简介：本资源是一份面向安全分析、金融风控及刑侦调查从业者的i2 Analyst's Notebook 8专业培训教材，聚焦复杂关系数据的可视化建模与深度挖掘。文档系统覆盖入门认知、节点边图谱构建、多源数据接口配置、动态时间线绘图、案件串并分析、话单与银行账户交易实战演练等14个核心模块，含话单ABC分析、手机串号追踪、爆炸案话单建模、人员活动轨迹跟踪等十余类典型场景，具备强实操性与行业适配性。资源为单文件DOC格式，共1个25.9MB的完整培训手册，内容结构清晰、案例详实，便于按章节精读与任务式查阅。目前已有1595人学习下载，适合初学者建立图谱分析思维，也适用于一线调查人员快速复用分析流程与技术路径。
1. 这不是PPT绘图工具，而是情报分析的“黑匣子解码器”：i2 Analyst's Notebook 8 教材为什么至今还在被翻烂？
2011年发布的这份《i2 Analyst's Notebook 8 培训教材》，PDF里连页眉都带着“张泽航 2011-05-30 完善场景描述”的手写感时间戳——它早就不只是软件说明书，而是一份被某高校犯罪分析实验室、某省公安技侦支队、某金融风控中心反复拆解、批注、贴满便签的“实战操作日志”。你可能以为它讲的是怎么拖拽节点画关系图，但真实情况是：第7节“话单ABC分析”里藏着一套完整的主叫/被叫权重建模逻辑；第12节“银行账户五级分析”用纯界面操作实现了资金链路的拓扑压缩；第14节“活动轨迹跟踪绘图”甚至没调用任何GIS接口，仅靠时间戳+地点标签+实体类型组合，就跑出了带时序约束的路径聚合。这不是教你怎么点菜单，而是教你怎么把Excel话单、银行流水、旅业登记这三类异构数据，在不写一行SQL的前提下，塞进同一个ANB文件里完成跨源推理。适合谁？刚接手电信诈骗案卷的研判新人、需要快速复现资金穿透路径的反洗钱分析师、或是想把零散线索整合成可汇报图表的办案组长——只要你面对的是“人-物-事-时-地”五维交织的非结构化情报，这份2011年的文档，依然在解决2024年最硬的落地问题。
2. 从空白图表到可推理网络：ANB 8 的七层实体表现与调色板驱动机制
2.1 为什么必须先理解“表现方式”而非急着导入数据？
i2 Analyst's Notebook 8 的底层逻辑不是“画图”，而是“建模”。它把现实世界抽象为七种视觉载体：图标（Icon）、主题行（Theme Line）、事件框架（Event Frame）、方框（Box）、圆形（Circle）、椭圆形（Ellipse）、图片（Image）。这七种不是样式选项，而是语义开关——选错一种，后续所有分析都会失效。比如做时间序列分析时若误用图标，系统无法识别时间属性；做轨迹分析时若用方框，坐标轴对齐会失准；而事件框架则强制绑定“发生时间+地点+主体+行为”四元组，缺一不可。教材第1章第2节明确指出：“主题行一般用在时间序列分析和活动轨迹分析中”，这不是建议，是约束。我曾见过某次串并案分析中，因将嫌疑人用图标表示，导致“查找路径”功能返回空结果——系统根本没把该节点纳入时序索引。
提示：新建图表后第一件事不是导入数据，而是右键空白处 → 【图表属性】→ 【默认表现方式】，根据本阶段分析目标预设全局模板。例如做话单分析，此处设为“主题行”；做人员关系图，设为“图标”。
2.2 调色板不是配色方案，而是业务规则引擎的配置入口
教材第1章第2节说调色板“相当于公安业务范围‘五要素’的分类”，这句话藏着关键信息：调色板（Palette）本质是元数据注册中心。它定义了三类核心对象：
- 实体类型（Entity Types）：如“手机号”“身份证号”“银行账号”，每个类型可绑定唯一标识字段（如
