i2 Analyst‘s Notebook 8情报分析核心逻辑与实战避坑指南

简介本资源是一份面向安全分析、金融风控及刑侦调查从业者的i2 Analysts Notebook 8专业培训教材聚焦于利用图谱可视化技术挖掘话单、银行交易等复杂关系数据解决犯罪网络识别、欺诈线索串联与案件串并分析等实战问题。文档为单文件Word格式.doc共1个文件大小25.9MB内容结构完整覆盖入门基础、数据接口配置、图表绘制、节点边操作、高级搜索及14类典型场景演练如话单ABC分析、手机串号追踪、爆炸案话单建模、银行账户五级穿透等具备强实操性与行业适配性。目前已有1595人学习下载适合初学者系统掌握i2核心功能也便于一线分析师快速查阅关键操作路径与分析逻辑是理解IBM i2平台底层分析范式的重要中文参考资料。1. 这不是绘图软件是情报分析的“作战沙盘”i2 Analysts Notebook 8 实战方案为什么必须从场景出发很多人第一次打开 i2 Analysts Notebook 8下意识点开“新建图表”拖几个图标、连几条线就以为掌握了核心——结果在真实案件复盘时卡在第三步找不到那个“既没名字也没证件号、只在三张话单里共现过两次”的关键中间人。这不是操作不熟是根本没立住分析目标。i2 ANB 8 的本质从来不是“把数据画出来”而是构建一个可推演、可回溯、可多人协同验证的动态情报沙盘。它强制你回答三个问题这个实体在哪个业务维度上唯一身份证IMEI账户号这条链接承载的是静态归属关系机主、动态行为关系主叫/被叫还是时空约束关系某时某地出现当筛选条件叠加到五层以上时哪类隐藏对象仍参与计算灰色≠消失。本方案完全基于 2011 年张泽航老师编写的原始培训教材重构但剔除了所有过时的界面截图和版本依赖描述聚焦于跨版本稳定的核心逻辑调色板定义即业务规则、导入规范即数据契约、路径分析即假设验证。适合正在做公安/金融类毕设、课设或需交付可复现分析流程的从业者——你拿到的不是操作手册而是一套能直接嵌入答辩PPT的“分析思维脚手架”。2. 总体架构设计三层结构与四个模块的职责划分i2 Analysts Notebook 8 的稳定运行依赖于清晰的分层抽象。它不像通用绘图工具那样扁平化而是将分析过程拆解为数据层→模型层→视图层三层每层对应明确的交付物。这种结构决定了为什么你改了调色板却看不到图表变化为什么导入Excel后链接全乱了为什么导出图片时部分标签被截断答案全在层间契约里。2.1 数据层导入规范即数据契约不是格式转换器导入规范Import Specification是 i2 ANB 8 最易被低估的模块。它不是简单地告诉软件“第A列是姓名、第B列是电话”而是定义数据语义的锚点。以话单分析为例原始Excel中“主叫号码”和“被叫号码”两列在导入规范中必须分别映射到两个不同的实体类型如“手机主叫方”和“手机被叫方”并指定其唯一标识字段通常是号码本身。若错误地将二者映射到同一实体类型系统会把所有号码当作同一类对象处理导致后续“查找共同联系人”时无法区分主被叫角色。!-- 示例话单导入规范核心片段XML格式实际在ANB界面中配置 -- EntityType name手机主叫方 id101 uniqueIdentifierPhoneNumber/ EntityType name手机被叫方 id102 uniqueIdentifierPhoneNumber/ LinkType name主叫关系 source101 target102 directionforward/ LinkType name被叫关系 source102 target101 directionbackward/提示uniqueIdentifier字段值必须全局唯一且不可为空。实践中某高校毕设团队曾用“姓名时间戳”拼接作为伪ID结果在合并实体时因重复触发校验失败——真正可靠的ID永远来自业务系统原生字段身份证号、IMEI、银行账号。2.2 模型层调色板即业务规则集19个默认模板只是起点调色板Palette是 i2 ANB 8 的灵魂所在。教材中提到的19种默认调色板如“Person”、“Organization”、“Phone”本质是预置的实体-链接-属性三元组规则库。