum adım sayısı, ardışık olaylar arasındaki maksimum boşluk ve toplam zaman aralığı açık parametreler olarak tutulmalıdır.

7.3. Analiz Kapsamı, Sağlam Referans Düzeyi ve Kalıcı Değişim

İletişim ve ağ ölçülerinin doğru hesaplanması, analiz edilen veri kümesinin sorgu evreninin tamamını temsil ettiği anlamına gelmez. Örneğin sorgu sonucunun yalnız ilk 3.000 kaydı yüklenmişse derece, PageRank veya Jaccard bu 3.000 kayıt üzerinde matematiksel olarak doğru hesaplanabilir; fakat devam eden sayfalardaki kayıtlar sonucu değiştirebilir.

Bu nedenle analitik çıktının yanında en az şu kapsam bilgileri tutulmalıdır:

yüklenen kayıt sayısı
sorgunun devamı var mı?
incelenen en erken / en geç zaman
yönü bilinen kayıt oranı
analize alınamayan kayıt sayısı

Kullanıcının "hesap doğru mu?" sorusu ile "hesap bütün veriyi mi kapsıyor?" sorusu ayrıdır.

Zaman serisinde de tek bir global eşik her profil için uygun değildir. Düzenli olarak belirli gün veya saatlerde yoğunlaşan iletişim için kişi veya grup geçmişinden türetilen yerel referans davranış (referans düzeyi) daha anlamlı olabilir. Eksik veya sınırlandırılmış ağ verisinin yapısal ölçüleri değiştirebildiği, sağlam ölçek kestiriminin ise aykırı değerlere karşı klasik ortalama/standart sapma çiftinden daha dayanıklı olabildiği literatürde ayrıntılı biçimde gösterilmiştir.[34], [42] Sağlam bir başlangıç:

m = median(history)
MAD = median(|x_i - m|)
sigma_r = MAD / 0.6745

ile kurulabilir. Yakın dönem seviyesini üstel ağırlıklı hareketli ortalama (EWMA), kalıcı küçük değişimleri birikimli toplam (CUSUM), tekil sıra dışı gözlemi ise sağlam sapma ayrı ayrı gösterebilir.[32], [31] Böylece "bugün olağandışı" ile "son haftalarda kalıcı biçimde yükseliyor" aynı bulguya indirgenmez.

Bu yaklaşımın adli sınırı değişmez: yöntemler aday örüntü üretir. Kaynak kayıt, kapsam, eksik veri, zaman doğruluğu, yön bilgisi ve alternatif açıklamalar görülmeden algoritmik skor adli sonuca dönüştürülemez.

7.3.1. Parametre Duyarlılığı ve Sınır Etkisi

Zaman toleransı, uzaklık sınırı, asgari olay sayısı veya anomali eşiği gibi parametreler aday kümesini doğrudan değiştirebilir. Bir analiz A(θ) ile gösterilsin. Yalnız tek bir θ0 değerindeki sonucu görmek, bulgunun parametre seçimine ne kadar duyarlı olduğunu göstermez.

Bu nedenle yöntemsel olarak makul bir parametre çevresinde:

θ ∈ Θ

için sonuçların korunup korunmadığı incelenebilir. Bir aday geniş bir makul aralıkta görünmeye devam ediyorsa parametreye daha dayanıklı; yalnız sınır değerine çok yakın seçimlerde ortaya çıkıyorsa sınır duyarlı olarak tanımlanabilir.

Bu inceleme bir güven olasılığı üretmez ve parametreyi geriye dönük olarak istenen sonucu verecek biçimde seçmek için kullanılmamalıdır. Amaç, sonucun hangi varsayıma ne ölçüde bağlı olduğunu görünür kılmaktır. Kullanılan parametre, incelenen alternatif aralık ve değişen sonuçlar raporlandığında analiz daha kolay yeniden üretilebilir ve eleştirilebilir.[14]

7.4. Sorgu Kapsamlı Analitik Projeksiyon

İletişim ve ağ analizinde grafın hangi veri evreninden üretildiği, kullanılan algoritma kadar önemlidir. Bütün arşiv yerine belirli tarih, hedef, olay türü veya başka ölçütlerle tanımlanan bir kayıt altkümesi inceleniyorsa ağ, bu kayıt altkümesinin analitik projeksiyonu olarak değerlendirilmelidir.

sorgulama kapsamı
       ↓
analize giren kayıt kümesi
       ↓
analitik anlık görüntü
       ↓
graf / tablo / zaman çizelgesi

Tablo, graf ve zaman çizelgesi aynı kayıt kümesinin farklı temsilleridir; ayrı kanıt kümeleri değildir. Bir alt grafın seçilmesi veya bazı düğümlerin analiz dışında bırakılması, bu kapsam değişikliği açıkça tanımlanmadıkça kaynak veri evreni hakkında yeni bir iddia oluşturmaz.

Kayıt kümesinin tamamının elde edilmediği durumlarda yapısal ölçüler mevcut alt graf üzerinde matematiksel olarak doğru hesaplanabilir, fakat daha geniş veri geldiğinde değişebilir. Bu nedenle en az şu üç kavram ayrı tutulmalıdır:

sorgu kapsamı       = hangi kayıtların inceleme evrenine ait olduğu
analiz kümesi       = hesaplamaya gerçekten giren kayıtlar
analitik temsil     = bu kayıtların tablo, graf veya zaman dizisi biçimi

Ağ sınırının nasıl çizildiği ve hangi kayıtların gözlem dışında kaldığı derece, merkezilik, benzerlik ve topluluk ölçülerini değiştirebilir.[34] Sonuç, hesaplandığı veri kapsamıyla birlikte raporlanmalıdır.

7.5. Olay Grafı ile Toplulaştırılmış İlişki Grafını Ayırmak

HTS/CDR verisinde aynı iki uç arasında yüzlerce veya binlerce iletişim olayı bulunabilir. Her olayı ayrı kenar olarak çizmek kaynak kayda en yakın gösterimdir; ancak büyük veri kümelerinde görsel karmaşa oluşturur. Bunun yerine iki farklı görünüm açık biçimde ayrılabilir:

olay grafı
A --cc1--> B
A --cc2--> B
A --cc3--> B

ilişki grafı
A == 3 olay ==> B

Toplulaştırılmış ilişki kenarı yeni bir kanıt değildir. Aynı iki uç arasındaki mevcut olayların özetidir. Bir ilişki için tutulabilecek alanlar örneğin şunlardır:

event_count
first_seen
last_seen
known_total_duration
distinct_days
event_type_distribution
known_direction_count
evidence_references

Süre, yön veya olay türü kaynakta yoksa ya da güvenilir biçimde normalize edilemiyorsa eksik değer açıkça korunmalıdır. Özellikle yönü bilinmeyen bir iletişimi görselleştirme kolaylığı için A -> B veya B -> A biçimine zorlamak, daha sonra yönlü merkezilik ve SCC gibi hesaplara da yanlış kenar ekler.

Toplulaştırma ile kaynak kayda dönüş yolu birlikte tasarlanmalıdır:

A == 37 olay ==> B
        ↓
ilişkiyi oluşturan 37 kayıt
        ↓
seçilen olay
        ↓
kaynak / canonical kayıt

Böylece graf üzerinde tek bir kenar gösterilmesine rağmen analist bu kenarın hangi olaylardan oluştuğunu görebilir. Kenar kalınlığı iletişim sayısının görsel karşılığı olarak kullanılacaksa doğrusal olmayan, sınırlandırılmış bir ölçek tercih edilebilir; aksi halde çok yüksek sayılı tek bir ilişki bütün görünümü baskılayabilir.

İlişki görünümü örüntüyü, olay görünümü ise kanıt ayrıntısını öne çıkarır. İkisi birbirinin alternatifi değil, aynı veri üzerinde farklı çözünürlük düzeyleridir.

7.6. Aşamalı ve Sınırlandırılmış Alt Graf Çıkarımı

Çok büyük iletişim ağlarında bütün düğümleri aynı anda incelemek yerine, belirli bir odak düğümün çevresindeki yapı sınırlı adım sayısıyla çıkarılabilir. Bu amaçla sınırlandırılmış genişlik öncelikli arama (BFS) kullanılabilir:

odak düğüm
   ↓
1 adım komşular
   ↓
2 adım komşular
   ↓
max_hops / max_nodes / max_edges sınırı

Komşuluk listesi hazırsa klasik BFS'nin üst sınırı:

O(V + E)

olur.[11] max_hops, max_nodes ve max_edges gibi sınırlar yalnız hesaplama ve inceleme kapsamını daraltır; sınır dışında kalan düğümlerin veri kümesinde bulunmadığı anlamına gelmez.