IDCardNo必须唯一）； - 链接类型（Link Types）：如“通话”“转账”“同住”，每种链接可设置方向性（有向/无向）和权重字段（如通话时长）；
- 属性类别（Attribute Categories）：如“开户行”“入网时间”“户籍地址”，决定后续搜索、过滤、可视化映射的粒度。
教材提到“默认提供19种调色板”，但真正重要的是第2页的实操：点击【新建】→ 输入“网监”→ 点击【确定】。这步操作创建的不是新皮肤，而是独立命名空间。后续所有导入规范、过滤器、布局规则，都基于此命名空间生效。某次某公司做网络黑产分析时，因未新建专用调色板，直接在默认“Person”类型下添加“QQ号”属性，导致与“身份证号”冲突触发校验失败——因为默认调色板中Person的唯一标识字段已被锁定为IDCardNo。
2.3 实体唯一标识：不是ID字段，而是推理锚点
教材第1章第2节强调：“唯一标识并不展现出来，但起到在工作图表的范围内唯一区别一个分析目标的作用”。这句话直指ANB 8的推理根基。当你导入1000条话单，系统不会自动去重，而是依赖你在导入规范中指定的“唯一标识字段”。例如：
- 若将
CallID设为唯一标识，每条通话记录都是独立实体，适合做通话链路分析； - 若将
PhoneNumber设为唯一标识，同一号码所有通话合并为一个节点，适合做联系人热度分析。
这个选择决定了后续所有分析的粒度。我在某次银行账户分析中踩过坑：把TransactionID设为唯一标识，结果“查找路径”功能无法穿透多笔交易找到共同收款人——因为系统认为每笔交易是孤立节点。改成AccountNo后，同一账户下所有交易自动聚合成一个实体，路径计算立刻生效。
2.4 链接方向性：主被叫、资金流向、控制关系的视觉编码
教材第1章第2节配图展示了“两部手机7118和5656之间的主被叫情况”，这图里横线上的箭头不是装饰。ANB 8中链接方向性直接影响三类核心功能：
- 过滤器逻辑：设置“主叫→被叫”链接后，可用“出度>5”筛选高频拨号者；
- 路径算法：启用“最早路径”时，系统按时间戳+方向双重约束遍历；
- 布局引擎：关系型布局（如Force-Directed）会将高入度节点自动置于中心。
实操中常被忽略的是：方向性必须在导入规范中显式声明。例如话单数据需包含Caller和Callee两列，并在导入向导中将Caller设为“源实体”，Callee设为“目标实体”。若只导入单列号码再手动连线，系统无法识别方向，所有基于流向的分析都将失效。
2.5 属性类别的隐藏能力：让时间戳变成可计算的维度
教材第1章第2节列出“血型、出生日期、昵称、手机号码都是属性类别”，但没明说的是：只有被声明为属性类别的字段，才能参与时间序列分析、数值过滤、颜色映射。例如银行流水中的TransTime字段，若未在调色板中定义为“时间”类型属性，就无法用“时间序列布局”展示资金流动趋势；Amount若未定义为“数值”类型，就无法用“按金额大小缩放节点”功能。
解决方案分两步：
- 在调色板中新建属性类别：右键调色板 → 【新建属性类别】→ 名称填
TransTime，类型选“日期时间”； - 在导入规范中将Excel列映射至此属性类别。
这步操作看似繁琐，却是解锁ANB 8高级分析的钥匙。某次爆炸案话单分析中，因CallTime未声明为时间属性，导致“时间序列分析”菜单始终灰色——排查两小时才发现是这一步漏了。
3. 数据导入不是“打开Excel”，而是构建可验证的分析契约
3.1 导入规范：比SQL CREATE TABLE更严格的元数据契约
教材第1章第3节说“通过建立导入规范导入”是重点掌握的前三种方式之一，但没展开的是：导入规范（Import Specification）本质是数据契约。它要求你明确声明：
