i2 8.91情报分析实战：从数据清洗到关联图与时间线分析

简介：IBM i2 Analyst's Notebook 8.91是一款面向情报分析、犯罪调查与金融欺诈检测的专业可视化分析工具，适合执法机构、安全团队及企业内部审计人员使用。该版本压缩包共42个文件，整体约443.77MB，包含可执行安装程序（exe）、必备运行组件（msu/msi）、系统配置文件（xml/ini）及文档资料（pdf/doc/htm）等，其中预置的i2forfree模式无需硬件加密狗即可安装。目前已有4663人学习下载。包内提供《i2 Analyst's Notebook 8培训教材》《快速入门指南》《发布说明》等官方文档，以及用户指南，可帮助初学者从界面操作、数据导入到关联分析逐步上手；同时包含运行所需的.NET Framework、Visual C++等预装软件，降低了环境配置门槛。无论是进行数据可视化、隐藏关联挖掘还是团队协作分析，这套安装包与配套文档都能为实际业务提供扎实支撑。

1. i2 Analyst's Notebook 8.91：情报分析不是画图，是找关系和时机

第一次拿到 i2 Analyst's Notebook 8.91 的人，十有八九会把它当成一个“画图工具”：拖几个框、连几条线、换个图例，最后导出一张看起来很专业的关联图。但真正在分析岗位上用过一段时间的人会告诉你，这个判断恰恰是最大的误解。i2 的价值不在“画”，而在“连”——它把你从通话记录、资金转账、人员名单、时间事件里抽出来的实体和关系压进一张可视化图上，让本来分散在几十页报告里的线索变得清晰可见。它解决的核心问题，是帮分析人员快速定位“谁和谁有关、什么时间发生了什么、证据链从哪里断开”，适合那些面对大量关系型数据、需要向决策者给出结论的分析场景。适合谁？情报分析、调查取证、合规风控、审计反欺诈方向的从业者。如果你抱着“画一张漂亮的架构图”的心态来用它，会失望；如果你带着“找出藏在数据背后的人和事”的目标来，它会比表格和数据库好用一个量级。

2. 用 i2 8.91 搭最小分析环境：安装、启动与数据接入准备

i2 Analyst's Notebook 8.91 是典型的商业分析软件，安装过程不像开源工具那样自由。很多单位的实际管理方式是：分析师提交申请，由 IT 在专用工作站上装好客户端，再分配一个许可证给个人使用。因此“能不能跑起来”这件事，在 8.91 上往往不是下载一个安装包那么简单，而是环境是否匹配、权限是否到位的问题。

我一般会把最小可用环境拆成三样东西：可运行的安装目录、有效许可证、以及一个能放 AnB 项目和临时数据的可写路径。任何一样出问题，软件都可能启动失败，或者启动后导入功能是灰的。下面先讲装之前必须确认的事，再讲第一批数据怎么进去。

2.1 安装前检查：先看操作系统位数和许可证，再看软件版本

先看操作系统位数。8.91 这个年代的版本，主流装的是 32 位客户端，但如果你用的是 64 位 Windows，需要确认安装包对应的是哪个构建，否则装完后可能找不到数据库驱动或提示组件注册失败。检查方法是在命令行里执行echo %PROCESSOR_ARCHITECTURE%，看到AMD64就是 64 位系统，再对应选择安装包。这个动作很多人跳过，直到连数据源时系统报“找不到 Microsoft OLE DB Provider”才回头补课。

再看许可证类型。i2 常见两种许可模式：一种是节点锁定，许可证绑定当前机器，需要导入许可文件；另一种是并发许可，软件启动时从许可服务器借一个名额，用完后释放。8.91 时代并发许可的配置尤其容易翻车，常见症状是软件能打开，但过几分钟弹“License check failed”，或者多人同时启动时互相挤掉。遇到这种情况，不要反复重装，先确认本机能否访问许可服务器的端口，再检查当前用户有没有该服务对应的系统权限。

安装路径也有讲究。默认路径下如果带了中文或特殊字符，比如放在“D:\分析工具\i2\”这种目录，后续把图表导出为图片或报表时，有可能在文件读写环节出现莫名其妙的失败。我一般建议装在纯英文路径下，并且路径中不要有空格。装完后顺手把安装目录加入杀毒软件白名单，这一步能省掉后面很多“软件突然打不开”的麻烦。

2.2 第一批数据接入：CSV 导入的三种路径和属性映射

i2 8.91 最常用的数据接入方式是 CSV，因为几乎所有业务系统都能导出表格。在 i2 里导入 CSV 常见有三种路径：从菜单直接选择外部数据源导入、通过数据库连接器查询导入、以及基于现有图表的模板导入。对第一次上手的人，我建议用第一种，先把链路打通，再谈自动化。

CSV 导入失败的原因，十次里有八次出在数据本身，而不是软件操作。最常见的问题包括：电话号码或账号以科学计数法显示、日期格式不统一、表头与 i2 的默认属性名对不上。这些在导入前用一个脚本处理一下，会省掉大量重复劳动。下面是我常用的数据清洗脚本，用的 pandas，处理完再喂给 i2。

import pandas as pd df = pd.read_csv('raw_data.csv', dtype={'phone': str, 'account': str}) # dtype 强制转字符串，避免电话号码、银行账号变成科学计数法或丢失前导 0 df['time'] = pd.to_datetime(df['time'], format='%Y-%m-%d %H:%M:%S', errors='coerce') # 时间列统一成标准格式；i2 导入时对时间格式很敏感，格式不一致会直接落空 df = df.dropna(subset=['person_id', 'related_id']) # 关键实体字段为空的行直接剔除，否则导入后会出现大量无属性卡片 df = df.drop_duplicates(subset=['person_id', 'related_id', 'time']) # 完全重复的记录合并，减少重复关联边 df.to_csv('clean_data.csv', index=False, encoding='utf-8-sig')

这段脚本里，最关键的是dtype={'phone': str}和encoding='utf-8-sig'。前者保住手机号里的前导零和银行账号的精度，后者解决 i2 在 Windows 环境下读取 UTF-8 文件时表头乱码的老问题。errors='coerce'的用途是让无法解析的时间变成空值，而不是让整个导入中断。

数据清洗后，导入时真正要花精力的是属性映射。一个 CSV 列要落到 i2 的哪个实体属性上，直接决定后面能不能按某个字段搜索和统计。下面是一个典型的映射设计：

这段映射的核心点是“实体和关系分开”的思维：人和账户是实体，资金转移是关系，转移发生的时间与金额是关系的属性。这样导入的图表，才能在后续分析中既看“谁认识谁”，又看“谁给谁转过钱”。

2.3 保存与交换：一个 AnB 文件到底带了哪些附属物

第一次接触 i2 的人，经常遇到这种尴尬：同事发来一个.anb文件，你双击打开，图是空的，或者图标全是默认的方框。这不是文件坏了，而是因为你缺了附属文件。.anb主文件里存的是图表结构和布局，但图例、自定义图标、模板等往往放在同目录的资源文件里，换一台机器打开时，如果这些附属文件没跟上，图表就会“裸奔”。

8.91 时代，我见过的数据交换翻车现场，几乎都栽在“只发了一个文件”上。常见做法是把整个项目目录打包传递，至少包含主文件和资源目录；如果对方只是临时看图，更稳妥的是用导出功能生成一份独立文件再发，而不是直接传 AnB。另外注意版本差异，用 8.91 打开更高版本保存的项目，有时会提示版本过高无法打开。这种时候只能请对方另存为兼容格式，或者在原环境里导出交换格式。

3. 从表格到 link chart：用实体、关系和时间线还原事件链条

把 CSV 导入 i2 只是第一步，真正有价值的是把数据变成可以分析的关联图。i2 Analyst's Notebook 8.91 的核心分析视图是 link chart（关联图）和 timeline（时间线），它们分别回答“谁和谁有关”和“事情按什么顺序发生”这两个问题。

这一章我会讲清楚从表格到关联图之间的建模过程：先决定哪些字段升级为实体、哪些字段变成关系、时间与金额放在哪里；再讲画布上的高频操作；最后把时间线单独拿出来说，因为 8.91 的时间线功能在分析事件链条时往往比关联图更好用。

3.1 实体和关系建模：先定人和物，再定流转方向

建模是 i2 分析里最体现经验的一步。同一个 CSV，新手可能把每一列都做成实体，结果图上几百个框谁也看不清；有经验的人会先问一个问题：我要回答什么？如果目的是查资金流向，那么“人”和“账户”是实体，“转账”是关系；如果目的是查通话网络，那么“号码”是实体，“通话”是关系，“时长”是属性。实体类型宁少勿多，一个分析图表里超过 6 种实体类型，往往说明你的分析问题还没收敛。