Aşamalı çıkarımda algoritmanın hangi düğümleri önce ele aldığı da yeniden üretilebilir olmalıdır. Aynı uzaklıktaki düğümlerde derece, kimlik veya başka açık bir ikincil anahtar kullanılabilir; seçilen bağ çözme kuralı raporlanmalıdır. Büyük graflarda odağı bulma, bağlamı koruma ve gerektiğinde çevreyi genişletme yaklaşımı görsel analitik literatüründe de önerilmektedir.[19], [43]

Sınırlandırılmış alt graf, kaynak ağın tamamının yerine geçmez. Yapısal yorum yalnız çıkarımda kullanılan düğüm, kenar ve adım sınırları içinde geçerlidir.

7.7. Sürümlü Analitik Anlık Görüntü ve İndeksleme

Aynı kayıt kümesi değişmediği sürece ağ yapısı, ilişki toplulaştırmaları ve yapısal ölçüler aynı analitik sürüme aittir. Bu nedenle pahalı türetmelerin her inceleme adımında yeniden hesaplanması yerine, girdiyi tanımlayan sürümle birlikte saklanan bir analitik anlık görüntü kullanılabilir.

kayıt kümesi + kapsam + kural sürümü
              ↓
        analitik sürüm N
              ↓
        analitik anlık görüntü
        ├─ düğümler
        ├─ ilişkiler
        ├─ komşuluk yapısı
        ├─ bileşenler
        ├─ merkezilik ölçüleri
        └─ kanıt bağlantıları

Yeni kayıtların analize eklenmesi, kapsamın değişmesi veya türetim kuralının sürüm değiştirmesi yeni bir analitik sürüm gerektirir. Buna karşılık yalnız aynı kayıtların farklı biçimde gösterilmesi analitik sonucu değiştirmemelidir.

Tekrarlanan tam taramaları azaltmak için genel indeksler kurulabilir:

uç nokta       → olay kayıtları
kanonik çift   → toplulaştırılmış ilişki
 düğüm         → komşu düğümler

N kayıt için bu tür indekslerin tek geçişli kurulumu çoğu durumda O(N) maliyetindedir. Hash tabanlı bir indekste belirli anahtara erişim ortalama O(1) arama ve dönen sonuç sayısı kadar O(k) işlem gerektirir. Komşuluk yapısı üzerinde BFS O(V + E), PageRank'in t yinelemesi ise yaklaşık O(t(V+E)) iş yüküne sahiptir.[11]

Bu sürümleme, veri kökeniyle birlikte tutulmalıdır. W3C PROV-O, varlık, etkinlik ve türetim ilişkileri üzerinden veri kökenini temsil etmek için genel bir model sunar.[38] Her analitik sürüm için girdi kapsamı, dönüşüm kuralı ve kaynak kayda dönüş yolu bilindiğinde aynı sonuç bağımsız olarak yeniden üretilebilir.

7.8. Kayıt Semantiği, Kayıt Çoğulluğu ve Güvenli Tekilleştirme

HTS/CDR incelemesinde birbirine benzeyen iki satırın aynı olayı temsil ettiği otomatik olarak varsayılmamalıdır. Ücretlendirme ve trafik kayıtları farklı ağ bileşenlerinde, farklı hizmet alanlarında veya farklı dışa aktarım süreçlerinde üretilebilir. 3GPP'nin CDR parametrelerini ve dosya aktarımını ayrı teknik şartnamelerde ele alması da kayıt semantiğinin yalnız ekrandaki birkaç kolondan ibaret olmadığını gösterir.[28], [27]

Bu nedenle üç kavram ayrılmalıdır:

aynı dosyanın / satırın tekrar alınması
        ≠
aynı haberleşme olayına ilişkin birden fazla kaynak kayıt
        ≠
aynı taraflar arasındaki farklı haberleşme olayları

Tekilleştirme (deduplication), yalnız DISTINCT çalıştırmak değildir. Kullanılan anahtarın hangi alanlardan oluştuğu, saniye çözünürlüğü, yön, hizmet türü, hücre bilgisi, cihaz kimliği ve sağlayıcıya özgü alanlar sonucu değiştirebilir.

Güvenli yaklaşım:

RAW kayıt
  ↓
duplicate adayı
  ↓
kaynak alanları karşılaştır
  ↓
aynı olay olduğuna ilişkin kuralı uygula
  ↓
RAW satırlarını koru
  ↓
tekilleştirilmiş görünüm üret

Tekilleştirilmiş görünüm, özgün kaynağın yerine geçmemelidir. Hangi satırların hangi kuralla tek bir analitik olaya birleştirildiği geriye doğru izlenebilmelidir. SWGDE'nin kaynak veriyi, sağlayıcı açıklamalarını ve inceleme zincirini koruma yaklaşımı bu ayrımı destekler.[7], [10]

7.9. Zaman Semantiği, Çözünürlük ve Toplulaştırma

Bir HTS zaman damgasının anlamı yalnız tarih-saat biçiminden çıkmaz. Analizden önce en az şu sorular açıklığa kavuşturulmalıdır:

hangi zaman dilimi?
UTC mi yerel saat mi?
yaz/kış saati dönüşümü var mı?
timestamp olay başlangıcını mı bitişini mi gösteriyor?
saniye mi dakika mı çözünürlük var?
sağlayıcı yuvarlama yapıyor mu?

Zaman çözünürlüğü, olay sıralamasını ve "aynı anda" yorumunu doğrudan etkiler. İki kayıt aynı dakika değerini taşısa bile kaynak sistem saniyeyi saklamıyorsa gerçek sıralama bilinmeyebilir. Bu durumda yapay bir sıra üretmek yerine eşzamanlılık belirsizliği korunmalıdır.[7]

Toplulaştırma da ayrı bir analitik karardır. Mokhtari ve arkadaşları gerçek operatör CDR'lerini beş dakikalık gelen/giden etkinliklerden saatlik çağrı sayılarına dönüştürerek zaman serisi üzerinde çalışmıştır.[33] Bu örnek, pencere boyutunun bulguyu değiştirebileceğini gösterir:

5 dakika  → kısa süreli sıçrama görünür
1 saat    → kısa sıçrama yumuşayabilir
1 gün     → saat içi yapı kaybolabilir

Bu nedenle raporda yalnız "anomali bulundu" değil, hangi zaman çözünürlüğünde ve hangi toplulaştırma kuralıyla bulunduğu da belirtilmelidir. Zamansal ağ literatürü de iletişim kenarlarının sürekli etkin ilişkiler değil, belirli zamanlarda gerçekleşen olaylar olarak ele alınmasının yapısal yorumu değiştirdiğini gösterir.[20]

7.9.1. Eşit Zaman Damgalarında Teknik Sıra ile Olay Sırasını Ayırmak

Kaynak zaman çözünürlüğü iki olayı birbirinden ayırmaya yetmiyorsa gerçek kronolojik sıra bilinmeyebilir. Buna rağmen veri işleme, aynı girdide aynı çıktıyı üretmek için tam bir teknik sıralama anahtarına ihtiyaç duyabilir.

Örneğin:

K(e) = (zaman_damgası, kaynak_sırası, kaynak_kayıt_kimliği)

gibi bir anahtar kararlı işleme sırası sağlayabilir. Buradaki ikinci ve üçüncü bileşenler teknik bağ çözme anahtarıdır; olayların gerçek dünyada bu sırayla gerçekleştiğini göstermez.

Bu ayrım özellikle zaman çizelgesi, ardışık olay farkı ve zamansal yol analizinde önemlidir. Kaynak çözünürlüğünün ayıramadığı olaylar gerekiyorsa aynı zaman sınıfında tutulmalı; teknik sıralama yalnız hesaplamanın yeniden üretilebilirliği için kullanılmalıdır.

