简介i2 Analysts Notebook 8 培训教材是一份面向犯罪侦查、金融调查与安全分析从业者的中文实操教程重点解决话单、银行交易等复杂数据的可视化关联分析问题。整个资源包共1个doc文件压缩包约25.9MB以单册培训教材形式组织便于按章节系统查阅与跟练。内容从节点、边、时间线和聚类等基本概念讲起逐步覆盖数据接口配置、图表绘制、节点与边编辑、布局排版及关键词与属性检索并通过话单关系、案件串并、人员物品动态关系、银行账户交易、手机串号、旅业盗窃、爆炸案话单、人员活动轨迹、银行账户五级分析、通讯簿分析等演练场景展示如何把分散记录连成可解释的关系网络。已有1593人学习适合需要掌握i2 notebook与IBM i2分析方法、提升数据挖掘与案件串并能力的初中级读者对照查阅。1. 先弄明白一件事这份 i2 培训教材到底在教什么第一次听到 i2 Analysts Notebook 8 这个名字很多零基础的人第一反应是这名字听着像某个大机构内部才用的工具跟我八竿子打不着。换个比喻就好懂了——它像一块能自动算账的白板你摆上人、号码、账号、地点这些方块方块之间拉一根线表示“打过电话”“转过账”软件再把这些线整理成一张能读懂的图。这份培训教材就是配套的练习册从认识软件、摆放第一个方块一路带到十几个完整演练会拖鼠标就能起步。它适合手上有一堆表格、想知道“这些人、这些账号之间到底是什么关系”的人。不需要编程基础也不用先懂统计。唯一的门槛是耐心——图是一根线一根线连出来的前二十分钟会觉得慢过了这个坎就顺了。2. 零基础先认五个词图表、调色板、实体、链接、属性软件装好之后菜单一大堆按钮一大排新手最常见的反应是先随便点两下试试。这种试法在别的软件里也许行得通在这类关系图软件里通常会在半小时后把人劝退你画了十几个方块连了几根线然后发现自己说不清这张图到底在讲什么。问题不在手速在于五个基础词没认全。这一章就干一件事把这五个词用大白话讲透每个词配一个例子看完再回去点按钮感觉会完全不一样。2.1 图表就是 .ANB 文件它是工作底稿不是一张截图图表是这套软件生成的文件扩展名是 .ANB。这个后缀值得单独记一下因为它决定了你怎么保存、怎么交付、怎么和别人交接。很多人第一次做完图习惯性按截屏键存成图片发出去对方问一句“这个号码和那个号码之间那条线是什么意思”你就只能凭记忆答答完自己都不确定。截图丢掉的是关系本身留下的只是一张画。.ANB 更像 Excel 的 .xlsx而不像 PDF。它存下来的是整张工作底稿有哪些方块、每个方块填了什么属性、方块之间连了什么线、线的方向朝哪边、标签上写了什么数字全都在里面。下次打开还能接着改、接着算、接着加新数据。这也是教材里反复强调“图表”这个概念的原因——它是你往后几个月的工作对象不是一次性成果。打开它有两种方式。装了主程序的从开始菜单里找到 i2 那一组点开 i2 Analysts Notebook 8 就行手上只有文件、没装主程序的装一个官方提供的只读查看器 i2 Chart Reader 8也能把图完整看一遍只是不能编辑。新建一张空图表的快捷键是 CTRLN这个组合键后面的练习里会按上几十次先记住。2.2 调色板19 种默认分类先用别人的别急着造调色板听上去像画画的颜料盒其实它是分类清单的集合。一个调色板里装着四样东西实体类型、链接类型、属性类别、属性项目。软件装完之后默认给了 19 种调色板覆盖了常见的对象分类。入门阶段最省事的做法就是先用这 19 种别急着新建。为什么这么说因为新建一个调色板出来的是一张白纸。你在对话框里点【新建】把“新建用户调色板”改成自己的名字点【确定】一个调色板就有了——但它的实体类型、链接类型、属性类别、属性项目四栏全是“否”一个类型都没有。你得自己一条一条往里加。这活儿不难难在你此刻还不知道自己需要哪些类型。等画过十几张图你自然知道自己常画哪几类对象那时候再建五分钟就能配好。