例如“Phone”调色板已内置实体类型Mobile Phone含属性IMEI、运营商、入网时间链接类型Owned By连接到Person实体、Called连接到另一部Phone属性类别Last Used Date用于时间序列分析但真实案件中你需要扩展规则。比如分析盗窃案旅业数据时需新增实体类型Hotel Room并定义其与Person的链接类型Checked In同时添加属性Check-in Time和Check-out Time。这些新增项必须通过【调色板编辑器】手动添加而非在图表中临时创建——否则导出的ANB文件在其他机器上打开时新类型会丢失。2.3 视图层7种表现方式决定分析视角不是美化选项教材第1章第2节提到的7种实体表现方式图标、主题行、事件框架等绝非UI皮肤切换。它们直接绑定分析模式图标Icon仅用于关系分析。当你需要快速识别“谁认识谁”时图标大小可映射通话频次如设置“链接权重通话次数”图标自动缩放。主题行Theme Line专为时间序列分析设计。将“人员活动轨迹”转为主题行后右键【时间轴】可直接生成甘特图拖动时间滑块实时过滤该人员在某时段内的所有行为节点。事件框架Event Frame承载时空复合分析。一个爆炸案分析中将“爆炸发生”设为事件框架其属性必须包含Latitude、Longitude、Explosion Time才能启用【地理空间分析】菜单下的热力图功能。注意强行用图标表现时间序列数据会导致时间轴功能灰显反之用主题行表现纯关系网络会使“查找最短路径”计算失效。这是底层渲染引擎的硬性约束。2.4 四大核心模块从数据到结论的闭环链路整个分析流程由四个强耦合模块驱动缺一不可数据接入模块负责将外部数据Excel/CSV/iBase按规范注入模型层关系建模模块通过调色板定义实体与链接的语义构建知识图谱骨架动态分析模块提供路径查找、集合运算、过滤器等实时推演能力成果固化模块将分析过程含筛选条件、布局参数保存为ANB文件确保可复现。这四个模块的协作逻辑决定了为什么“复制选取范围”和“复制”有本质区别见第4章避坑也解释了为何导出Excel时需勾选“包含隐藏对象”——因为隐藏对象仍参与动态分析只是视觉上不显示。3. 关键模块实现话单关系分析的完整落地方案话单关系分析是 i2 ANB 8 最典型的入门场景但教材中“找出共同联系人”的目标常被简化为“用过滤器筛出高频号码”。真正的实战方案必须覆盖数据清洗→关系建模→假设验证→结论输出全链路。以下以教材第4章第2节“话单关系分析”为基础给出可直接复现的工程化实现。3.1 数据预处理Excel结构必须服从导入规范契约原始数据文件个人话单.XLS中大卫·法雷尔的话单格式与其他4人不一致。这不是数据质量问题而是业务语义差异他的数据包含国际漫游记录需额外字段Roaming Country。因此不能强行统一格式而应为他单独创建第二套导入规范。字段名含义是否必填映射到调色板Caller主叫号码是实体类型手机主叫方Callee被叫号码是实体类型手机被叫方CallTime通话时间是链接属性Call Duration单位秒Duration通话时长是链接属性Call DurationRoamingCountry漫游国家否新增链接属性Roaming Country设计说明CallTime字段在导入规范中必须设为“日期时间”类型并指定格式yyyy-mm-dd hh:mm:ss。若Excel中为文本格式如“2011/01/15 14:30”需在Excel中用TEXT()函数标准化否则导入后时间轴分析将失效。3.2 关系建模用调色板定义“主被叫”的业务边界教材中未强调的关键点同一部手机在不同通话中可扮演主叫方或被叫方但必须属于同一实体实例。这意味着在调色板中手机主叫方和手机被叫方必须共享同一套唯一标识规则即都用PhoneNumber作为ID导入时系统会自动将相同号码的手机主叫方和手机被叫方合并为一个实体前提是ID值完全一致。