7.10. Numara, Abonelik ve Cihaz Kimliğini Doğru Katmanda Tutmak

Telefon numarası, şebeke aboneliği ve cihaz kimliği aynı kavram değildir. ITU-T E.164 uluslararası kamusal telekomünikasyon numaralandırma planını; ITU-T E.212 ise kamusal ağlar ve abonelikler için uluslararası kimlik planını tanımlar.[40], [44] 3GPP TS 23.003 de mobil sistemlerdeki numaralandırma, adresleme ve kimlikleri birlikte ele alır.[36]

Pratik model:

E.164 numarası / MSISDN → numaralandırma ve yönlendirme bağlamı
IMSI                    → abonelik / şebeke kimliği
IMEI                    → cihaz kimliği

IMEI tarafında GSMA TS.06, IMEI/TAC tahsis ilkelerini ve tekilliğin korunmasını tanımlar.[41] Bu nedenle:

aynı IMEI + farklı hat

tek başına "aynı kişi" sonucunu vermez;

aynı hat + farklı IMEI

de tek başına "cihaz kesin değişti" sonucuna dönüştürülmemelidir. Zaman, kayıt kalitesi, sağlayıcı semantiği ve başka bulgular birlikte değerlendirilmelidir.

Numara normalizasyonunda da hedef, kaynağı silmek değil karşılaştırılabilir bir kanonik değer üretmektir:

source_value
canonical_value
normalization_rule_version

birlikte saklanmalıdır. Böylece +90..., 0090... veya yerel gösterimlerin aynı numaraya dönüştürülmesi denetlenebilir; özgün gösterim kaybolmaz.[40]

7.11. Konum Kanıtının Katmanları ve Geometrik Mesafenin Sınırı

Konum analizi tek bir "baz koordinatı" alanına indirgenmemelidir. Tarihsel hücre kaydı, cihazın belirli bir olay sırasında hangi hücre/sektörle ilişkilendirildiğine dair şebeke gözlemidir; cihazın kesin fiziksel koordinatı değildir. SWGDE'nin güncel Historical Cell Site Analysis çalışması ile RF propagation survey rehberi bu ayrımı özellikle önemli hale getirir.[7], [45]

Konumla ilişkili veri kaynakları aynı kanıt türü değildir:

cell / sector kaydı
        ↓
şebeke tabanlı ek ölçüler
        ↓
sağlayıcıya özgü konum kestirimi
        ↓
olaydan sonra yapılan RF saha ölçümü

Bir saha ölçümü geçmiş olay anındaki radyo ortamını birebir yeniden üretmez. Hava, yük, anten yapılandırması, çevresel engeller ve ağ optimizasyonu zaman içinde değişebilir.[45]

Haversine gibi küresel geometrik formüller iki koordinat arasındaki yaklaşık yüzey mesafesini hesaplar. Bu değer:

baz ile cihaz arasındaki gerçek radyo yolu

veya

hücrenin kesin kapsama yarıçapı

değildir. Yüksek jeodezik doğruluk gerektiğinde elipsoit üzerinde doğrudan/ters jeodezik algoritmalar kullanılabilir; Karney bu problem için yüksek doğruluklu ve sağlam yöntemler sunar.[16]

Dolayısıyla konum raporunda üç değer birbirinden ayrılmalıdır:

kaynak şebeke gözlemi
hesaplanan geometrik türev
uzman yorumu

7.12. Veri Kökeni ve Analitik Soy Ağacı

Hash yalnız dosyanın byte bütünlüğünü destekler. Bir graf kenarının, zaman serisi anomalisinin veya ortak irtibat skorunun hangi dönüşümlerden geçerek üretildiğini ayrıca göstermek gerekir.

W3C PROV-O, farklı sistemlerde köken bilgisini varlıklar (entity), etkinlikler (activity) ve türetim ilişkileri üzerinden temsil etmek için genel bir model sağlar.[38] HTS için bunun sade bir mühendislik karşılığı kurulabilir:

kaynak dosya
   ↓ normalization[v]
kanonik veri
   ↓ dedupRule[v]
analitik veri
   ↓ queryScope + pageState
analitik anlık görüntü
   ↓ algorithm[v] + parameters
graf / zaman çizelgesi / aday
   ↓
rapor

Her dönüşüm için mümkün olduğunca şu bilgiler tutulabilir:

girdi kimliği / hash
algoritma veya kural sürümü
parametreler
çalıştırma zamanı
girdi kayıt sayısı
elenen / hatalı kayıt sayısı
çıktı kimliği / hash

Bu kayıtlar her projede PROV-O ontolojisinin tamamının uygulanmasını gerektirmez. Amaç, bir sonucun kaynağa geri yürütülebilmesi ve aynı kuralla yeniden üretilebilmesidir. Bu yaklaşım NIST/ISO/SWGDE'nin bütünlük, tekrarlanabilirlik ve delil yönetimi ilkeleriyle uyumludur.[17], [14], [21], [10]

7.12.1. Veri Kalitesinin Türetilmiş Sonuca Taşınması

Veri kalitesi yalnız incelemenin başında bir kez ölçülüp unutulmamalıdır. Bir türetilmiş sonucun hangi veri koşulları altında üretildiği de görülebilmelidir.

Örneğin aynı tür iki korelasyon sonucu için şu boyutlar farklı olabilir:

zaman kapsaması
konumu çözümlenebilen kayıt oranı
yön bilgisi bulunan kayıt oranı
kaynak çeşitliliği
geçersiz veya çözümlenemeyen kayıt sayısı

Bu boyutların tek bir "güven puanı" içinde eritilmesi zorunlu değildir. Zaman kapsamasındaki eksiklik, konum çözünürlüğündeki eksiklikle aynı sorun değildir ve biri diğerini telafi etmez. Ayrı kalite göstergeleri, analistin sonucun hangi yönden güçlü veya sınırlı olduğunu görmesini sağlar.

Kaynak satıra geri dönüş yolu ile kalite bilgisi birlikte tutulduğunda, türetilmiş bir aday yalnız değer olarak değil, hangi kapsam ve veri niteliğinden üretildiğiyle birlikte denetlenebilir.

7.13. Eksik veya Sınırlandırılmış Ağlarda Ölçülerin Kapsamı

Ağ ölçülerinde en sık yapılan hatalardan biri, gözlenen alt grafın bütün ağı temsil ettiğini varsaymaktır. Kossinets, eksik ağ verisinin ve özellikle ağ sınırının nasıl çizildiğinin kümeleşme, assortativity ve başka ağ düzeyi istatistiklerini belirgin biçimde değiştirebildiğini göstermiştir.[34]

HTS açısından eksiklik farklı nedenlerle oluşabilir:

hukuki / yetkisel kapsam
zaman aralığı
operatör kapsamı
yalnız belirli hedeflerin sorgulanması
sayfalama / yükleme sınırı
eksik veya hatalı kayıt
normalizasyon kaybı

Bu nedenle:

PageRank(v) = p

ifadesinin tek başına anlamı yoktur. Daha doğru ifade:

N_gözlenen kayıt ve tanımlı sorgu kapsamından
üretilen graf üzerinde PageRank(v) = p

şeklindedir.

Aynı kural derece, k-core, bağlı bileşen, bridge, ortak komşu, Jaccard, Adamic-Adar ve topluluk tespiti için de geçerlidir. Hesap matematiksel olarak doğru olabilir; fakat kapsam büyüdüğünde değer değişebilir.[34], [4]

7.14. Zamansal ve Çok Katmanlı İletişim Ağı

Telefon iletişiminde bir kenarın yalnız "var" olması çoğu zaman yetersizdir. Arama, SMS ve veri oturumu farklı olay türleridir; ayrıca aynı iki uç arasındaki olayların sırası ve zamanı analitik anlam taşır.

Zamansal ağ yaklaşımında kenarlar belirli zamanlarda etkinleşen olaylar olarak ele alınır.[20]:

A --t1 arama--> B
A --t2 SMS-----> B
B --t3 arama--> C

t1 < t2 < t3

Bu yapı, statik grafın kaybettiği sıra bilgisini korur. Örneğin zaman uyumlu yol (time-respecting path), yalnız kenarların varlığını değil zaman sırasının ileri doğru izlenebilmesini de gerektirir.

Çok katmanlı ağ yaklaşımı ise farklı ilişki türlerini tek bir kenarda eritmek yerine katmanlar halinde incelemeye olanak verir.[35]:

VOICE katmanı
SMS katmanı
DATA katmanı
DEVICE ilişkisi
CELL gözlemi

Bu katmanların fiziksel olarak ayrı veri tabanlarında tutulması zorunlu değildir. Kavramsal ayrımın amacı, "173 etkileşim" sayısının hangi olay türlerinden oluştuğunu kaybetmemektir.