建立实体和关系时，我建议先画一张草图，把数据里的对象列成两类：独立存在的事物（人、公司、账户、地址、设备）作为实体；它们之间的行为或法律/业务联系（通话、转账、持股、入住、注册）作为关系。不要一上来就把图做细，先确定主干：谁是起点，谁是终点，流转方向是什么。比如“从账户 A 转账到账户 B”，A 和 B 是实体，方向是从 A 指向 B，转账金额挂在关系上，时间也挂在关系上。

8.91 里有一个很实用的习惯：给每个实体类型指定唯一的颜色和形状，并在图例里写清楚。这样可以保证当图表变大、节点挤在一起时，读者仍能一眼分清哪些是人员、哪些是账户、哪些是地址。这个习惯越早养成，后面做结论图越省事。

3.2 link chart 画布上的关键操作：拖动建关系、环路识别、图例管理

在 i2 8.91 的关联图画布上，最基础的操作是：从左侧数据列表选中一条记录，按住鼠标拖到画布空白处，生成一个实体卡片；再选中另一条记录拖过来，两张卡片之间就建立了关联。更常用的做法是从已有的实体上拖出一个新实体，在弹窗里选择关系类型。这里的关键是关系类型一定在建模时就定好，不要一边画一边发明新关系名称，否则后面做统计时关系名称一多，图例会乱成一团。

画布上值得专门训练的是“找环路”。在调查分析里，如果 A 指向 B，B 指向 C，C 又指向 A，这个闭环通常是重点：它可能代表资金回流、人员互保，也可能只是数据录入时产生了循环引用。8.91 里没有一键标环的功能，但你可以利用“选择相连实体”结合人工观察来发现它。操作思路是：选中一个关键实体，反复扩展相邻实体，直到画布上出现闭合结构；发现后立刻给环路上的边加高亮颜色，并在附注里写清楚这个环代表什么。

图例（Legend）管理是另一个容易被忽略但却能让你从“会用”进阶到“熟练”的功能。每次给实体换图标或颜色，顺手在图例窗口里同步更新，并在导出图片前确认图例可见。这样别人拿到你的图，不用你口头解释就能看懂。

3.3 timeline 和 chart sub-spreadsheet：让时间维度从附属变成主视角

关联图擅长展示关系结构，但在“事件按什么顺序发生”这个问题上是短板。8.91 里专门提供了 timeline 视图，支持把有时间的实体或关系按时间轴铺开。常见的用法是：选中画布上的一组实体，右键选择在 timeline 中显示；如果实体本身没有时间属性，它的关联关系上的时间也可以作为排布依据。

我自己的习惯是，在分析一个多步骤的事件链条时，先建一个 timeline，把所有带时间的记录拖进去，按时间排序后，再回到关联图里去核对哪些实体应该连在一起。这样能避免一个常见误区：图上看起来关系很近的两个实体，实际发生时间差了好几个月，根本不构成直接因果；时间线能帮你把这种“伪关联”尽早识别出来。

chart sub-spreadsheet 是 8.91 里容易被低估的功能。它本质上是一个画布实体的数据透视表，可以展示当前选中实体的所有属性和关系明细。当你觉得图上卡片太多、看不清楚时，不需要删卡片，直接用 sub-spreadsheet 做筛选和排序，按属性值选出一部分实体，再回到画布里阅读，速度会快很多。这个操作在数据量上来之后，是保证分析节奏不被打断的关键。

4. 数据质量与结果验证：8.91 里值得早点用起来的分析手段

i2 分析流程里有一个“黑匣子”环节：数据导进去了，图也画出来了，但结果对不对，很多人心里没底。i2 本身只是把关系展现在你面前，它不会提醒你数据里有没有重名、有没有时间格式错误、有没有因为导入时字段映射错位而产生的假关系。所以分析结果的可靠性，很大程度上取决于你在导入前和出图后做了什么。

这一章把数据体检、关联分析和导出交接放在一起讲，因为它们共同构成了一条完整的校验链：导入前检查数据质量，导入后用分析手段找重点，导出前确认信息完整。缺了其中任何一环，前面辛辛苦苦做出来的图，都可能在决策者面前经不起追问。

4.1 导入前的数据体检：属性缺失、重名、时间格式先处理

导入前的体检不是可选项。最常见的痛点有三个：重名、时间格式、属性缺失。

重名问题很典型：数据表里有两个“张伟”，i2 会把它们当成两个独立实体，图上出现两个名字相同的卡片。如果这两个人实际上是同一个人，分析时就漏掉了跨记录关联。处理方式是在清洗脚本里增加一列“唯一标识”，用身份证号或内部编号作为实体的 ID，而不是用姓名。姓名只作为显示属性，不作为连接依据。下表是检查清单：

在时间格式上，我见过很多翻车案例：同一个表里，一半是“2024/1/5 10:00”，另一半是“2024-01-05”，导入后 timeline 上只有一半数据有位置。这就是为什么在清洗脚本里先统一时间格式，比导完发现再改要省力得多。

4.2 关联强度和路径查询：从“有一堆线”里找出值得跟进的关系

画布上连线一多，人眼就会失效。8.91 提供了一套分析工具，用来回答“哪些关系值得优先看”和“两个实体之间到底通不通”。其中一个很实用的功能是查找两个实体之间的关联路径：选定起点和终点，让软件找出所有连接路径。这个功能在调查场景里特别好用，比如一个人和一个可疑账户之间看起来没有直接关系，但通过两到三个中间人，路径浮出水面，整条链就清楚了。

另一个常用手段是关联强度。当同一对实体之间存在多条关系时，i2 会显示出关系的重数。你不需要逐个去数，直接在数据列表里按关联次数排序，就能找到那些连接数量明显偏高的实体对。它们往往是关键节点。分析时我的做法是先不谈结论，而是先把这些高频节点挑出来，查看它们的属性来源，确认不是数据拼接错误，然后再围绕它们扩展分析范围。

这里有一个容易犯的错：把“路径存在”等同于“关系成立”。软件找出的路径只代表数据里有这条链路，不代表业务上就是同一件事。比如 A 给 B 转过钱，B 给 C 转过钱，这不等于 A 和 C 有直接资金关系。中间这一步必须人工判断，不能直接写进结论。

4.3 导出与交接：图表、数据表、证据包，该保哪些属性信息

分析做完，总要交付。i2 8.91 的导出方式有好几种，但很多人习惯“一张图走天下”，把关联图导出成图片就往报告里贴。如果你的图是给熟悉背景的人看的，这么做没问题；但如果是给决策者看，图片里塞满几百个节点，对方根本抓不住重点。

我会按交付对象做区分：给分析团队自己做过程记录，直接保存 AnB 项目；给外部协作者看，导出 PDF 或图片，并确保图例一起导出；给决策者看，输出结论图加属性表。关键属性表通常包括：实体名称、实体类型、关键属性值（金额、时间、账号）、关系类型。这些信息要能和图上的卡片一一对应，否则决策者追问“这个数字来源是哪一笔记录”时，你还要回头翻原始表，显得不专业。

导出前还要记得清理对敏感信息的误暴露。8.91 的导出功能支持选择导出哪些属性，如果某份材料是要对外提供的，就只导出与结论直接相关的属性，身份证号、完整账号这类信息不要全带上。

5. i2 Analyst's Notebook 8.91 避坑指南：启动失败、导入乱码、大数据量卡顿

从安装到出结论，i2 8.91 的使用过程里有一批反复出现的坑。这些坑单独看都不致命，但每个都能让分析师停在原地一两天。这一章直接按“现象、原因、解决”三条线写，都是我实际见过、也实际排除过的问题。每条都不复杂，但当时排查时都让人头疼。

5.1 安装后启动闪退或直接无响应

现象：软件安装完成后，双击图标，进度条闪一下就退出，或者程序窗口始终空白，过几分钟提示无响应。

原因：最常见的是杀毒软件把安装目录下的授权文件或组件识别为风险文件并隔离；其次是安装路径带中文或特殊字符，导致运行时找不到资源目录；还有一部分是许可证文件未放到默认位置。

解决：先把安装目录加入杀毒软件白名单，再检查安装路径是否为纯英文；然后确认许可证文件路径正确，环境变量或配置文件里的指向没有被改过。最后一步，看看 Windows 事件查看器里有没有 i2 相关的错误日志，按错误码去查，比盲试强得多。这个排查顺序我百试不爽。

5.2 CSV 导入中文乱码

现象：CSV 导进去后，表头正常，但中文内容全部变成乱码；或者表头乱码、数据正常。

原因：Windows 环境下，CSV 文件编码不一致。很多业务系统导出的是 ANSI 编码，而你直接用文本编辑器另存为 UTF-8 后，i2 找不到 UTF-8 BOM 标记，就会按本地语言读取，结果中文变成乱码。