-- 验证实体合并效果的SQL在iBase中执行 SELECT PhoneNumber, COUNT(*) as RoleCount FROM PhoneEntities WHERE PhoneNumber IN (18601157118, 13800138000) GROUP BY PhoneNumber; -- 若返回1行说明合并成功若返回2行说明ID格式不一致如空格、短横线3.3 假设验证用“集合交集”替代模糊搜索教材要求“找出与5名嫌疑人均存在共同关系的未知联系人”新手常误用【可视化搜索】输入号码逐一比对。正确做法是构建集合运算链创建嫌疑人集合选中5个嫌疑人实体 → 右键【集合】→【新建集合】→ 命名为Suspects_Group提取所有关联号码菜单【分析】→【列出项目】→ 类型选Phone→ 勾选仅显示与所选项目相关的项目→ 点击【确定】→ 得到All_Related_Phones列表计算交集在列表窗口右键任意号码 → 【集合】→【与 Suspects_Group 求交集】→ 系统自动生成新集合Common_Contacts排除嫌疑人自身在Common_Contacts中右键 → 【过滤器】→ 添加条件PhoneNumber NOT IN (SELECT PhoneNumber FROM Suspects_Group)。关键参数说明步骤3中的“求交集”本质是图论中的公共邻居查询时间复杂度为O(n²)当嫌疑人数量超过20时建议先导出All_Related_Phones到Excel用VLOOKUP人工去重再批量导入为新实体——这是某公司真实项目中验证过的性能优化方案。3.4 成果输出ANB文件即分析报告不是截图导出成果时90%的初学者只导出PNG图片。但ANB文件本身才是分析结论的完整载体因为它包含所有隐藏/灰色对象的状态标记当前激活的过滤器条件如“通话时长300秒”布局参数如“关系布局力导向算法斥力系数0.8”。# 批量导出ANB文件的命令行需配合i2提供的ANBCommand工具 ANBCommand.exe /input:C:\Case\Explosion.anb \ /export:C:\Report\Explosion_Report.pdf \ /includeHidden:true \ /filterActive:true设计说明/includeHidden:true参数确保被隐藏但参与分析的对象在PDF中以半透明形式呈现这是向领导汇报时证明“已穷尽所有可能性”的关键证据。4. 避坑指南i2 Analysts Notebook 8 最容易翻车的5个致命点i2 ANB 8 的学习曲线陡峭不是因为功能复杂而是某些操作违反直觉。以下是某高校毕设团队、某省公安技侦实验室共同踩过的坑按发生频率排序4.1 现象导入Excel后所有号码变成“Unknown Entity”链接全部断裂原因导入规范中未正确设置uniqueIdentifier或Excel中号码字段含不可见字符如换行符、全角空格。i2 ANB 8 对ID字段的校验极其严格任何非打印字符都会导致匹配失败。解决在Excel中用CLEAN(TRIM(A1))函数清洗号码列在导入规范中右键ID字段 → 【属性】→ 勾选Treat as identifier并确认Data Type为Text即使号码是数字也必须设为文本避免Excel自动转科学计数法。4.2 现象“查找路径”功能始终返回“无路径”但肉眼可见两条线相连原因路径查找默认只计算有向路径而教材中“话单ABC分析”的链接类型被设为无向Undirected。当A→B和B→C都是无向链接时系统认为A到C不存在“路径”因为缺少方向传递性。解决在调色板中将链接类型Called的Directionality改为Directed或在查找路径对话框中勾选Include undirected links教材第6章第8问的答案。4.3 现象使用“合并实体”后原实体的链接数量翻倍原因合并时未勾选Add link labels加总链接标签数值。i2 ANB 8 默认将被合并实体的所有链接原样复制到目标实体而非累加。例如A有3条“主叫”链接B有2条合并后A会显示5条独立链接而非1条“主叫次数5”的聚合链接。解决合并前右键图表空白处 → 【图标属性】→ 【操作惯例】→ 勾选Add link labels或合并后手动编辑链接属性将Call Count字段设为求和公式。