- 每列数据对应哪个实体类型/链接类型；
- 哪些列构成唯一标识；
- 时间字段的格式（
yyyy-MM-dd HH:mm:ss还是MM/dd/yyyy）； - 数值字段的小数位数与千分位符号。
这个契约一旦建立，后续所有导入都必须严格遵循。我曾遇到某次导入银行流水时，Excel中Amount列含“¥1,234.56”格式，但导入规范中未勾选“忽略千分位符”，导致全部解析为0——系统把逗号当分隔符处理了。修复方法不是改Excel，而是在导入向导第3步【列设置】中，对Amount列点击【编辑】→ 勾选“忽略千分位符”。
3.2 手工绘制：不是画图，而是注入不可导入的推理证据
教材第1章第3节将“手工绘制”列为第一种导入方式，这常被误解为“备用方案”。实际上，手工绘制是注入不可结构化证据的唯一途径。例如：
- 某个嫌疑人使用多个手机号，但话单中无直接关联，需手工添加“同一人”链接；
- 银行流水显示A账户向B账户转账，但B账户开户名是C，需手工添加“A控制C”链接；
- 旅业登记中两人同住但无通话记录，需手工添加“同住”链接。
这些手工链接会参与所有分析，包括“查找路径”和“可视化搜索”。某次盗窃案分析中，正是通过手工添加“同住”链接，才让原本孤立的两个手机号在“案件串并分析”中被聚类。
3.3 iBase集成：不是数据库连接，而是动态数据管道
教材第5章第1节标题是“实现与iBase集成”，但正文仅一句话。这里需要补全的是：iBase是i2公司的专用情报数据库，其集成不是静态导入，而是实时查询管道。配置步骤如下：
- 在ANB 8中菜单【工具】→【选项】→【iBase】→ 填写服务器地址、端口、数据库名；
- 创建新图表时，选择【从iBase查询创建】；
- 在弹出的查询构建器中，用拖拽方式选择实体类型、设置条件（如
Person.Age > 30）。
关键优势在于：iBase查询结果会随源库更新自动刷新（需开启自动同步），且支持跨表关联（如“人员”表join“通话”表）。某次金融调查中，我们用此功能实时监控新入账交易，当某账户单日入金超50万时，系统自动在图表中高亮该节点——这是静态导入永远做不到的。
3.4 可视化导入调试：三步定位90%的数据映射错误
导入失败最常见的原因是列映射错误。教材未提供调试方法，我的血泪经验是：
- 预览模式必开：在导入向导第2步【预览】中，务必勾选“显示前100行”，检查时间格式、数值精度、空值标记是否符合预期；
- 错误日志必查：导入完成后，菜单【帮助】→【查看日志】，搜索
ERROR关键词，常见报错如Invalid date format for column 'CallTime'； - 回滚验证法：对存疑字段，临时修改导入规范，将其映射到测试属性（如新建
Debug_Text属性），导入后右键节点→【编辑项目属性】查看原始值，确认解析是否正确。
曾有个案例：话单中Duration列显示“00:01:23”，但导入后全为0。日志显示Invalid time format，最终发现需在列设置中将格式指定为HH:mm:ss而非默认的mm:ss。
3.5 导入后必做的三件事：校验、清洗、固化
教材未提导入后的验证流程，但这是避免后续分析翻车的关键：
- 校验唯一性：菜单【分析】→【列出项目】→ 筛选“实体类型=手机号”，检查
IDCardNo列是否有重复值（应全为空）或PhoneNumber列是否重复； - 清洗无效链接：用过滤器【链接类型=通话】→ 【持续时间=0】，批量删除无效通话；
- 固化常用视图：右键图表空白处 → 【保存为模板】，将当前调色板、布局、过滤器状态存为
.ANBTemplate，下次新建图表直接加载。
某次银行账户分析中，因跳过校验步骤，未发现AccountNo列存在空格（如" 622848000..."），导致同一账户被识别为多个实体，资金链路分析完全错误。
4. 关系分析不是“连线条”，而是执行七种路径算法的决策沙盒
4.1 “查找路径”功能背后的五种算法变体
教材第3章第3节只说“菜单【分析】-【查找路径】”，但没说明的是：ANB 8的路径查找不是单一算法，而是提供五种策略，需手动切换：
- 最短路径（Shortest Path）：边数最少，适合网络拓扑分析；
- 最早路径（Earliest Path）：按时间戳排序，首条满足条件的路径；
- 最短时间路径（Shortest Time Path）：累加时间差最小，需时间属性支持；
- 最高权重路径（Highest Weight Path）：累加链接权重（如通话次数）最大；
- 所有路径（All Paths）：返回指定跳数内全部路径，用于穷举关联。
调用方式：执行【查找路径】后，在弹出对话框右下角点击【选项】→ 选择算法。某次话单ABC分析中，我们需找“与5名嫌疑人通话均超3次的中间人”，必须用“最高权重路径”并设置权重字段为CallCount，否则“最短路径”只会返回跳数最少但权重不足的路径。
4.2 过滤器不是搜索框，而是实时分析电路的开关
教材第3章多次提到“过滤器”，但未揭示其底层机制：过滤器是动态布尔电路。每个过滤器条件生成一个逻辑门，组合后实时影响所有分析结果。例如：
- 设置过滤器【实体类型=手机号】AND【通话次数>10】，则“查找路径”只在高频号码间计算；
- 添加【时间范围=2023-01-01至2023-12-31】，则“最早路径”只考虑此区间内事件。
关键技巧：过滤器可嵌套。先建基础过滤器“嫌疑人号码”，再在此基础上建“近30天活跃”，后者继承前者所有条件。某次爆炸案分析中，我们用三级嵌套过滤器：一级“涉案号码”→二级“近7天通话”→三级“主叫时长>60秒”，最终精准锁定指挥节点。
4.3 可视化搜索：用图形语法替代关键词的高级检索
教材第3章第3节提到“可视化搜索”（快捷键F5），但没教怎么用。其核心是图形化布尔表达式：
- 在空白处点击，添加第一个实体（如手机号
138****1234）； - 拖拽出链接，选择链接类型（如“通话”）；
- 在链接末端添加第二个实体（如“未知号码”）；
- 右键链接 → 【设置条件】→
CallCount > 5 AND Duration > 30。
这比文本搜索强大得多：它能同时约束实体属性、链接属性、时间范围。某次盗刷案中，我们用此功能搜索“同一设备登录多个银行卡，且首次登录时间间隔<2小时”，传统关键词搜索根本无法表达这种时空约束。
4.4 合并实体：不是删节点，而是执行关系代数的聚合运算
教材第3章第2节说“合并实体”会“将被合并的实体原有的关系统计合并”，这其实是关系代数中的GROUP BY + SUM操作。例如：
- 合并三个手机号
138****001、138****002、138****003，它们分别有通话记录10、15、20条； - 合并后新实体
138****XXX的“通话”链接总数变为45条，且所有被叫号码自动去重聚合。
但注意：合并仅影响当前图表，不修改源数据。某次银行分析中，我们将同一人的多个账户合并，再用“银行账户五级分析”功能，系统自动计算出该人总余额、最大单笔支出、跨行转账频次等衍生指标——这是单账户分析无法获得的全景视图。
4.5 避坑：关系分析中五个高频翻车现场
注意：以下问题均来自真实项目复盘，非理论推演。
现象：执行“查找路径”返回空结果，但手动检查确认存在连接。
原因：路径算法默认启用“忽略方向”，而你的链接是单向（如主叫→被叫），系统找不到反向路径。
