Capítulo 7 — Probabilidade e estatística
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX019.
flowchart TD
N0["7.1 Relatório avaliativo"]
N1["7.2 Um exemplo digital"]
N2["Laboratório — razão de verossimilhança"]
N3["7.3 Lendo o resultado"]
N4["7.4 A falácia do promotor"]
N5["7.5 De onde vêm as probabilidades"]
N6["7.6 Incerteza nas estimativas"]
N7["Fontes dos dados de teste"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX019"]
Desenho lógico
flowchart LR
N0["7.1 Relatório avaliativo"]
N1["7.2 Um exemplo digital"]
N2["Laboratório — razão de verossimilhança"]
N3["7.3 Lendo o resultado"]
N4["7.4 A falácia do promotor"]
N5["7.5 De onde vêm as probabilidades"]
N6["7.6 Incerteza nas estimativas"]
N7["Fontes dos dados de teste"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX019"]
[7.1 Relatório avaliativo]
|
v
[7.2 Um exemplo digital]
|
v
[Laboratório — razão de verossimilhança]
|
v
[7.3 Lendo o resultado]
|
v
[7.4 A falácia do promotor]
|
v
[7.5 De onde vêm as probabilidades]
|
v
[7.6 Incerteza nas estimativas]
|
v
[Fontes dos dados de teste]
|
v
[Exemplo resolvido] --> [Exercício EX019]
Objetivos de aprendizagem
Você vai (1) aplicar a probabilidade condicional à evidência; (2) calcular uma razão de verossimilhança; (3) ver como as probabilidades a priori afetam as conclusões; (4) evitar a falácia do promotor.
7.1 Relatório avaliativo
A ciência forense apresenta cada vez mais os achados como quanto mais provável é a evidência sob uma proposição do que sob outra. Essa é a razão de verossimilhança: LR = P(E | H1) / P(E | H2). As duas proposições devem ser declaradas antes de a evidência ser avaliada, e cada uma deve ser um relato realista que uma das partes poderia apresentar. A razão de verossimilhança mede então com que força a evidência favorece um relato em relação ao outro. Uma LR acima de um sustenta H1 e abaixo de um sustenta H2; uma LR próxima de um significa que a evidência quase não ajuda a distingui-las, o que é algo útil para um tribunal ouvir.
7.2 Um exemplo digital
E: existe um registro de "documentos recentes" para report.docx. H1: o usuário abriu o arquivo. H2: o arquivo foi apenas sincronizado por um cliente de nuvem e nunca foi aberto. Testes sintéticos estimam P(E | H1) = 0,90 e P(E | H2) = 0,05. Para estimar essas probabilidades, Priya prepara máquinas sintéticas com o mesmo sistema operacional e o mesmo cliente de nuvem. Num grupo, um usuário de teste abre o documento. No outro, o arquivo só chega por sincronização. Em seguida, ela verifica se o registro existe. Vinte execuções por grupo produzem os valores 0,90 e 0,05. O desenho do teste, incluindo os números de versão, é registrado como parte do método.
Laboratório — razão de verossimilhança
"""Likelihood ratio for a synthetic file-presence finding."""
p_e_h1 = 0.90 # P(artefact | user opened file)
p_e_h2 = 0.05 # P(artefact | file only synced, never opened)
lr = p_e_h1 / p_e_h2
for prior in (0.1, 0.5):
po = prior / (1 - prior) * lr
print(f"prior={prior:.1f} LR={lr:.0f} posterior={po/(1+po):.3f}")
Execute com python3 lab_lr.py. Saída verificada:
prior=0.1 LR=18 posterior=0.667
prior=0.5 LR=18 posterior=0.947
7.3 Lendo o resultado
LR = 18: o registro é 18 vezes mais provável se o usuário abriu o arquivo. Com uma probabilidade a priori de 0,1, a probabilidade a posteriori é 0,667; com 0,5, é 0,947. A evidência é a mesma; a conclusão depende da probabilidade a priori, que cabe ao tribunal, não ao perito, fornecer. A aritmética usa chances. Uma probabilidade a priori de 0,1 corresponde a chances de 1 para 9, e multiplicar por 18 dá chances de 2 para 1, o que é uma probabilidade de 0,667. Uma probabilidade a priori de 0,5 corresponde a chances de 1 para 1, que se tornam 18 para 1, ou cerca de 0,947. Mostrar os dois casos deixa claro que a contribuição do perito é o fator 18, enquanto as chances de partida pertencem a quem julga os fatos.