打个比方默认的 19 种调色板像一套成衣不一定完全合身但穿上就能出门自建调色板像找裁缝量体裁衣合身但你得先知道自己要什么款式。教材里提到过一种做法某个团队把常用的一套类型整理成自己的调色板之后每次开工直接从里面挑省掉重复配置的时间。这个思路值得学但放在第二阶段第一周别碰。2.3 实体与唯一标识为什么手机号不该只当成一个名字实体是“你要分析的那个目标”的抽象说法。一个手机号码是一个实体一个人员是一个实体一个银行账号、一个车牌、一个地点也都是实体。教材里的表述是“分析目标抽象的分类”翻译成人话就是图上每一个方块背后代表的那件具体的东西。显示在方块上的文字叫标签。标签是给人看的可以是“人员甲”可以是“尾号 7118 的号码”怎么顺眼怎么来。但标签有个致命弱点它会重复。两个不同的人都可能被写成“人员甲”两个号码的尾号都可能是 7118。所以软件还留了一个不显示在图上、但默默起作用的字段——唯一标识。唯一标识的作用是在一张图表的范围内把每个实体区分开同一个值不能出现两次。现实里哪些字段适合当唯一标识身份证号、手机号、车牌号、银行账号这类天然不重复的都行。类比一下它就像数据库里的主键或者快递单号面单上写谁寄给谁不重要单号才是唯一凭据。这里的血泪经验是只填标签、不填唯一标识是新手最常埋的雷。手工画的时候不觉得一旦开始从表格批量导入软件没法判断两条记录说的是不是同一个人只能全部当成新实体图上一口气冒出七八个“人员甲”后面要花很长时间去合并。2.4 链接与方向一根横线怎么表达“谁打给谁”链接是实体之间的关系在图上画成一根线。关系的种类叫链接类型比如“夫妻”“同事”“主叫”“转账”。教材里的说法很朴素——生活里说的关联、关系、连接在这套软件里就是同一个意思只是换了个统一的名字方便管理。一根线看着简单但方向这件事必须一开始就养成习惯。链接可以设方向设了之后线上会出现箭头。举个具体的号码 7118 打给号码 5656箭头就该从 7118 指向 5656反过来画图上表达的就成了 5656 打给 7118。通话有主叫被叫转账有出账进账方向反了结论就整个反了。这类错误特别隐蔽因为图看上去完全正常只有顺着箭头读的时候才会发现不对。线上还可以挂标签写通话次数、转账金额、时间。这个标签是后面做统计的基础合并实体的时候软件会把标签上的数值加总数一数某个号码身上挂着几根线就知道它跟多少人产生过联系。所以别嫌麻烦该写数字的地方就写上宁可后面删也别空着。判断一条链接该不该画有个简单标准这条关系在你的问题里有没有用。如果这张图要回答的是“这几个号码有没有共同联系人”那把同事关系画上去是加分把“同一天在同一家餐厅吃过饭”画上去就是噪音。2.5 七种表现方式先把图标、主题行、事件框架用熟同一个实体在这套软件里有七种画法图标、主题行、事件框架、方框、圆形、椭圆形和图片。入门阶段只需要把前三种用熟剩下四种知道有就行。图标最常用就是一个小图形加一行标签适合画关系网——谁和谁连着一眼看过去全是点和线。主题行是横着的一条适合时间序列和活动轨迹把同一个人的多次活动从上到下排开时间先后一目了然。事件框架是一张卡片里面能装下一件事的时间、地点、参与的人适合刻画“某天某时某地发生了什么”这种带时空要素的事件也能拿来做轨迹。换个说法同一份数据换一件衣服穿。图标像名片主题行像日历上的一行事件框架像一张事件登记卡。选哪种取决于你希望读图的人第一眼看到什么。想让对方看“关系有多密”用图标想让对方看“先后顺序”用主题行。剩下四种里图片偶尔会用到——比如把某个地点的实景照片贴上去做汇报时更直观。方框、圆形、椭圆形在特定版式里有用但入门阶段碰到的机会不多。教材给的建议也是先把前三种练熟这个顺序是对的别一上来就想把七种全用一遍。3. 第一个能跑通的例子三个号码、四通电话画成一张关系图概念认全了该动手了。这一章的例子小到什么程度三个号码四通电话一张表格就能装下。小不是随便定的图小的时候你能一眼看出每个动作的结果对不对等图大了再犯错排查成本会翻好几倍。教材里第一个正式演练是拿五个号码的通话清单做关系分析这里先把它压缩成三个号码的迷你版把流程走通再回头做完整那一份。3.1 开工前先做减法一张图只回答一个问题动手之前先写一句话就一句这张图要回答什么问题。比如“三个号码里有没有一个号码同时跟另外两个通过话”。写不出来就先别画因为你会不知道自己该画什么、该省什么。下面这份是模拟数据只有四行故意在第四行把方向写反了用来检验你有没有认真看主叫被叫。主叫号码被叫号码通话次数首次通话日期71185656123 月 2 日5656889973 月 5 日7118889933 月 9 日8899711813 月 11 日从这张表能直接读出两件事三个号码两两之间都通过话构成了一个三角形8899 和 7118 之间是双向的既有 7118 打出去的三次也有 8899 打回来的一次。这两个信息在图上要能看出来如果画完看不出来说明画法有问题。3.2 建图与摆第一个实体CTRLN 之后的四步第一步按 CTRLN 新建一张空白图表。图表建好之后先别急着画花十秒钟认清左上角最前面的两个按钮第一个是选择状态第二个是小抓手用来拖拽画布。新手最容易在这两个按钮之间犯迷糊按成了抓手还以为是软件卡住了其实只是鼠标变成了拖动画布的样子。第二步在调色板里挑一个实体类型比如“电话”。挑类型这个动作本身不产生任何东西它只是告诉软件“我接下来要放的方块属于哪一类”方便后面统一改颜色、统一筛选。第三步在画布空白处单击一下第一个图标就落下了。这时候它还没有名字只是一个空壳。别急着放第二个、第三个先把这一个改对。第四步右键这个图标选【编辑项目属性】把标签填成“7118”把唯一标识填成完整的号码。填完点确定回到画布上看一眼标签显示出来了唯一标识没有显示这是正常的它本来就该藏在后面。这四步走完你手上就有了一个“认得出来、也区分得开”的实体。剩下的两个号码用同样的方法放上去。整个过程中唯一标识这一栏一次都别空着。3.3 连线与方向把主叫被叫画对连线有两种常见做法一种是从调色板里选一个链接类型然后在两个实体之间拖一条线另一种是选中链接工具之后再拖。两种都行选一种顺手的一直用别来回换。连第一根线从 7118 拖到 5656方向就是 7118 → 5656线上标“12 次”。连第二根5656 → 8899标“7 次”。连第三根7118 → 8899标“3 次”。第四根要小心。表格里写的是 8899 主叫、7118 被叫所以箭头必须从 8899 指向 7118标“1 次”。如果你顺手也画成 7118 → 8899图上就会显示两条同方向的线读图的人会以为 7118 一共打出去四次实际上其中一次是对方打进来的。画完这一步你手上应该是一个三角形其中一条边是双向的。这时候如果按一下布局按钮图形会排得更整齐这就是下一小节要讲的事。3.4 布局按钮12 种布局先记住 3 个就够用这套软件支持 12 种布局其中关系型 8 种、时间序列型 4 种分别对应不同类型的分析场景。工具栏上第一个按钮不是具体布局而是布局的参数配置点开它可以调间距、角度这些细节新手先别去动它。入门阶段记住三个就够了。布局类型什么时候用看什么环形或圆形布局想看整体关系密度谁在中间、谁在边缘、有没有孤立点层次布局想看流向和层级资金往哪边走、上下级怎么分布时间序列布局想看先后顺序哪件事在前、间隔多久操作很统一先按 CTRLA 全选再点对应的布局按钮图会自动排好。排完不满意就再点一次别的布局来回试几次不花钱也不会改坏数据。很多新手不敢点怕把图弄乱其实布局只是改变摆放位置方块和线一根都不会少。一个实用的小习惯布局之前先把无关的实体隐藏掉。三个号码的时候无所谓三十个号码的时候一张图里挤着十几个不相干的节点再好的布局也排不出能看的样子。3.5 从表格导入一份最小导入规范长什么样手工画三个号码没问题画三十个就该导入 了。导入这件事的核心不是点按钮而是“导入规范”——说白了就是一张对照表告诉软件“你表格里的这一列对应我图上的哪个属性”。建规范的顺序大概是打开导入功能选中那份表格文件然后进入字段映射界面左边是表格的列名右边是实体和链接的属性项一行一行对上去。对完之后保存这份规范下次遇到同样格式的文件直接选它就行不用重新对一遍。以 3.1 那张表为例映射关系大致是这样表格列映射到说明主叫号码链接起点实体的唯一标识决定箭头从哪儿出发被叫号码链接终点实体的唯一标识决定箭头指向哪儿通话次数链接标签数值后续合并时会加总首次通话日期链接属性时间轴上要用到教材里的完整演练有一个很真实的细节五份通话清单里有四份格式一致剩下一份格式不一样。这就意味着要建两份导入规范而不是硬把五份文件改成同一个样子。这个细节值得记住——现实里的数据很少整齐遇到格式不一致正确做法是“加一份规范”不是“手工改数据”。手工改的那一份过两周你自己都想不起来改过哪里。3.6 画完自检三个问题问一遍再交图图排好之后别急着截图发人。先自己问三个问题。第一这张图能不能用一句话说清比如“三个号码两两相通其中两个号码之间有双向联系”。说得出来说明图立住了说不出来说明要么画多了要么画少了。第二每个方块都有唯一标识吗把鼠标挨个放上去看属性空着的补上。这一步花不了一分钟但能省掉后面合并实体时的大麻烦。第三每条线的方向都对吗尤其是主叫被叫、出账进账这类有明确方向的场景顺着箭头读一遍。方向错是这类图里最难被发现、后果又最直接的问题。4. 新手最容易翻车的五个坑现象、原因和补救这一章的五条基本覆盖了入门第一周会遇到的绝大部分问题。写它们的目的不是吓人是让你在遇到的时候能立刻判断“哦这是那个坑”而不是对着屏幕怀疑软件坏了。每一条都按同一个结构写先说你看到什么再说为什么会这样最后说怎么解决。4.1 坑一图画到二十个方块就开始眼花现象很典型画到二十来个实体的时候拖一个动一片标签互相压着看不见想找某个号码得眯着眼扫半天。原因通常不是软件卡而是三件事没做。一是没有分批所有东西一股脑堆在一张图上二是没有编组明明是一伙的实体散落在各处三是没用布局全靠手工拖拖到后面自己都不记得原本想摆成什么样。解决办法有三层。最轻的一层是选中一组相关的对象用集合编组把它们绑在一起之后拖动就是一个整体撤销编组也很简单随时能拆开。中间一层是用布局按钮自动排排完再微调。最重的一层是先隐藏无关项只留当前要分析的这一小块看完再全部显示回来。三招配合着用五十个实体以内的图都能保持可读。4.2 坑二菜单是灰的点不动现象明明看到那个分析菜单在那儿鼠标移上去就是灰的点了没反应换台机器还是一样。原因基本只有一个当前没有选中任何对象或者选中的对象类型不适合这个功能。这类软件的功能大多是“先选东西、再做动作”跟剪贴板里没内容就粘贴不了一样。另一个原因是当前工具状态不对比如还停留在抓手状态或者连线状态这时候点击并不会选中实体。解决办法先按一下左上角第一个按钮回到选择状态然后用鼠标点一个实体看它有没有被高亮。高亮了再去找菜单多半就激活了。如果还是灰的把选中的对象换一个类型试试比如某些面向“链接”的功能只选实体是不会亮的。4.3 坑三一复制刚选好的对象就“跑了”现象辛辛苦苦框选了十几个方块右键想复制结果一松手选中的全没了只能重新框一遍。原因在于点击位置。你在画布空白处点击相当于告诉软件“我取消当前选择”选中的对象自然就失去焦点了。这个设计在别的软件里也常见只是在这类需要频繁框选的工具里格外烦人。解决办法按住 CTRL 键再在画布空白处点右键这时候选择不会丢菜单里会出现【复制】和【复制选取范围】两个选项。这两个不一样普通的复制只带走你点中的对象复制选取范围会把划定的这一片区域连同范围内的内容一起处理。刚开始分不清没关系先记住“按 CTRL 再右键”这个动作用熟之后再区分两者。4.4 坑四隐藏和变灰搞混算出来的结果对不上现象图上的东西被藏起来了你以为是删了结果一做统计那些看不见的节点还在参与计算数字跟预期对不上。原因在于这套软件的对象有三种状态不是两种。显示是正常状态隐藏的项目既不显示也不参与布局和分析变灰的项目看不见但仍然参与分析和布局。新手常常把“变灰”当成“隐藏”以为藏起来就等于排除掉了。解决办法看工具栏上那排按钮。隐藏选取项目、隐藏未选取项目负责把东西藏起来全部显示负责一键复位还有一个“显示及隐藏”是在隐藏和变灰两种状态之间来回切换。想彻底把某批对象排除在分析之外用隐藏只是想让它淡出视线、但统计时还要算进去用变灰。分不清的时候按一下全部显示图会回到最原始的样子再重新操作一遍。4.5 坑五合并实体之后线上的数字没跟着加总现象把两个其实是同一个人的实体合并了方块变成一个但连线上标的通话次数还是原来那一条的数值没有把另一条加上去。原因是一个选项没开。合并实体时软件默认不一定把链接标签上的数值合并需要你在图表属性里显式打开这个行为。教材里对这个操作写得很清楚右键点击图表空白位置打开图标属性找到操作惯例那一栏选中“加总链接标签数值”。解决办法在第一次做合并之前就把这个选项打开之后所有合并都会按规则加总。顺带提醒一句合并这个动作本身是不可逆的被合并的实体原有关系会统计合并到保留的那个实体上所以合并前最好先另存一份图表给自己留个后悔药。5. 教材里十几个演练不用全做挑四类场景先摸清套路教材的功能演练部分列了十几个案例从通话记录到资金流水到活动轨迹一份一份做下来要花不少时间。零基础的人最容易犯的错是从第一节开始老老实实往下做做到第五个就疲了。更有效的顺序是先挑四类最典型的场景每类做一个把套路摸清剩下的回头再看会快很多。这一章就按这个思路走。5.1 通话记录分析从一堆号码里找出“共同的那个”这是最适合入门的场景因为数据简单、结论直观。教材里给的任务是手上有一份包含五个号码通话记录的表格要找出两个东西——跟某个指定号码通话次数最多的未知号码以及与这五个号码都存在关联的未知联系人。流程走起来是这样的。先建导入规范把主叫、被叫、次数、时间这几列对上导入之后软件会自动生成一堆实体和链接。接着按 CTRLA 全选套一个环形布局你会看到五个已知号码散在图上中间可能夹着几个陌生的号码。然后打开过滤器做筛选把只出现一次的号码筛掉剩下的就是值得关注的。最后用列表分析按连接数排序谁身上挂的线最多谁就是最值得先看的那个。这个场景真正的训练点不是“会不会导入”而是“能不能从一张乱糟糟的图里快速定位到少数几个值得深挖的点”。做的时候有个小技巧分两遍做。第一遍只看连接数量不看属性第二遍再逐个点开看属性确认这些连接是不是在同一时间段内发生的。同一时间段内的密集联系和跨了三年的零星联系性质完全不同。教材在这一节还提到集合编组的用法把五个已知号码编成一组之后无论是整体移动还是整体隐藏都方便。这个小操作在后面的所有场景里都会反复用到。5.2 资金流水分析五级流转怎么一层一层展开资金类数据和通话类数据长得像分析思路差别不小。通话是双向的、次数可以累加资金是有进有出、金额要区分方向。教材里给了两个相关演练一个是基础的账户交易分析一个是五级流转分析。所谓五级指的是从一个起点账户出发沿着资金流向往下追五层。为什么要限定层数因为不限层数会出问题第一层追出三个账户第二层变九个第三层变二十七个追到第五层图就炸了而且越往后的关联性越弱。定一个层数上限是在“看得够深”和“图还能看”之间取平衡。具体做法是先画出一个起点账户然后按出账方向逐层展开。每一层展开完就套一次层次布局让资金流向从左到右排开。连线的方向一定要画对出账和进账在同一个账户上会形成两个方向的箭头这两个方向混在一起整张图就没法读了。金额写在链接标签上后面合并同类账户的时候会用到加总。一个容易忽略的点同一个账户在不同层里可能重复出现这时候不要重新画一个新方块而是把线连回原来那个。