7.15. Merkezilik, Topluluk ve Bağlantı Adayı Üretiminin Sınırları

Derece, PageRank, k-core veya aradalık merkeziliği gibi merkezilik ölçüleri graf içindeki yapısal konumu özetler; sosyal statü, örgütsel rol veya hukuki nitelik ölçmez.

Topluluk tespiti de aynı sınıra sahiptir. Traag, Waltman ve van Eck, Louvain yönteminin kötü bağlanmış hatta bazı koşullarda kopuk topluluklar üretebildiğini göstermiş; Leiden yaklaşımını bu yapısal sorunları gidermek üzere geliştirmiştir.[46] Dolayısıyla algoritmanın bir grup üretmesi:

gerçek sosyal grup
örgüt
aile
iş ilişkisi
suç ilişkisi

sonuçlarından hiçbirini tek başına kanıtlamaz.

Bağlantı adayı üretiminde ortak komşu temelli yöntemler de yalnız yapısal benzerliktir. Adamic-Adar yaklaşımı, az rastlanan ortak komşulara daha yüksek ağırlık vererek olası bağlantıları sıralamak için geliştirilmiştir.[4] HTS'de böyle bir skor:

incelenmesi gereken ilişki adayı

üretebilir; "ilişki vardır" şeklinde adli bir hüküm üretmez.

7.16. Büyük Graflarda Aşamalı Görsel Analiz

Graf arayüzünün amacı bütün düğümleri aynı anda göstermek değil, analistin sorusunu yanıtlayacak bağlamı yönetilebilir biçimde sunmaktır.

Van Ham ve Perer'in "search, show context, expand on demand" yaklaşımı büyük graflarda önce ilgilenilen odağın bulunmasını, bağlamının gösterilmesini ve gerektiğinde çevresinin genişletilmesini önerir.[19] Progressive visual analytics literatürü de uzun süren veya kısmi analitik sonuçların tamamlanma durumu açıkça gösterilerek incelenebileceğini ortaya koyar.[43]

HTS arayüzüne uyarlanmış güvenli model:

arama sonucu
   ↓
sürümü belli analitik anlık görüntü
   ↓
odak düğüm / ilişki
   ↓
1-2 adım çevre
   ↓
kanıt kayıtlarına dönüş

Burada "genişlet" komutu sessizce daha geniş bir veri evreni sorgulamamalıdır. Yalnız mevcut anlık görüntüdeki görünürlük değişiyorsa bunun bir görünüm işlemi olduğu açık kalır. Yeni veri yüklemek ayrı ve kullanıcı tarafından başlatılan bir sorgu işlemidir.

Bu ayrım görsel sadelik kadar adli kapsam kontrolü için de önemlidir.

7.17. Anomali Tespitinde Problem Tanımı ve Model Seçimi

Anomali, "şüpheli" ile eş anlamlı değildir. Gözlenen değerin tanımlanmış bir referans davranıştan beklenmedik ölçüde sapmasıdır. Anomali tespit literatürü istatistiksel, uzaklık/yoğunluk, kümeleme ve öğrenme tabanlı çok sayıda yöntem ailesi içerir.[9]

HTS zaman serisinde farklı sorular farklı yöntemler gerektirir:

tekil sağlam sapma        → medyan / MAD
küçük ve kademeli kayma   → EWMA
kalıcı küçük seviye kayması → CUSUM
rejim değişimi            → değişim noktası tespiti
beklenenden sapma         → tahmin artığı

MAD için:

m = median(x)
MAD = median(|x_i - m|)

sağlam bir ölçek başlangıcı sağlar; Rousseeuw ve Croux MAD'ın güçlü ve sınırlı etkili yapısını ayrıntılı incelemiştir.[42]

EWMA geçmiş gözlemlere zamanla azalan ağırlık vererek küçük/kademeli kaymalara duyarlılık sağlar.[32] CUSUM ise ortalamadaki küçük fakat kalıcı kaymaları birikimli biçimde izlemek için kullanılabilir.[31]

Birden çok değişim noktasının aranması gerektiğinde PELT gibi yöntemler, belirli koşullar altında gözlem sayısıyla doğrusal beklenen maliyete yaklaşan kesin bölümleme sağlayabilir.[23]

Hiçbiri evrensel olarak "en iyi" değildir. Model seçimi olay türü, zaman çözünürlüğü, mevsimsellik, eksik veri ve yanlış alarm maliyetiyle birlikte yapılmalıdır.

7.17.1. Zaman Izgarasında Sıfır ile Bilinmeyeni Ayırmak

Zaman serisi kurulurken yalnız olay bulunan zaman dilimlerini listelemek dağılımı değiştirebilir. Önce analiz aralığı için sabit bir zaman ızgarası tanımlanmalı, sonra her dilimin gözlenebilirlik durumu belirlenmelidir.

En az üç durum ayrılabilir:

gözlenen etkinlik  → kapsanan dilimde bir veya daha çok olay var
gözlenen sıfır     → kaynak bu dilimi kapsıyor, olay yok
bilinmeyen         → kaynağın bu dilimi gözleyip gözlemediği belirlenemiyor

bilinmeyen bir dilimi sessizce 0 yapmak, veri eksikliğini davranış yokluğu gibi modele sokar. Tersine, gerçekten kapsandığı doğrulanmış boş dilimleri seriden tamamen çıkarmak da etkinlik ortalamasını ve yayılımını yukarı doğru çarpıtabilir.

Bu nedenle sağlam sapma, EWMA, CUSUM veya tahmin artığı gibi yöntemlerden önce zaman ızgarasının nasıl oluşturulduğu ve boş dilimlerin hangi kuralla sınıflandırıldığı belirtilmelidir. "Kayıt yok" ile "gözlenmiş sıfır" aynı veri durumu değildir.

7.18. CDR Üzerinde Toplulaştırılmış Trafik Anomalisi ve Tahmin Artığı

Mokhtari, Ghorbani ve Bahrak gerçek bir mobil operatörden anonimleştirilmiş üç aylık CDR verisini kullanarak toplulaştırılmış çağrı trafiği üzerinde zaman serisi temelli anomali tespiti uygulamıştır.[33] Çalışmada beş dakikalık gelen/giden aktivite saatlik sayımlara dönüştürülmüş; GARCH, K-means ve sinir ağı temelli tahminler hibrit biçimde karşılaştırılmıştır.

Bu çalışmanın temel analitik değeri yöntemin kendisinden çok şu akışta görülür:

ham olaylar
   ↓
zaman penceresinde toplulaştır
   ↓
beklenen değeri / örüntüyü öğren
   ↓
gözlenen - beklenen farkını hesapla
   ↓
eşik / model kararı
   ↓
anomali adayı

Tahmin artığı:

e_t = y_t - y_hat_t

olarak yazılabilir. |e_t| büyüdükçe gözlenen değer modelin beklediğinden uzaklaşır. Ancak eşiğin nasıl seçildiği, modelin hangi dönem üzerinde eğitildiği ve mevsimselliğin nasıl ele alındığı sonucu doğrudan etkiler.[33], [9]

Makalenin kendi veri setinde raporlanan yüksek doğruluk ve düşük yanlış pozitif oranları evrensel HTS performansı olarak kullanılmamalıdır. Çalışma sınırlı bir veri kümesine dayanır ve veriler ticari kısıt nedeniyle yayımlanmamıştır.[33] Ayrıca çalışma metnindeki eğitim/test yüzdeleri toplamında görülen tutarsızlık, yayımlanmış bir kaynaktaki sayısal bilgilerin de eleştirel okunması gerektiğini gösterir.

Hibrit kararın iki genel biçimi vardır:

A veya B veya C işaretledi → daha geniş aday kümesi
A ve B ve C işaretledi    → daha yüksek yöntem uzlaşması

Bu iki yaklaşımın precision/recall etkisi yöntemlerin hata korelasyonuna ve veri dağılımına bağlıdır; yalnız mantıksal birleşimden performans garantisi çıkmaz.

7.19. Yanlış Pozitif, Temel Oran ve Çoklu Sınama Problemi

HTS analizinde binlerce numara, saat, gün, hücre veya ilişki çifti aynı anda taranabilir. Çok sayıda aday üzerinde aynı istatistiksel testin tekrarlanması, tek tek düşük görünen hata olasılıklarının toplamda çok sayıda yanlış işaret üretmesine yol açabilir.