7.4 A falácia do promotor
Dizer "há apenas 5% de chance de o usuário não o ter aberto" confunde P(E | H2) com P(H2 | E). Os peritos relatam a LR e deixam as probabilidades a priori para quem julga os fatos. O erro espelhado, às vezes chamado de falácia da defesa, minimiza a evidência dizendo que muitas pessoas poderiam tê-la produzido, ignorando as outras evidências que estreitam o campo. As duas falácias trocam uma probabilidade condicional por outra. Priya pratica identificá-las reescrevendo cada frase do rascunho na forma 'probabilidade desta evidência se…' e verificando se cada afirmação se encaixa nesse padrão.
7.5 De onde vêm as probabilidades
Os valores 0,90 e 0,05 devem vir de testes em sistemas como o examinado; uma versão diferente do sistema operacional pode se comportar de outro modo. Um registro de documentos recentes pode ser escrito de forma diferente após uma atualização, ou apenas quando uma configuração específica está ativada. Se a máquina examinada roda uma versão que não foi testada, a LR é extrapolada e o relatório precisa dizer isso. Priya mantém uma tabela que lista cada configuração testada e a probabilidade estimada para ela, de modo que o leitor possa ver exatamente quão próximas as condições de teste estavam do caso.
7.6 Incerteza nas estimativas
Com 20 execuções de teste, 0,90 poderia plausivelmente ser 0,70–0,97; informe quantas execuções sustentaram cada valor. Com 18 positivos em 20, a estimativa pontual é 0,90, mas um intervalo de Wilson vai de cerca de 0,70 a 0,97. Com 1 em 20 para H2, a estimativa é 0,05 e o intervalo é muito largo em termos relativos, talvez de 0,01 a 0,24. Como a LR divide um valor pelo outro, sua faixa também é larga, aproximadamente de 3 a 97. Relatar essa faixa é mais honesto do que um 18 isolado. Mais execuções para H2 estreitariam a faixa mais depressa, porque o denominador pequeno domina a incerteza.
Fontes dos dados de teste
As probabilidades vêm de execuções sintéticas controladas: vinte sessões em que um usuário de teste abriu o arquivo e vinte em que um cliente de nuvem apenas o sincronizou. Cada execução usa uma máquina virtual nova com a mesma build do sistema operacional, de modo que a comparação é justa e outros podem repeti-la.
Exemplo resolvido
Priya redige: "O registro é cerca de 18 vezes mais provável se o arquivo foi aberto do que se foi apenas sincronizado, com base em 20 testes sintéticos na mesma versão do sistema operacional."
Caso sintético. As probabilidades são inventadas para fins didáticos.
Erros e limites
Uma LR trata apenas das duas proposições comparadas; uma terceira explicação precisa de sua própria probabilidade.
Exercícios
- EX019 — Valor da LR. Calcule a LR a partir de 0,90 e 0,05. Rubrica: 3 = 18, com a fórmula; 2 = o número; 1 = 0,85; 0 = nada.
- EX020 — Falácia. O que está errado em "apenas 5% de chance de o usuário não o ter aberto"? Rubrica: 3 = inverte a condicional; 2 = parcial; 1 = vago; 0 = nada.
- EX021 — Efeito da probabilidade a priori. Por que as probabilidades a posteriori 0,667 e 0,947 diferem para a mesma evidência? Rubrica: 3 = probabilidades a priori diferentes; o perito relata a LR; 2 = parcial; 1 = erro; 0 = nada.
Síntese
As razões de verossimilhança expressam com honestidade a força da evidência; as probabilidades a priori e as conclusões pertencem ao tribunal.
Continue estudando — capítulo 07 de 50
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →