i2 Analyst‘s Notebook 8.91关联图分析实战

简介这份资源是 IBM i2 Analysts Notebook 8.91 情报分析系统软件安装包面向情报研判、案件侦查、金融反欺诈与网络安全调查等场景的从业者及学习者。软件以图形化网络图为核心可将海量数据转化为直观的关系视图内置关联分析算法、多条件智能搜索与多源数据导入能力并支持自定义分析模板、工作流管理、团队协作共享与版本回溯便于从复杂线索中梳理人物、事件与时间之间的关联。压缩包共 42 个文件、约 443.77MB包含 exe 安装与部署程序、htm 安装引导页面、msu 与 msi 系统组件、pdf 用户手册与快速入门指南、dll 依赖库及 doc 培训教材等安装链路与配套文档相对完整该版本无需加密狗简化了部署环节。目前已有 4680 人学习下载。1. i2 Analysts Notebook 8.91把几十张流水表处理成一张能继续追问的关联图手上压着三十几份 Excel——转账流水、通话清单、工商股权、出入库单每份都有几万行你想知道的是这两个账户之间到底隔了几层人这种问题而 Excel 的筛选和 VLOOKUP 只能一列一列地对对到第三层就已经不知道自己在干什么了。i2 Analysts Notebook 8.91 就是干这个的一款桌面端的关联关系分析工具属于常被归到情报分析系统软件这一类别的产品8.91 是它 8.x 这一代的版本号。它的数据模型非常简单只有三个词实体Entity、链接Link、事件Event。每一行原始记录被拆成谁—和谁—什么关系—什么时候然后靠布局、条件格式、时间线和路径查找把静态的表格变成可以层层追问的结构。它的价值不在画得好看而是把人工比对的活变成一套可重复、可交付的流程。适合做反舞弊核查、供应链穿透、账户团伙识别、线索梳理这类工作的人尤其是那种结论要经得起别人逐条核对的场景。2. 数据建模实体、链接、事件三件套怎么切才不留后患2.1 别急着点导入先确认三张表的结构大部分人在这一步翻车不是因为不会用软件而是因为把原始宽表直接拖进去了。宽表的问题是一行里同时包含了两类实体的信息付款方、收款方和一次事件的信息金额、时间导入之后你会得到一堆属性挂在链接上的图实体本身什么都没有后面的条件格式、匹配实体、时间线全都没法用。合格的做法是先拆成三张逻辑表。点表实体表一行一个对象至少要有 Identifier、Label、Type 三列边表链接表一行一条关系要有 Source、Target、Type以及关系本身的属性事件表是边表的一个特例额外带 Date 和 Time。判断一个字段该挂在哪张表上有个简单标准这个属性如果换个对象就变了它属于实体如果换个双方就没了它属于链接。要素必填字段常见类型判断标准实体Identifier、Label、Type人员、机构、账户、号码、车辆、地址能被单独指认、能被重复引用链接Source、Target、Type转账、通话、持股、任职、亲属描述两个实体之间的一次关系事件链接字段 Date、Time交易、会面、通话记录有时间点、可以排序实体类型不要一开始就设太多。我一般会先把原始数据里出现频率最高的五六类拎出来剩下的先统一归到其他跑完第一版图再回头拆。类型设多了的直接后果是条件格式要一条条配、匹配实体要一对对选维护成本翻倍而收益往往是零。2.2 用 Python 把原始流水洗成可导入的点表与边表这一步是整个流程里唯一值得写代码的地方因为它决定了后面每一次分析能不能复现。原始数据里的账号前导零、手机号分隔符、金额里的逗号、时间格式混用这些必须在进图之前清掉——指望在图形界面里改改到第五十条就疯了。import pandas as pd RAW records.xlsx # 原始流水一行一条记录 OUT_NODES nodes.csv OUT_EDGES edges.csv # dtypestr 是关键不指定的话账号 0012345 会被读成数字 12345前导零直接没了 df pd.read_excel(RAW, dtypestr) df.columns [c.strip() for c in df.columns] def norm_account(s): if pd.isna(s): return None s str(s).strip().upper().replace( , ) return s or None def norm_phone(s): if pd.isna(s): return None s str(s).strip().replace(-, ).replace( , ) return s if s.isdigit() and len(s) 7 else None nodes {} def add_node(nid, ntype, label, **attrs): if not nid: return # Identifier 加类型前缀避免账户号和人名撞车 prefixed f{ntype[:3].upper()}_{nid} if prefixed not in nodes: nodes[prefixed] {Identifier: prefixed, Label: label, Type: ntype} nodes[prefixed].update({k: v for k, v in attrs.items() if v not in (None, )}) rows [] for _, r in df.iterrows(): payer, payee norm_account(r.get(付款账号)), norm_account(r.get(收款账号)) if not payer or not payee or payer payee: continue # 自环和空值在这里丢掉不要留到图里再清 add_node(payer, Account, payer, Bankr.get(付款行)) add_node(payee, Account, payee, Bankr.get(收款行)) ts pd.to_datetime(r.get(交易时间), errorscoerce) rows.append({ Source: fACC_{payer}, Target: fACC_{payee}, Type: 转账, Amount: pd.to_numeric(r.get(金额), errorscoerce), Date: None if pd.isna(ts) else ts.strftime(%Y-%m-%d), Time: None if pd.isna(ts) else ts.strftime(%H:%M:%S), Description: r.get(摘要), }) pd.DataFrame(nodes.values()).to_csv(OUT_NODES, indexFalse, encodingutf-8-sig) pd.DataFrame(rows).dropna(subset[Date]).to_csv(OUT_EDGES, indexFalse, encodingutf-8-sig)几个参数值得单独说清楚。dtypestr不是可选项账号、证件号、卡号这类字段一旦被 pandas 推断成数值前导零和超长精度都会丢而且丢了不报错。encodingutf-8-sig里的-sig是给 Windows 中文环境的 BOM少了它导入预览里就是一片问号。日期和时间拆成两列不是多此一举i2 的导入设计器里 Date 和 Time 是两个独立的映射目标单列 2024/1/5 13:20 进去只会被当成文本时间线视图认不出来。至于 Identifier 加前缀是因为实体 ID 在整个图表里是全局唯一的账户6222...和某个内部编号撞上之后两批数据会被静默合并成一个对象排查起来极其难受。2.3 导入设计器里四个必须手动确认的项导入走的是 Add Data → Import选文件之后进 Import Designer左边选这次要建什么类型的实体或链接右边把 CSV 的列拖到目标字段上。配好之后存成导入规格下次同类数据直接复用这是把一次性劳动变成资产的关键。第一项是实体类型与 Identifier 的对应关系。设计器会自动推荐但推荐经常错尤其是列名带编号ID的时候。第二项是方向语义Source 和 Target 谁是谁必须眼看一遍资金流方向反了后面的分层布局会把整张图倒过来画。第三项是属性类型Text、Number、Date、Flag 要分别指定金额被当文本存进去条件格式里就没法做数值区间。第四项是空值处理设计器默认把空字符串也写进去结果是每个实体都带着一堆空属性导出报告时全变成空白行。常见做法是一份 CSV 走两遍导入第一遍只建实体把 Source 和 Target 两列都映射成实体去重交给工具第二遍只建链接。这样点表和边表可以共用同一份文件不用维护两个数据源。提示导入规格配好之后先拿 200 行样本跑一遍看实体数量和链接数量对不对得上比拿几万行跑完再发现类型错了要省事得多。3. 布局与视觉编码让异常边自己浮出来的六种手法3.1 六种布局各自的适用边界布局不是哪个好看选哪个而是你希望哪条边短、哪条边长。i2 里常用的几种布局判断标准可以归到一张表里布局把什么放到中心适合回答的问题什么时候别用Peacock孔雀一个中心对象这个账户/这个人和谁有直接往来中心对象超过三四个就没法看圆形 Circular无中心均匀铺开一圈对象之间谁连着谁边密度高时线缠成一团分层 Hierarchical流向的起点资金经过几层、指挥链有多深图里有环状结构会画歪分组网络 Grouped Net聚类结果有几个团伙、彼此有没有交集分组依据不稳定时图会来回跳主题线 Theme Line时间轴事件在时间上怎么分布时间字段不全的数据地图 Map地理位置跨地域的往来集中在哪只有地址文本、没有坐标实操顺序一般是先用分组网络看整体有几坨再对每一坨用孔雀布局展开中心对象最后对可疑链路切到分层布局数层数。同一张图可以做多个图表项副本各自用不同布局别在一个视图里反复切——切多了位置全乱之前的判断也没法复现。3.2 条件格式把属性映射成颜色、图标和粗细条件格式挂在实体类型上不挂在单个对象上这一点必须先理解否则你会一直疑惑为什么改了一个人的颜色同类的人全变了。配置路径是选中某个实体类型 → Conditional Format → 新增规则 → 选属性 → 设阈值 → 指定填充色、边框或图标。我一般会配三档金额或次数按分位数切三段比如前 5%、5% 到 20%、其余用颜色深浅区分风险标记这类布尔属性用图标一眼能扫出来链接的粗细绑金额或通话时长但一定要设上限不设上限的话一笔大额就能把其他所有边压成一条线。有个细节容易被忽略条件格式的规则是有优先级的后面的规则会覆盖前面的。所以顺序应该是通用规则在前例外规则在后把最想突出的小众情况放在最后一条。3.3 时间线视图把事件表变成能读的时序时间线视图的前提是 Event 类型的对象带 Date 和 Time 两个属性且导入时确实映射到了这两个字段上。打开之后横轴是时间每条事件是一根竖线或者一个点可以按类型、按实体分组形成多条泳道。这一步的价值在于识别节奏。单看流水表你很难发现某几个账户在每周五下午集中互转放到时间线上那几个规律性的尖峰是自己跳出来的。分组维度建议先按链接类型分再按关键实体分两层就够再多泳道会挤成一片。时间轮Time Wheel是同一种思路的环形表达适合看周期性——比如每月月初、每季度末的集中动作。它不适合看绝对时间顺序两者用途不同别互相替代。注意时间线对时区不敏感导入的是什么就是什么。跨时区数据必须在 Python 里先统一别指望工具帮你换算。4. 分析动作路径查找、实体匹配与中心性计算的参数怎么给4.1 路径查找的三种问法与收敛技巧路径查找Find Path是这类工具最核心的动作但绝大多数人第一次用都会得到一个几百条路径的结果然后放弃。问题出在参数上。实际有三类问法参数完全不一样。第一类是两点之间最短路径选两个图表项最大链接数给 3 到 4方向选任意结果一般就那么几条直接看。第二类是从 A 出发能到哪些点这时不要用路径查找用查找连接对象Find Connected限定最大跳数得到的是一个可达集合比列路径清爽得多。第三类是所有路径这是最容易失控的一种最大链接数超过 5 基本没法看正确做法是先给 3看完一轮把已经确认的中间人排除掉再加到 4。排除功能是关键。路径查找里可以指定避开某些图表项把已经核实过的正常往来对象排除后剩下的路径数量往往从几百条掉到十几条。我一般的节奏是3 跳出结果 → 挑出最可疑的两三条链路 → 把这两三条上的中间对象标记成已核查 → 排除后重跑 → 逐步加深度。这个过程本身就是在做推理不要想一步到位。4.2 匹配实体阈值、比对字段和人工复核队列匹配实体Find Matching Entities解决的是同一个对象在不同数据源里写法不一样的问题同一个手机号在呼叫清单里是138-0013-8000在登记表里是13800138000不合并的话图就断成两截。配置逻辑是选两个实体集合 → 选比对字段 → 设相似度阈值 → 输出候选对。这里有一条硬规矩强 ID证件号、完整账号、完整号码可以自动合并弱字段姓名、地址、部分号码只出候选、必须人工过一遍。原因很简单弱字段的相似度算法对中文姓名极不友好张伟和张玮的相似度很高但它们显然是两个人。阈值怎么定先用 0.9 跑一遍看候选对数量如果只有几十对说明数据干净逐步降到 0.85如果一上来就几千对说明比对字段选错了换个字段而不是降阈值。我见过最典型的错误是拿地址当主比对字段结果整个园区的人被合成一个。4.3 中心性计算为什么建议在外部先算一遍再导回去桌面端交互式地看节点大小做单张图的定性判断没问题但三个东西它给不了你批量、可复现、参数透明。所以我的习惯是在 Python 里先把度中心性、介数中心性算好作为属性写回实体表再导进图里用条件格式上色。这样谁是枢纽就有了一个可以写进报告的数值依据而不是我感觉这个点比较中间。import pandas as pd import networkx as nx edges pd.read_csv(edges.csv) G nx.DiGraph() for _, r in edges.iterrows(): w r[Amount] if pd.notna(r[Amount]) else 0.0 if G.has_edge(r[Source], r[Target]): G[r[Source]][r[Target]][weight] float(w) else: G.add_edge(r[Source], r[Target], weightfloat(w)) U G.to_undirected() # 连通性类指标需要无向图 deg nx.degree_centrality(U) # 归一化除以 n-1跨数据集可比 # k 采样是近似算法节点多时用它换速度k 越大越准一般给 500 够用 k min(500, U.number_of_nodes()) btw nx.betweenness_centrality(U, kk, normalizedTrue, weightNone) out pd.DataFrame({ Identifier: list(U.nodes()), Degree: [round(deg[n], 6) for n in U.nodes()], Betweenness: [round(btw[n], 6) for n in U.nodes()], AmountSum: [sum(d[weight] for _, _, d in U.edges(n, dataTrue)) for n in U.nodes()], }) out.to_csv(centrality.csv, indexFalse, encodingutf-8-sig)参数上有三处必须交代。to_undirected()是因为介数中心性衡量的是有多少条最短路经过我方向性会把语义搞乱资金单向流动的图转成无向之后结论更稳。weightNone是刻意的——如果按金额加权介数中心性的含义会变成最便宜的路径经过我跟你要找的结构枢纽完全是两回事金额应该单独用AmountSum表达。k500是采样近似全量精确计算在几万节点上会非常慢500 次采样在大多数业务规模下排序结果已经稳定但要在报告里注明是近似值。算完把这个 CSV 当作属性表按 Identifier 匹配回实体表导入之后就能用条件格式按 Betweenness 分档上色。哪些点是桥一眼就能看出来。5. 避坑与排查五个会让你重做一遍的翻车点5.1 中文导入后全变成问号现象CSV 在 Excel 里打开完全正常导入预览里中文全是问号或方块。原因Windows 中文环境下不带 BOM 的 UTF-8 文件会被按 GBK 解析。Excel 自身能猜对编码所以你在 Excel 里看不出来但导入组件不做猜测。解决Python 侧统一用encodingutf-8-sig输出如果不方便改代码用记事本打开另存为UTF-8 带 BOM。这件事要在流水线最前面做掉不要每次导入时手动改。5.2 两万节点的图拖一下卡十几秒现象图建好之后每拖动一次画布就卡顿改个颜色要等半分钟。原因每个实体都是独立的可编辑对象加上自动布局在后台持续重算、条件格式实时刷新节点数上去之后开销是超线性增长的。解决三步。先把自动布局关掉改成手动触发再按时间切片或业务分组拆成多张图一张图控制在几千个节点以内最后作为展示用的总览图导出成静态图片动态的明细图单独留着分析用。千万不要在一个视图里既做分析又做展示。5.3 时间线视图里事件全堆在同一天现象明明数据里有精确到秒的时间时间线视图上所有事件挤在一根柱子上或者干脆什么都不显示。原因九成是导入时只映射了日期、没映射时间或者原始时间是一列2024/1/5 13:20的文本被当成字符串存进去了。工具不会报错它只是当作没有时间。解决回到 2.2 的脚本确保 Date 和 Time 是两列且格式固定为%Y-%m-%d和%H:%M:%S导入后在实体属性面板里抽查三五条确认 Date 字段的类型显示为日期而不是文本。这一步三十秒能省掉两小时。5.4 合并实体合错了撤不回来现象用匹配实体一键合并了几十条候选对发现其中几条把不同的人合成了一个想撤销撤销栈里已经没有那一步了。原因合并操作会改写图表项本身涉及链接重定向和属性覆盖这类结构性操作往往不在普通撤销栈里或者说撤销不干净。解决合并前必须先另存一份图表副本这是唯一的后悔药。更稳的做法是分两步走先让匹配实体只输出候选清单人工过一遍勾选再执行合并强 ID 批量合、弱字段逐条合永远不要对弱字段用全部接受。5.5 换台机器打开图表文件图标和模板全丢了现象在自己机器上做好的图表拷给别人打开自定义图标变成空白方块配色也变了。原因图表里引用的图标集、模板、图片走的是本地路径文件本身不一定被嵌进去。解决交付前统一走打包/嵌入的流程把用到的图标和模板一起带上配色尽量用内置方案而不是自己调的 RGB如果一定要自定义把模板文件和数据一起放进同一个交付目录并在文档里写清楚放置位置。6. 交付与复现一份图表报告模板和六项自查清单做到最后真正体现水平的不是图有多复杂而是别人拿到你的文件能不能复现出同样的结论。我的做法是固定一套图表报告模板第一页放总览图分组网络布局只显示聚类和关键枢纽第二页放分层图展示资金或关系路径的层数第三页放时间线第四页放中心性排序表最后附一页数据来源与清洗规则写清楚原始数据取自哪几张表、清掉了多少条自环、匹配实体用了哪几个字段和什么阈值。这一页看起来最枯燥但它决定了这份图表是一份工作成果还是一张图。配套的自查清单我固定六项每次交付前走一遍检查项通过的判据实体数量与清洗后点表的行数一致误差为 0链接方向抽查 20 条Source/Target 与原始流水方向一致时间完整性随机抽 10 个事件Date/Time 与源数据逐字符一致条件格式关掉规则后图仍然可读说明没有依赖颜色隐藏关键信息匹配实体弱字段合并的每一条都有复核标记文件打包在另一台机器上打开图标、配色、字体无缺失最上面那条实体数量误差为 0是我加得最晚、但救过最多回的一条。之前有一次导入之后图看着挺正常交付前两天随手数了一下发现实体比点表少了三百多个——原因是其中一批账号在源数据里带空格被我的规范化函数留下了一个变体两批合成了一个。图上看不出来因为合出来的那个对象属性看着也合理。从那以后我每次导入完都强制走一遍这六项尤其是第一条三十秒的事不做就得在交付前夜重来。希望帮到你。本文还有配套的精品资源点击获取