Bu nedenle şu iki soru ayrıdır:

bu adayın skoru yüksek mi?
çok sayıda aday tarandığında böyle bir skor tesadüfen kaç kez beklenir?

Benjamini-Hochberg yaklaşımı, çoklu hipotez testlerinde yanlış keşif oranını (false discovery rate, FDR) denetlemek için geliştirilmiştir.[8] HTS'de her skorun mutlaka p-değerine dönüştürülmesi gerekmez; fakat çoklu karşılaştırma etkisinin farkında olmak gerekir.

Dengesiz veri kümelerinde yalnız accuracy de yanıltıcı olabilir. Anomali çok seyrekse bütün kayıtları "normal" olarak sınıflandıran bir model yüksek doğruluk gösterebilir. Bu nedenle uygun probleme göre:

yanlış pozitif oranı
yanlış negatif oranı
precision
recall
PR eğrisi
ROC
temel anomali oranı

birlikte değerlendirilmelidir.[33], [9]

Adli yorumda yanlış pozitif yalnız teknik maliyet değildir; analistin dikkatini yanlış yöne çekebilir. Bu nedenle skor, kapsam ve destekleyen kaynak kayıt aynı ekranda/raporda görülebilmelidir.

7.20. 5G Ve Değişen Kayıt Semantiği

CDR kavramı yalnız klasik ses aramasına indirgenmemelidir. 3GPP TS 32.297 ve TS 32.298 güncel charging mimarisinde CDR dosya biçimi/aktarımı ile CDR parametrelerini tanımlamaya devam eder.[28], [27] 5G veri bağlantısı alanı için TS 32.255 ayrıca charging yönetimini tanımlar ve Release 20 altında değişiklik kontrolündedir.[26]

Bu durum iki önemli sonuç doğurur:

1. Şebekenin teknik olarak üretebildiği alanlar zaman içinde ve servis türüne göre değişir.
2. Adli makama veya analiste verilen operatör çıktısı, ilgili 3GPP şartnamesindeki bütün alanları içermek zorunda değildir.

Bu nedenle kanonik şema:

zorunlu evrensel kolonlar

varsayımıyla değil,

kaynakta mevcut alan
→ doğrulanmış anlam
→ canonical alan
→ veri kalitesi bayrağı

zinciriyle kurulmalıdır.

Yeni nesil ağlarda ses, mesajlaşma, paket veri ve hizmete özgü charging kayıtlarının semantiği farklı olabilir. Olay tipi bilinmiyorsa OTHER veya sağlayıcı kodu korunmalı; yalnız isim benzerliğinden anlam üretilmemelidir.

7.21. Gelişmiş Modeller, Temel Model ve Genellenebilirlik

Makine öğrenmesi veya graf sinir ağı kullanılması, açıklanabilir temel yöntemleri gereksiz hale getirmez. Zamansal mobil bağlantı verisi üzerinde yapılan güncel çalışmalar, daha karmaşık modellerin her durumda basit temel modelleri geçmediğini göstermektedir.[22]

Bu nedenle model değerlendirme sırası:

basit ve açıklanabilir temel model
        ↓
zaman sırasını koruyan eğitim/doğrulama/test ayrımı
        ↓
daha karmaşık model
        ↓
aynı metriklerle karşılaştırma
        ↓
dış örnek / dönem doğrulaması

olmalıdır.

Özellikle zaman serilerinde rastgele train/test bölmek veri sızıntısına yol açabilir. Gelecekteki dönemi tahmin eden model geçmişten eğitilmeli; doğrulama ve test dönemleri kronolojik olarak daha sonra gelmelidir.

Model çıktısı:

risk skoru
anomali olasılığı
bağlantı adayı
küme etiketi

olabilir. Bunların hiçbiri tek başına kimlik, konum, ilişki niteliği veya hukuki sorumluluk tespiti değildir.

7.22. Teknik Doğrulamayı Raporun Parçası Yapmak

İyi bir HTS raporu yalnız sonuç tablosu değildir; sonucun hangi veri ve yöntemle üretildiğini de gösterir.

Asgari doğrulama matrisi:

veri kapsamı             → tarih / hedef / operatör / yüklenen kayıt
kaynak bütünlüğü         → hash / teslim bilgisi
normalizasyon            → kural sürümü / başarısız kayıtlar
tekilleştirme            → kural / HAM-TÜRETİLMİŞ ayrımı
zaman                     → timezone / çözünürlük / toplulaştırma
konum                     → kaynak türü / geometrik türev / RF sınırı
graf                      → directed/undirected / layer / kapsam
anomali                   → baseline / pencere / eşik / model sürümü
algoritma                 → parametreler / deterministik seed gerekiyorsa seed
kanıt bağlantısı          → source_file + source_row / canonical record

Bu yapı analizi yeniden üretilebilir kılar ve uzman yorumunu algoritmik çıktıdan ayırır.[14], [21], [10], [38]

Son ilke değişmez:

ölç
kapsamı göster
kaynağa geri dön
alternatif açıklamayı sınamadan hüküm verme

7.22.1. Analitik Değişmezlerle Doğrulama

Bir algoritmanın beklenen davranışı yalnız örnek sonuçlarla değil, yöntemden türeyen değişmezlerle de sınanabilir. Bu tür kontroller adli sonucun doğruluğunu tek başına kanıtlamaz; fakat uygulamanın aynı matematiksel tanımı tutarlı biçimde uygulayıp uygulamadığını gösterir.

Örnek değişmezler:

Girdi sırasından bağımsız bir analiz:
F(X) = F(π(X))

Tekilleştirme:
D(D(X)) = D(X)

Yönsüz ortaklık ölçüsü:
C(A,B) = C(B,A)

Burada π(X), aynı kayıtların farklı sıradaki bir permütasyonudur. Tekilleştirme için ikinci uygulamanın yeni kayıt kaybı üretmemesi beklenir. Yönsüz bir ortaklık ölçüsünde tarafların yer değiştirmesi sonucu değiştirmemelidir.

Bunlara ek olarak sınır değerleri ayrıca sınanmalıdır:

tam tolerans sınırındaki zaman farkı
eşit zaman damgaları
eksik konum
boş küme
tek kayıt
tekrarlanan aynı kaynak satır

Son olarak her türetilmiş bulgunun en az bir kaynak gözlemine geri izlenebilmesi bir veri kökeni değişmezi olarak ele alınabilir. Bu kontroller, yeniden üretilebilirlik ve bağımsız teknik inceleme ilkelerini uygulama düzeyine taşır.[14], [11]

7.22.2. Kapsam Farkındalıklı İlişki Değeri ve Dağılım Analizi

İletişim verisinde bir ilişkinin yalnız toplam olay sayısıyla sıralanması çoğu durumda yetersizdir. Aynı toplam hacme sahip iki ilişki; zamana yayılma, karşılıklılık, süre ve son görülme zamanı açısından tamamen farklı davranabilir. Bu nedenle ilişki değerlendirmesi tek bir ham sayaç yerine birbirinden anlamlı ölçüde farklı sinyal bileşenleri üzerinden kurulabilir.

Örneğin bir ilişki için şu bileşenler ayrı tutulabilir:

frekans
kalıcılık
karşılıklılık
süre
güncellik

Bu bileşenlerin hepsinin her veri kümesinde aynı kalitede bulunacağı varsayılmamalıdır. Süre alanı kayıtların yalnız bir bölümünde mevcutsa süre bileşenini "0" kabul etmek ilişkiyi yapay biçimde zayıflatır. Daha güvenli yaklaşım, bileşen ağırlığını veri kapsamıyla birlikte ele almaktır:

etkinAğırlık_i = tanımlıAğırlık_i × kapsamaOranı_i

birleşikDeğer =
    ağırlıklı bileşenlerin toplamı
    --------------------------------
    etkin ağırlıkların toplamı

Bu değer bir hukuki, kişisel veya davranışsal önem puanı değildir. Yalnız incelenen veri kapsamındaki ilişkinin gözlenebilir özelliklerini özetleyen analitik bir sıralama ölçüsüdür.

Kalıcılık hesaplanırken yalnız olay sayısı değil, olayların gözlem dönemine nasıl yayıldığı önemlidir. Kısa aralıkta günlük, daha uzun aralıkta haftalık bölmeler kullanılabilir. Böylece aynı gün içinde yüzlerce olay üreten ilişki ile daha az olay üretmesine rağmen uzun süre boyunca tekrar eden ilişki ayrılabilir.

Karşılıklılık yalnız yön bilgisi gerçekten mevcut olduğunda değerlendirilmelidir. Yönü bilinmeyen bir kayıt iki yönlü kabul edilmemeli, yönlü ağ ölçülerine sahte bir ok olarak eklenmemelidir. Bu ayrım özellikle yönlü merkezilik ve kuvvetli bağlı bileşen analizinde sonucu doğrudan etkiler.

7.22.3. İletişim Yoğunlaşması ve Etkin Karşı Sayısı

Bir uç noktanın kaç farklı karşıyla iletişim kurduğu tek başına dağılımı açıklamaz. İki uç noktanın onar farklı karşısı olabilir; birincisi trafiğin büyük bölümünü tek karşı üzerinde toplarken ikincisi iletişimi daha dengeli dağıtabilir.

Yoğunlaşma için Herfindahl-Hirschman türü bir ölçü kullanılabilir:

HHI = p1² + p2² + ... + pn²

Burada p_i, ilgili karşı tarafın toplam iletişim içindeki payıdır.

Yüksek değer birkaç karşı üzerinde yoğunlaşmaya, düşük değer daha dengeli dağılıma işaret eder. Ancak eşikler veri alanına ve örnekleme biçimine göre anlamlandırılmalıdır; ekonomi alanında kullanılan eşiklerin iletişim analitiğine doğrudan taşınması doğru değildir.

Çeşitlilik için Shannon entropisi de kullanılabilir:

H = - Σ p_i × log(p_i)

Entropinin üstel dönüşümü, dağılımın yaklaşık kaç eşit ağırlıklı karşıya karşılık geldiğini anlatan etkin karşı sayısı fikrini verir:

etkinKarşı ≈ exp(H)

Bu ölçüler birlikte okunduğunda:

benzersiz karşı sayısı
+ yoğunlaşma
+ dağılım çeşitliliği

aynı iletişim çevresinin farklı yönlerini gösterir.

7.22.4. Zamansal Sinyalleri Tek bir Analitik Olayda Birleştirmek

Bir zaman serisinde aynı gün birden fazla yöntem tarafından öne çıkarılabilir. Sağlam z-skoru, üstel ağırlıklı hareketli ortalama ve birikimli toplam yaklaşımı aynı tarih bölgesine işaret ediyorsa kullanıcıya üç ayrı olay göstermek gereksiz alarm çoğaltmasına neden olabilir.

Daha kullanışlı temsil:

tarih / dönem
  ├─ sağlam sapma sinyali
  ├─ yumuşatılmış süreç sinyali
  └─ kalıcı kayma sinyali

şeklinde tek bir zamansal aday altında yöntemleri birleştirir.

Bu birleştirme yöntemler arası uyumu görünür kılar; fakat "üç yöntem buldu, dolayısıyla sonuç üç kat doğrudur" anlamına gelmez. Yöntemler aynı gözlemlerden beslendiği için ortak veri bağımlılığı vardır.

Eksik zaman aralığı ile sıfır aktivite de ayrılmalıdır. Veri kaynağının gözleyemediği bir dönem 0 ile doldurulursa ortalama, standart sapma ve değişim yöntemleri yapay sinyal üretebilir. Analiz önce hangi zaman dilimlerinin gerçekten gözlenebilir olduğunu belirlemelidir.

7.22.5. Alt Ağ Kapsamı ve Yapısal Ölçülerin Semantik Sınırı

Graf ölçüleri yalnız oluşturuldukları graf için geçerlidir. Bir kullanıcının ekrana yüklediği veya sorguyla sınırlandırdığı alt ağ, gerçek dünyadaki bütün iletişim ağının eşdeğeri değildir.

Bu nedenle:

yüksek derece
yüksek PageRank
yüksek k-core
köprü
kesim noktası

gibi sonuçlar "incelenen alt ağ içinde bu yapısal özelliğe sahiptir" şeklinde okunmalıdır.

Bir düğümün yüksek merkeziliğe sahip olması gerçek dünyadaki önem, niyet veya hukuki nitelik hakkında tek başına hüküm üretmez. Aynı şekilde gözlem döneminde ilk kez görülen bir ilişki, tarihsel olarak ilk kez kurulmuş ilişki anlamına gelmez.

Analitik sistem bu semantik sınırları sonuç nesnesinin parçası hâline getirebilir. Böylece kullanıcı bir metriği gördüğünde aynı anda:

hangi kayıtlar?
hangi zaman aralığı?
hangi filtre?
hangi yön bilgisi?
hangi alt ağ?

sorularının cevabına da dönebilir.

Bu yaklaşım, iletişim analitiğini grafik üretme işinden çıkarıp kapsamı tanımlı, kaynağa geri izlenebilir ve yeniden üretilebilir analiz düzeyine taşır.

7.23. Eksik Veri, Baz Oranı ve Alternatif Hipotez

HTS kaydı, gerçekleşen dünyanın eksiksiz kopyası değildir. Cihazın kapalı olması, kayıt politikasındaki fark, baz istasyonu değişimi, veri kaynağı kapsamı veya aktarım hatası gözlenmeyen dönemler üretebilir. "Kayıt yok" ile "olay olmadı" aynı önerme değildir.

İlişki analizinde baz oranı da önemlidir. Çok yüksek iletişim hacmine sahip bir numaranın birçok kişiyle bağlantısı doğal olabilir; yalnız kenar sayısı üzerinden "yakın ilişki" sonucu çıkarmak yanıltıcıdır. Süre, gün çeşitliliği, karşılıklılık ve bağlam birlikte değerlendirilmelidir.

Adli yorumda en az bir alternatif hipotez açıkça yazılmalıdır. Aynı gözlemi başka hangi mekanizma açıklayabilir? Bu disiplin, analistin ilk hipotezine aşırı bağlanmasını azaltır ve raporu daha denetlenebilir kılar.

7.24. Adli Yorumda Kanıt ve Çıkarımı Ayırmak

HTS/CDR kaydı gözlemdir; ilişki, amaç veya olay yorumu ise çıkarımdır. Rapor içinde ham kayıt, türetilmiş özellik ve analistin yorumu birbirinden ayrıldığında sonuç daha denetlenebilir olur.

Zaman dilimi, saat senkronizasyonu, operatör kayıt politikası, baz istasyonu kapsaması ve veri eksikliği yorum sınırını etkiler. “Kayıt yok” ifadesi, veri kaynağının olayı gözleyebilme yeteneği gösterilmeden “iletişim olmadı” anlamına gelmez.

Önemli bir bulgu için alternatif açıklama aranmalıdır. Aynı hücrede görünme ortak konum, kapsama alanı veya ağ davranışıyla açıklanabilir; ilişkinin gücü baz oranı ve kişinin genel iletişim hacmi dikkate alınmadan yorumlanmamalıdır.

HTS/CDR verisinin hukuki nitelendirmesi somut olay, güncel mevzuat ve yargı kararları çerçevesinde ayrıca değerlendirilmelidir.

7.25. HTS Verisini Zamansal Ağ Olarak Modellemek

Zamansal ağlarda bir kenarın varlığı kadar ne zaman gerçekleştiği de yapının parçasıdır. HTS ilişki analizinde aylarca süren kayıtları tek statik grafa sıkıştırmak, farklı tarihlerde gerçekleşmiş temasları aynı anda varmış gibi birleştirerek zamansal olarak mümkün olmayan ilişki yolları oluşturabilir; kısa fakat soruşturma açısından kritik temaslar da toplam yoğunluk içinde silikleşebilir. Bu nedenle time-respecting path, temporal reachability, edge persistence, burstiness ve dönemsel merkezilik gibi ölçüler statik derece veya tek bir topluluk bölmesinin tamamlayıcısıdır.

• Statik toplam görüşme sayısı ile time-respecting bağlantı zincirinin farklı sonuçlar verdiğini göstermek.
• Burstiness ve edge persistence ile süreklilik/ani yoğunlaşma örüntülerini ayırmak.
• Temporal merkezilik bulgusunun tek başına sosyal veya nedensel anlam taşımadığını açık tutmak.