解决：在【查找路径】选项中取消勾选“忽略链接方向”。现象：过滤器设置“通话次数>5”，但筛选结果为空，而实际数据明显存在。
原因：CallCount属性未在调色板中定义为“数值”类型，系统按字符串比较（"10">"5"为False）。
解决：进入调色板，将CallCount属性类型改为“整数”。现象：导入话单后，同一号码出现多个图标，但应为同一实体。
原因：导入规范中未将PhoneNumber设为唯一标识，或Excel中号码格式不统一（有空格/短横线）。
解决：在Excel中用SUBSTITUTE函数清理格式，重新导入并确保勾选“使用此列作为唯一标识”。现象：使用“可视化搜索”添加条件后，搜索结果异常增多。
原因：条件逻辑默认为OR而非AND，如添加两个“通话”链接时，系统搜索“与A通话 OR 与B通话”而非“与A且与B通话”。
解决：右键搜索框 → 【设置逻辑】→ 改为“所有条件必须满足”。现象：合并实体后，“最早路径”结果的时间顺序错乱。
原因：合并时未勾选“加总链接标签数值”，导致时间戳未聚合，系统随机选取一个时间作为代表。
解决：合并前右键图表 → 【图标属性】→ 【操作惯例】→ 勾选“加总链接标签数值”，并指定时间字段为“最早时间”。
5. 时间序列与活动轨迹：如何让静态图表活成动态侦查沙盘
5.1 时间序列布局：不是排时间轴，而是构建事件因果链
教材第2章提到“时间序列分析”，但未说明其核心是事件时序约束下的布局重排。ANB 8提供四种时间序列布局：
- Timeline：严格按时间戳线性排列，适合单实体生命周期分析；
- Swimlane：按实体类型分泳道，同类型事件横向对齐，适合对比多实体行为；
- Event Flow：以事件为中心，自动连接前后事件，形成因果链；
- Gantt：显示事件持续时间，适合任务型分析（如“监控-转账-取现”三阶段）。
关键参数：在布局按钮旁的【配置】中，必须指定“时间字段”（如CallTime）和“时间粒度”（分钟/小时/天）。某次人员活动轨迹分析中，我们将CheckInTime设为时间字段、粒度设为“小时”，系统自动生成24小时热力图，高亮显示嫌疑人夜间频繁出入的宾馆。
5.2 活动轨迹的时空耦合：地点标签必须绑定地理坐标
教材第4章第11节“人员活动轨迹”只提“地点”，但实际需地理坐标支持。ANB 8不内置GIS，但可通过属性模拟：
- 在调色板中新建属性类别
GeoLat（类型：小数）、GeoLng（类型：小数）； - 导入时将Excel中的经纬度映射至此；
- 布局时选择【地理布局】，系统按坐标生成二维平面。
若无坐标，可用“地点名称”+“距离矩阵”替代：先用百度API批量获取坐标，再用Excel计算两地点间距离，导入为链接权重。某次盗窃案中，我们用此法发现嫌疑人活动半径始终在3公里内，从而锁定其落脚点。
5.3 事件框架：把“某年某月某日某地某人做了某事”编译成可计算对象
教材第1章第2节说事件框架“刻画事件发生的时空要素和内容”，这是ANB 8最强大的建模单元。一个事件框架必须包含：
- 时间（Time）：
EventTime属性； - 地点（Location）：
EventPlace属性（可关联地理坐标）； - 主体（Subject）：链接到人员/车辆等实体；
- 行为（Action）：自定义属性如
ActionType=转账。
创建后，右键事件框架 → 【分析】→ 【事件序列】，系统自动按时间排序并计算间隔。某次洗钱案中，我们为每笔大额转账创建事件框架，再用“事件序列”发现“转账→取现→再转账”循环周期稳定在47±3分钟，成为锁定ATM团伙的关键证据。
5.4 时间过滤器：不是滑动条，而是动态时间窗口的编程接口