软件里如果唯一标识填得对导入时会自动认出来是同一个实体如果没填对就会出现两个一模一样的账户方块图立刻失真。5.3 人员活动轨迹用主题行把散落的时间点排成一条线到了轨迹类场景表现方式就该换了。前面画关系网用的是图标这里更适合用主题行——同一个人员的多次活动排成一列时间从上往下走一眼就能看出他在哪几天出现在哪些地方。教材里涉及轨迹的演练有好几个包括人员活动轨迹、轨迹跟踪绘图还有基于住宿登记记录的分析。做法大同小异先把每条记录当成一个事件事件的属性里至少有时间和地点两项然后按时间排序套时间序列布局最后把同一个人的事件行连起来形成一条线。这一步最容易被低估的是时间格式。如果导入时日期被当成了普通文本排序就会乱三月的记录可能排到一月前面去。导入规范里日期列一定要指定成日期类型导进来之后随手抽三条看看先后对不对这一步花三十秒能省掉后面重做的两个小时。事件框架这个表现方式也值得试一次。它能把一件事的时间、地点、涉及的人装进同一张卡片里做汇报的时候比一行文字直观得多。教材里也提到事件框架既能刻画事件的时空要素也能拿来做轨迹属于一个可以灵活使用的画法。5.4 多事件串并靠“列出项目”和“查找路径”把线索接起来最后一个套路是把前面几样合起来用。教材里有专门一节讲多起事件的串并分析核心问题是两起看起来无关的事件中间有没有隐藏的连接。这时候就要用到几个查找类功能。第一个是列出项目快捷键 F11它能把图上所有实体按属性列成一张表你想找某个特定号码、某个特定账号在表里搜比在图上找快得多。第二个是可视化搜索快捷键 F5可以在图上按条件高亮符合条件的对象适合“把所有在某时间段内出现的实体标出来”这类需求。第三个是查找路径用来判断两个实体之间有没有通路、经过几个中间节点。关于查找路径教材的问题答疑里专门区分了最早路径和最短路径这两个概念。最短路径看的是经过节点最少的路线最早路径看的是时间上最先形成的那条链路。同一个起点和终点两种算法给出的答案可能完全不同用哪个取决于你要回答的问题——关心“他们是怎么连上的”用最短路径关心“这个联系是什么时候建立起来的”用最早路径。还有一个容易被忽略的功能是查找链接它能找出与某个实体直接相连的所有项目。串并分析做到一半卡住的时候用它把某个关键节点周围的邻居全拉出来经常能有意外发现。6. 下一步学什么三周时间从能出图到能讲清图入门阶段最容易高估的是“学完软件”最容易低估的是“练熟套路”。这套教材的内容量不小但真正决定你能不能上手的不是看完多少页而是完整走通几个场景。下面这张表是我建议的三周节奏每周投入五六个小时就够。6.1 一张三周的自学表周次主要任务对应内容验收标准第一周认词、画小图、建第一份导入规范入门概念、基本绘图、基础操作能独立画出 5 个实体以内、方向正确的关系图第二周通话记录与资金流水各做一个完整演练功能演练中的话单分析与账户分析能说清这张图回答了什么、依据是哪几条线第三周轨迹与串并各做一个练习查找类功能轨迹分析、查找路径、列出项目能在两分钟内从 50 个实体里定位到关键节点三周之后你会发现软件本身的操作其实不难难的是“看图说话”的能力——同样一张图有人看出三条线索有人只看到一堆圆圈。这个能力只能靠反复画、反复被人问问题练出来。6.2 一个我一直在用的习惯最后给一个具体技巧每次新建图表先别画在空白处打一个文本框写上这张图要回答的那句话。这句话会在你画到一半走神的时候把你拉回来也会在你想往里塞无关信息的时候提醒你停手。我第一次做多人关联分析的时候图铺满了两屏节点快上百个交上去被人问了一句“所以结论是什么”我盯着屏幕找了五分钟才勉强说出一句。那次之后我每次打开一张新图都强制先把这句话写在画布左上角写完再动手。画的过程中如果发现这句话需要改那就说明问题本身变了得停下来重新想而不是继续往里加线。希望这个习惯能帮到你也希望你第一次画出来的那张图是能一句话讲清楚的。本文还有配套的精品资源点击获取