7.26. Zamansal İletişim Örüntülerinde Belirsizlik ve Yanlış Eşleşme

İletişim kayıtları arasında tekrar eden zaman ve karşı taraf örüntüleri bulunması, ilişkilerin nedensel niteliğini belirlemez. Gözlem periyodu, kayıt bütünlüğü, ortak cihaz kullanımı ve kimlik tanımlayıcılarının değişmesi, aynı grafik yapısından farklı açıklamaların çıkmasına neden olabilir. Zamansal yoğunluk, karşılıklı bağlantı ve süreklilik ölçütleri raporlanırken karşılaştırma tabanı ve seçim koşulları belirtilmelidir.

Anomali puanı önceden tanımlanan bir temel davranışa göre hesaplanır; nadir olay otomatik olarak hatalı veya hukuka aykırı olay değildir. Eksik kayıtlar ve saat ofsetleri zamansal yol çıkarımını bozabilir. Sonuçların delil değeri, gözlenen veriden türetilen ağ kenarları ile algoritmik aday ilişkilerin ayrılmasına bağlıdır.

7.27. Sonuç

HTS kaydı tek başına bir hikâye değildir. Şebekenin belirli olaylar sırasında ürettiği teknik izlerin zaman, cihaz, hat ve hücre ekseninde tutulmuş bir bölümüdür.

Adli bilişim uzmanının görevi bu izleri önceden kurulmuş bir anlatıya zorlamak değil, şu zinciri korumaktır:

Kaynak
 ↓
Bütünlük
 ↓
Normalizasyon
 ↓
Doğrulama
 ↓
Korelasyon
 ↓
Algoritmik aday
 ↓
Karşı hipotez
 ↓
Uzman yorumu
 ↓
Sınırlılık

Bir kayıt bir hücrenin kullanıldığını söyleyebilir; kesin adresi söylemeyebilir. Bir IMEI iki hattı bağlayabilir; iki kişinin aynı kişi olduğunu söylemeyebilir. Graph ortak irtibatı gösterebilir; ilişkinin hukuki niteliğini belirleyemez. Anomali alışılmadık davranışı gösterebilir; suç kastını göstermez.

Bu nedenle iyi HTS analizi daha çok kesin hüküm üreten analiz değildir. Kaynağa geri dönebilen, algoritması açıklanabilen, parametreleri görülebilen, alternatif açıklamaları sınayan ve sonucunun sınırlarını açıkça söyleyen analizdir.

Adli bilişimde teknik yeterlilik yalnız veriden sonuç çıkarmak değildir; hangi sonucun veriden çıkarılamayacağını da bilmektir.

Ünite 8: Metinden Türetilen Bağlantı Analizi ve Kanıt Sınırı

HTS olay kayıtlarından kurulan iletişim grafı ile metinlerden bilgi çıkarımı sonucu kurulan kavram/varlık grafı aynı veri türü değildir. İkisi düğüm–kenar biçiminde temsil edilebilse de kenarın kanıt semantiği farklıdır.

HTS / CDR olayı
    ↓
gözlenen iletişim veya şebeke kaydı
    ↓
olay / ilişki grafı

ile:

metin
  ↓
varlık + ilişki çıkarımı
  ↓
metinden türetilen kavram grafı

ayrılmalıdır.

8.1. Metinden Türetilen İlişki ile Doğrudan Gözlemin Ayrımı

Metinde iki varlığın aynı cümlede geçmesi, aralarında gerçek dünyada belirli bir ilişkinin varlığını otomatik olarak kanıtlamaz. Kenar:

• birlikte geçme,
• çıkarılmış ilişki,
• ortak belge üyeliği,
• kural eşleşmesi,
• model tahmini

gibi farklı kökenlerden gelebilir.

Bu nedenle text-derived graph'ta her kenar en az:

source document
span / evidence location
extraction method
relation type
confidence or rule provenance

bilgisiyle izlenebilir olmalıdır.

8.2. Yol, Çevrim ve Merkezilikte Aynı Matematik, Farklı Yorum

Metinden türetilmiş graflarda da:

• paths,
• cycles,
• degree,
• closeness,
• betweenness,
• partition/community

gibi klasik ağ işlemleri uygulanabilir.

Ancak:

graph structure ≠ real-world causality

Bir kavramın yüksek merkeziliği, onun olayın faili, nedeni, yöneticisi veya en önemli gerçek dünya aktörü olduğunu göstermez. Yalnız tanımlanan graf ve kenar semantiği içindeki yapısal konumunu gösterir.

8.3. Network Pattern Matching

Bağlantı analizinde belirli altgraf biçimleri aday olarak aranabilir:

A → B → C

A → {B,C,D}

A ↔ B

A → B → C → A

Bu tür motif veya örüntü eşleşmeleri aday üretir. Eşleşmenin bulunması, örüntüye önceden yüklenmiş gerçek dünya anlamını kanıtlamaz.

Adli kullanımda doğru ifade:

"Tanımlanan yapısal örüntü ile eşleşen bir altgraf bulundu."

olmalıdır; "koordinasyon", "komuta", "örgüt" veya "nedensellik" gibi daha güçlü anlamlar ek delil olmadan çıkarılmamalıdır.

8.4. Graf Yerleşimi ve Analitik Ölçütlerin Ayrımı

Force-directed veya spring tabanlı layout algoritmaları düğümleri okunabilir biçimde yerleştirmeye çalışır. Ekrandaki fiziksel yakınlık:

visual proximity ≠ graph distance ≠ semantic relation

olabilir.

Bu nedenle raporda graf yerleşimi ile merkezilik, shortest path veya kenar ağırlığı birbirine karıştırılmamalıdır.

8.5. Zamansal Metin Grafı ile HTS Zaman Grafının Farkı

Zaman damgalı belgelerden kavram ilişkilerinin:

new
increased
decreased
stable

gibi dönemsel değişimi izlenebilir. Bu "trend graph", olay sıralı HTS temporal graph'ıyla aynı değildir. Belge yayımlanma zamanı ile belgede anlatılan olay zamanı da birbirinden farklı olabilir.

HTS analizinde bu ayrım kritik bir provenance kuralına dönüşür:

document time
event time
network record time

aynı zaman ekseni varsayılmamalıdır.

8.6. Çok Kaynaklı Graf Birleştirme

Metinsel ve telekom kayıtlı kaynaklar aynı analizde kullanılacaksa tek bir anonim "edge" tipine indirgenmemelidir. Daha güvenli model:

edge
 ├── observed-communication
 ├── shared-location-observation
 ├── text-cooccurrence
 ├── extracted-relation
 └── analyst-asserted hypothesis

şeklinde typed edge kullanmaktır.

Bu, farklı kanıt seviyelerinin tek görsel üzerinde yanlışlıkla eşit görünmesini engeller.

8.7. Zamansal İletişim Grafiklerinde Gözlem Kapsamı ve Yanlış Pozitifler

İletişim kayıtlarından oluşturulan grafik, belirli bir veri kümesinde gözlenmiş bağlantıları temsil eder; kişi kimliğini, içeriği veya ilişkilerin nedenini tek başına belirlemez. Aynı iki düğüm arasındaki kenar sayısı, gözlem aralığı ve veri kaynağının kapsama oranı bilinmeden karşılaştırılamaz. Ağdaki en kısa yol veya yüksek merkeziyet değeri, gerçek hayatta doğrudan temas veya hiyerarşik bağ bulunduğu anlamına gelmez.

Zamansal yolda kenarların sırası ve zaman aralığı önemlidir. t_1 ≤ t_2 ≤ ... koşulu sağlansa dahi bu yalnız olayların kronolojik olarak bağlanabilir olduğunu gösterir; olaylar arasında nedensellik bulunduğunu kanıtlamaz. Farklı veri pencerelerinde elde edilen sonuçlar aynı kapsamla karşılaştırılmalı; kesilmiş kayıtlar ve bilinemeyen gözlemler ayrıca işaretlenmelidir.

Sentetik bir veri kümesinde kayıtların yüzde yirmisi rastgele çıkarılıp merkezilik sıralaması yeniden hesaplanabilir. Sıralamanın ne kadar değiştiği, hesaplamanın gözlem eksikliğine duyarlılığını gösterir; bu deney gerçek dünyada eksik kayıt oranının yüzde yirmi olduğunun kanıtı değildir. Analitik sonuç, hesaplama ve yorum katmanları ayrılarak raporlanmalıdır.