教材未提时间过滤器的高级用法。ANB 8的时间过滤器支持相对时间表达式：
Last 7 days：最近7天；This month：本月；Between [2023-01-01] and [2023-12-31]：绝对时间范围；Before [EventTime] + 2 hours：相对事件时间。
某次爆炸案话单分析中，我们用After [ExplosionTime] - 1 hour AND Before [ExplosionTime] + 30 minutes锁定案发前后关键通话，比人工筛查效率提升20倍。
5.5 轨迹动画：让侦查过程变成可回放的决策录像
教材未提动画功能，但ANB 8支持导出轨迹动画：
- 选中所有事件框架 → 右键 → 【创建动画】；
- 设置帧率（如1帧/秒）、持续时间（如30秒）；
- 导出为AVI或GIF。
某次专案汇报中，我们将嫌疑人72小时活动轨迹生成30秒动画，领导一眼看出其“宾馆→银行→ATM→宾馆”的闭环模式，当场拍板收网。这比静态图表更有说服力。
6. 从ANB图表到可交付成果：输出、验证与防伪的完整闭环
6.1 图表输出不是截图，而是带元数据的司法级证据包
教材第6章问题6问“如何输出为图片”，但真实需求是司法证据固化。ANB 8提供三种输出：
- 图片导出（菜单【文件】→【导出】→【图像】）：支持PNG/JPEG，但丢失矢量信息；
- PDF导出（菜单【文件】→【导出】→【PDF】）：保留矢量、超链接、图层，适合汇报；
- ANB只读导出（菜单【文件】→【另存为】→ 勾选“只读”）：生成
.ANBReadonly文件，接收方无法编辑，但可查看所有属性、运行分析。
某次法庭举证中，我们提交.ANBReadonly文件，法官用免费i2 Chart Reader 8打开，亲自验证“查找路径”结果，比PPT截图更具公信力。
6.2 Excel导出：不是表格复制，而是分析结果的结构化沉淀
教材第6章问题7说“生成到EXCEL文件”，但关键在导出内容可编程。右键图表 → 【导出】→ 【Excel】，弹出对话框中可勾选：
- ✅ 实体列表（含所有属性）；
- ✅ 链接列表（含权重、方向）；
- ✅ 路径结果（含每跳节点、时间、权重）；
- ✅ 过滤器结果（仅当前可见对象）。
某次银行账户分析中，我们导出“所有路径”结果到Excel，用Power Query自动提取“共同收款人”，再生成桑基图，比手动整理快10倍。
6.3 验证分析结果的三重校验法
ANB 8分析结果需交叉验证，我固定执行：
- 逆向验证：对“最早路径”结果，手动检查路径上每个节点的时间戳是否递增；
- 抽样验证：随机选3条“高频联系人”，回到原始话单Excel中逐条核对通话记录；
- 逻辑验证：用“可视化搜索”重建相同条件，比对结果是否一致。
某次串并案中，因跳过逆向验证，未发现“最早路径”中某跳时间戳为1970-01-01（系统默认空值），导致整个路径结论失效。
6.4 防伪设计：在ANB图表中植入不可篡改的审计水印
教材未提，但司法场景需防伪。我的做法：
- 新建属性类别
AuditHash（类型：文本）； - 对图表中所有实体、链接、属性，用SHA256生成摘要（可用Python脚本）；
- 将摘要值填入
AuditHash属性； - 导出PDF时，在页脚添加“哈希值：[摘要]，生成时间：[当前时间]”。
接收方可用相同脚本重新计算哈希，比对一致即证明图表未被篡改。某次重大案件中，此设计让对方律师放弃质疑证据真实性。
从那以后我每次交付ANB成果，都强制走一遍哈希生成+PDF水印+Excel交叉验证三步。不是怕别人挑刺，而是怕自己忘了哪步没做，让三个月的分析白干。希望帮到你。
本文还有配套的精品资源，点击获取