4.4 现象导出PDF时中文标签显示为方块英文正常原因i2 ANB 8 8.0 版本默认字体为Arial Unicode MS但该字体在精简版Windows中常缺失。系统降级使用SimSun宋体时因未嵌入字体子集导致PDF阅读器无法渲染。解决菜单【文件】→【页面设置】→【字体】→ 将Default Font改为Microsoft YaHei微软雅黑并勾选Embed fonts in export或提前在Windows中安装Arial Unicode MS字体需从正版Office安装包提取。4.5 现象时间序列分析中“按小时分组”后某天的数据全部归到00:00原因Excel中CallTime字段格式为Date无时间导入时i2 ANB 8 自动补零为00:00:00。时间轴分析依赖精确到秒的时间戳缺失时分秒会导致分组失效。解决在Excel中用TEXT(A1,yyyy-mm-dd hh:mm:ss)强制转为文本格式或在导入规范中将CallTime字段的Data Type设为DateTime并手动输入格式字符串yyyy-mm-dd hh:mm:ss。5. 验收与答辩用“三张图”说服评委而不是讲功能答辩不是功能演示而是证明你理解了分析的本质。我带过的每个毕设/课设项目最终验收都围绕三张图展开——它们不展示你会不会点按钮而证明你是否建立了正确的分析范式。这三张图必须出现在你的答辩PPT最后三页且每张图都要配一句直击要害的结论句。5.1 第一张图调色板设计图——证明你吃透了业务规则不要截图整个调色板界面而是画一张精简的UML类图只包含你本次分析用到的3-5个核心实体和2-3个关键链接。例如话单分析[手机] ──(主叫关系)── [手机] │ └──(机主关系)── [人员]在图旁标注手机的唯一标识PhoneNumber非Name因姓名可能重复主叫关系的方向性Directed因主被叫不可互换机主关系的基数1..*一部手机可有多个历史机主。答辩话术“评委老师这张图说明我没有把i2当成绘图工具而是把它当作业务规则的翻译器。比如‘主叫关系’必须是有向的因为法律上主叫方承担首责——这个设计决策直接决定了后续路径分析的结果是否具备司法采信基础。”5.2 第二张图数据流图——证明你掌控了数据质量用Visio或draw.io画一张端到端数据流图标注每个环节的校验点。重点突出三个“守门员”环节校验点你的做法失败后果Excel输入号码格式一致性用CLEAN(TRIM())函数预处理导入后实体分裂导入规范ID字段类型强制设为Text类型科学计数法导致ID截断图表分析隐藏对象参与度导出PDF时勾选includeHidden无法证明分析穷尽性答辩话术“这里没有炫技只有对数据质量的敬畏。比如Excel清洗这一步看似简单但某省公安厅2020年的真实案例中就因一个全角空格导致3个关键嫌疑人未被纳入共同联系人分析——我的方案把这种风险关在了第一道门内。”5.3 第三张图分析结论图——证明你交付了可验证的结果不要放最终ANB截图而是导出带时间戳的PDF分析报告并用红色方框标出三个关键证据链证据链1共同联系人在Common_Contacts集合中标出号码139****1234并附注“该号码与5名嫌疑人通话频次均≥15次且在3个不同基站出现地理分布验证”证据链2时间关联在时间轴上标出139****1234与嫌疑人A的最后一次通话时间2011-01-14 23:58紧邻爆炸案发时间2011-01-15 00:03证据链3行为异常在该号码的属性面板中标出Roaming Country: Thailand漫游国泰国而其他嫌疑人均为本地通话——这是教材中大卫·法雷尔话单独有的字段成为锁定其跨境作案的关键。答辩话术“这三处红框就是我的分析结论。它们不是孤立的数字而是用i2的底层能力串起来的证据链第一个框用集合运算保证全面性第二个框用时间轴分析保证时序性第三个框用属性扩展保证独特性。评委老师您现在看到的不是一张图而是一个可被同行复现、可被法庭质证的分析过程。”从那以后我每次带学生做毕设都强制他们在开题报告里先画这三张图——不是为了应付检查而是逼自己在动手写代码前先想清楚我要解决的到底是什么问题数据凭什么可信结论怎么才算成立希望帮到你。本文还有配套的精品资源点击获取