8.8. Veri İlişkilendirmede Kimlik Belirsizliği ve Zaman Eşleştirmesi

Hat, abonelik, SIM, cihaz ve kişi kavramları aynı düğüm kimliği gibi kullanılmamalıdır. Aynı fiziksel aygıt farklı zamanlarda farklı aboneliklerle kullanılabilir; aynı abonelikten görülen iletişimler de belirli kişinin fiilî kullanımını tek başına doğrulamaz. Eşleştirme kuralı kaynağa ve geçerlilik zamanına bağlanmalı, çözülemeyen kimlikler tahminle doldurulmamalıdır.

Saat dilimi, yaz/kış saati dönüşümü, olayın başlangıç/bitiş tanımı ve saniye hassasiyetindeki yuvarlama, zamansal ilişkileri etkiler. Kesişen zaman aralıklarını bulmak, ortak fiziksel konum veya birlikte hareket sonucunu otomatik üretmez. Çıkarım yalnız kullanılan veri türünün desteklediği çözünürlükte kurulmalıdır.

Kaynakça

• **[10]** SWGDE. Best Practices for Digital Evidence Collection.
• **[11]** Thomas H. Cormen; Charles E. Leiserson; Ronald L. Rivest; Clifford Stein. Introduction to Algorithms. 4th ed., MIT Press, 2022.
• **[12]** RFC 5737. IPv4 Address Blocks Reserved for Documentation.
• **[13]** KVKK. Konum verisinin işlenmesine ilişkin kamuoyu duyurusu.
• **[14]** ISO/IEC 27042:2015. Guidelines for the analysis and interpretation of digital evidence.
• **[15]** NIST SP 800-101 Rev.1. Guidelines on Mobile Device Forensics.
• **[16]** C. F. F. Karney. Algorithms for geodesics. Journal of Geodesy, 87, 43-55, 2013.
• **[17]** NIST. Digital Forensics - Glossary.
• **[18]** K.-I. Goh, A.-L. Barabási. Burstiness and memory in complex systems. EPL, 81(4), 48002, 2008.
• **[19]** F. van Ham, A. Perer. Search, Show Context, Expand on Demand: Supporting Large Graph Exploration with Degree-of-Interest. IEEE Transactions on Visualization and Computer Graphics, 15(6), 953-960, 2009.
• **[1]** European Parliament and Council. Directive 2002/58/EC.
• **[20]** P. Holme, J. Saramäki. Temporal Networks. Physics Reports, 519(3), 97-125, 2012.
• **[21]** ISO/IEC 27037:2012. Guidelines for identification, collection, acquisition and preservation of digital evidence.
• **[22]** J. Jaskari, C. Roy, F. Ogushi, M. Saukkoriipi, J. Sahlsten, K. Kaski. Temporal social network modeling of mobile connectivity data with graph neural networks. PLOS One, 20(12), e0335267, 2025.
• **[23]** R. Killick, P. Fearnhead, I. A. Eckley. Optimal Detection of Changepoints With a Linear Computational Cost. Journal of the American Statistical Association, 107(500), 1590-1598, 2012.
• **[24]** Bilgi Teknolojileri ve İletişim Kurumu. Kişisel Verilerin Korunması.
• **[25]** T.C. Anayasa Mahkemesi. Murat Albayrak, B. No: 2020/16168, 8.03.2023. Karar duyurusu.
• **[26]** 3GPP TS 32.255. Telecommunication management; Charging management; 5G data connectivity domain charging; Stage 2.
• **[27]** 3GPP TS 32.297. Telecommunication management; Charging management; Charging Data Record (CDR) file format and transfer.
• **[28]** 3GPP TS 32.298. Telecommunication management; Charging management; Charging Data Record (CDR) parameter description.
• **[29]** NIST. Evidence Management.
• **[2]** 5271 sayılı Ceza Muhakemesi Kanunu, m.135.
• **[30]** T.C. Adalet Bakanlığı. Ceza Muhakemesi Hukuku eğitim materyali.
• **[31]** NIST/SEMATECH. CUSUM Control Charts. e-Handbook of Statistical Methods.
• **[32]** NIST/SEMATECH. EWMA Control Charts. e-Handbook of Statistical Methods.
• **[33]** A. Mokhtari, N. Ghorbani, B. Bahrak. Aggregated Traffic Anomaly Detection Using Time Series Forecasting on Call Detail Records. Security and Communication Networks, 2022, Article 1182315.
• **[34]** G. Kossinets. Effects of Missing Data in Social Networks. Social Networks, 28(3), 247-268, 2006.
• **[35]** M. Kivelä et al. Multilayer Networks. Journal of Complex Networks, 2(3), 203-271, 2014.
• **[36]** 3GPP TS 23.003. Numbering, addressing and identification.
• **[37]** J.-P. Onnela, J. Saramäki, J. Hyvönen, G. Szabó, D. Lazer, K. Kaski, J. Kertész, A.-L. Barabási. Structure and tie strengths in mobile communication networks. Proceedings of the National Academy of Sciences, 104(18), 7332-7336, 2007.
• **[38]** W3C. PROV-O: The PROV Ontology, W3C Recommendation, 2013.
• **[39]** S. Perreault, I. Yamagata, S. Miyakawa, A. Nakagawa, H. Ashida. RFC 6888: Common Requirements for Carrier-Grade NATs (CGNs). IETF BCP 127, 2013.
• **[3]** E. Abba, A. M. Aibinu, J. K. Alhassan. Development of multiple mobile networks call detailed records and its forensic analysis. Digital Communications and Networks, 5(4), 256–265, 2019.
• **[40]** ITU-T E.164 (02/2026). The international public telecommunication numbering plan.
• **[41]** GSMA TS.06 v28.1. IMEI Allocation and Approval Process, 2025.
• **[42]** P. J. Rousseeuw, C. Croux. Alternatives to the Median Absolute Deviation. Journal of the American Statistical Association, 88(424), 1273-1283, 1993.
• **[43]** C. D. Stolper, A. Perer, D. Gotz. Progressive Visual Analytics: User-Driven Visual Exploration of In-Progress Analytics. IEEE Transactions on Visualization and Computer Graphics, 20(12), 1653-1662, 2014.
• **[44]** ITU-T E.212 (06/2024). The international identification plan for public networks and subscriptions.
• **[45]** SWGDE 25-F-003-1.0. Best Practices for Radio Frequency Propagation Surveys, 2026.
• **[46]** V. A. Traag, L. Waltman, N. J. van Eck. From Louvain to Leiden: guaranteeing well-connected communities. Scientific Reports, 9, 5233, 2019.
• **[47]** F. Wang, C. Chen. On data processing required to derive mobility patterns from passively-generated mobile phone data. Transportation Research Part C, 87, 58-74, 2018.
• **[48]** BTK. Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik.
• **[49]** Petter Holme; Jari Saramäki (eds.). Temporal Network Theory. 2nd ed. Springer Nature Switzerland, 2023.
• **[4]** L. A. Adamic, E. Adar. [Friends and neighbors on the Web](https://doi.org/10.1016/S0378-8733(03)00009-1). Social Networks, 25(3), 211-230, 2003.
• **[50]** Albert-László Barabási. Network Science.
• **[51]** Ronen Feldman; James Sanger. The Text Mining Handbook: Advanced Approaches in Analyzing Unstructured Data. Cambridge University Press, 2007.
• **[52]** Walter W. Piegorsch, Richard A. Levine, Hao Helen Zhang, Thomas C. M. Lee (eds.). Computational Statistics in Data Science. Wiley, 2022. ISBN 9781119561071.
• **[5]** N. R. Al-Molhem, Y. Rahal, M. Dakkak. Social network analysis in Telecom data. Journal of Big Data, 6, 99, 2019.
• **[6]** NIST/OSAC. SWGDE Recommendations for Cell Site Analysis.
• **[7]** SWGDE 17-F-001-5.0. Recommendations for Historical Cell Site Analysis, Version 5.0, 20 February 2026.
• **[8]** Y. Benjamini, Y. Hochberg. Controlling the False Discovery Rate: A Practical and Powerful Approach to Multiple Testing. Journal of the Royal Statistical Society Series B, 57(1), 289-300, 1995.
• **[9]** V. Chandola, A. Banerjee, V. Kumar. Anomaly Detection: A Survey. ACM Computing Surveys, 41(3), Article 15, 2009.