解决：清洗脚本里导出时用encoding='utf-8-sig'，这个编码会在文件开头写入 BOM 标记，i2 能正确识别。如果文件已经导乱了，不要手动在 i2 里逐格修改，回到原始数据重新清洗再导入。另注意 CSV 分隔符：Windows 默认逗号没问题，但如果业务系统导出的是分号分隔，导入时要选对分隔符类型。

5.3 导入后卡片全是默认图标，属性和模板对不上

现象：明明在模板里定义好了人员、账户的图标和颜色，导入新数据后，画布上的卡片还是统一的默认方框，属性也对不上。

原因：导入时没有指定模板，或者使用了与图表模板不匹配的数据映射。i2 的实体外观是由实体类型和模板中的设置决定的，如果你导入时新建的是一个空白图表，它不知道“这个数据属于人员类型”，自然不会套用人员图标。

解决：导入数据前，先新建或打开一个带模板的图表，再执行导入；导入向导的映射步骤里，把 CSV 列与模板里已有的实体类型和属性逐一对应。这里没有捷径，映射关系建错，后面改图标的工夫比重新导入还多。

5.4 数据量一大，画布操作明显卡顿

现象：几千条数据导入后，画布上拖动卡片像拖一块铅，每次全选都要卡好几秒，右键菜单也要转圈。

原因：8.91 的年代对大数据量的处理能力有限。但多数卡顿不是软件上限到了，而是把全部数据不分条件地塞进了同一个图表。i2 的定位是分析辅助工具，不是数据库查询前端；全量数据应该在数据库或外部工具里完成过滤，i2 只接收当前需要重点分析的那一部分。

解决：导入前把原始数据按时间、地区或业务类型做条件过滤，分批次导入；必要时只导入当前分析所需的属性列，不要把所有无关字段都带进来。如果确实需要全量分析，可以只导入实体和关系数据，而把长文本类的大字段留在外部，用需要时再回查的方式替代。

5.5 关系方向搞反，结论跟着出错

现象：分析资金往来时，图上显示 A 向 B 转账，但原始记录里实际是 B 向 A 转账。这个错误往往不会在当下被发现，而是等到写结论、核对明细时才暴露。

原因：导入时关系两端的实体字段映射反了。比如 CSV 里第一列是“转出方”，第二列是“接收方”，但在导入映射时选了相反的顺序，i2 就会认为方向是从接收方到转出方。另一个常见原因是方向语义理解错误：i2 箭头从起点指向终点，很多人下意识把箭头当成了“属于”“指向”，而不是行为的方向。

解决：导入后先做一次小范围验证。找一个已知方向的记录，比如“张三给李四转了 100 元”，在图上核对箭头是不是从张三名下账户指向李四的账户。核对无误再继续大批量导入。方向错了的图，后续所有路径分析都是错的，这个检查越早做越划算。

6. 把 i2 8.91 分析结果做成结论：交给决策者的三张图和一个自查习惯

分析做得再好，最后还是要落到“看图的人能看懂”上。这一章我讲一个具体技巧：不要把全部网络都拿出去，而是从大图里提炼出关键路径，配上必要的标注，最后在导出前做三项自查。

6.1 从全量网络收敛到关键路径

全量关联图适合自己看，不适合给别人看。我的一般做法是：复制一份画布，在副本上把与主线无关的次要节点隐藏掉，保留那些承接关键行为的人、账户和事件。然后用路径查找功能，从一个关键实体到另一个关键实体，把它们的连接路径提取出来，其余节点一律从画布上移除。最终输出的图控制在 10 到 20 个节点以内，每条连线都能讲出一个完整的事实。

6.2 标注与注释规范：让图在没有作者在场时也能被看懂

每一张对外输出的图上，实体卡片要能对应到姓名或代号，关键关系线上要标注时间或金额，并在图例里说明每种颜色代表的实体类型。我给每条核心结论都加一个编号，编号与文字报告里的对应条目一致。这样决策者看到图上的“①”，翻到报告里就能找到完整解释。

6.3 导出前的三个自查点

导出前我会按下面这张表过一遍，不满足就不发：

最后说一个我自己的教训。刚开始用 i2 时，我习惯把图画得很大、很全，觉得信息越多越专业，结果每次向决策者汇报都要花大量时间解释基础内容。后来把图收敛小了，结论反而经得起追问。现在每次导出前，我都会问自己一句：如果这图放到一个月后，没有我在场，别人还能看懂吗？这个问题帮我拦住过不少质量不合格的交付。希望帮到你。

本文还有配套的精品资源，点击获取