简介面向刑侦、金融调查与安全分析从业者及数据可视化学习者的 i2 Analysts Notebook 8 中文培训教材聚焦话单、银行交易等复杂数据的关联挖掘与案件串并。压缩包共 1 个文件为 doc 格式教材大小约 25.9MB便于检索目录与按章节学习内容从节点、边、时间线与数据接口等基本概念讲起延伸到节点链接图、时间线图绘制、搜索定位及布局操作。功能演练部分覆盖话单关系、案件串并、人员物品动态关系、银行账户交易、手机串号、旅业与爆炸案话单、活动轨迹和通讯簿分析等场景并配有查找定位与五级账户分析思路。已有 1593 人学习适合希望把软件操作转化为案件分析流程、提升关联图谱解读能力的读者参考。1. 关系分析的真正难点为什么“画出来”和“看明白”是两件事五千条通话记录导进 AN8这套教材配套的可视化关系分析软件出一张关系图只要几秒钟但让人真正从图里读出“谁在中间传话”往往要熬掉半个下午。这个反差与手速无关它暴露的是可视化分析工具真正的门槛图的数据模型决定了机器能不能替你算图的操作原语决定了人能问出什么问题。绝大多数人卡住不是因为不会点菜单而是因为不知道每个节点背后挂着一个不渲染的唯一标识、每条连线背后带着方向和权重、每次布局变化其实只是视觉层在重排而不动数据。把这层想清楚那些“菜单为什么是灰的”“合并完数字怎么没加”的玄学问题全都会变成可推理的确定性问题。2. 实体—链接—属性一张关系图凭什么能被机器读懂把一张调查关系图看成图片它是像素看成数据结构它是带属性的有向多重图。这两种视角的差距就是“画图工具”和“分析工具”的差距。AN8 的全部能力都建立在后者之上调色板定义模式schema实体和链接承载实例属性类别挂载字段唯一标识负责判等。四样东西各司其职任何一样用错后面的分析都会静默出错——不报错只是结论是错的。2.1 唯一标识为什么每个点都要有一张不露脸的身份证教材里讲得很克制唯一标识在图上不显示但它在工作图表的范围内唯一区分一个分析目标且不允许重复。这句话包含两个设计决策都值得掰开看。第一判等键和展示标签必须分离。标签是给人看的可以是“某手机号”“嫌疑人甲”甚至是空唯一标识是给机器看的必须稳定、可比较、全局唯一。现实数据里标签会重复——两个同名的人、两部被写成同一串数字的号码——一旦用标签判等导入时就会把两个人合成一个点图上少一个节点你可能永远发现不了。常见的实现思路是维护一个从唯一标识到节点句柄的哈希索引导入每一行先查索引命中就复用节点未命中才新建。第二唯一标识的作用域被刻意限制在单张图表内。这不是偷懒而是边界清晰化的取舍跨图表判等需要全局主数据管理成本极高限定在图内语义简单、性能可控。代价是两张图之间同一个人会被当成两个节点需要手工用合并实体操作收口。理解这条边界能省掉大量“为什么导了两次变成两个点”的困惑。2.2 链接的方向与权重主被叫为什么必须画成有向边关系图里最容易糊弄的一步是把所有关系都画成一条横线。教材里那张主被叫示意图说明了问题同一对号码之间“A 打给 B”和“B 打给 A”是两个不同的事实合并成无向边就丢掉了发起方这个最强的情报信号——谁主动联系谁往往比联系了多少次更关键。方向之外还有权重。通话次数、转账金额、共同出现的频次这些数值挂在链接上才让“找联系最紧密的人”变成一次排序而不是一次肉眼扫描。这里有一个隐蔽的坑同一对实体之间可能同时存在多条链接多次通话形成多条记录渲染时会叠成平行线或者被折叠成一条带数字的边。折叠策略就是聚合策略常见的有求和、取最大、保留全部选错了数字就不可信。三种连接形态的差别也在这里体现普通直线表达对称关系带箭头的有向线表达流向带数值标签的线表达强度。它们不是三种画法是三种语义混用会让整张图失去可计算性。2.3 调色板把业务语义提前固化进工具教材里提到安装后自带 19 种调色板并且可以自建。调色板这个词听起来像皮肤实际是模式定义它同时管理实体类型、链接类型、属性类别、属性项目四类东西。换句话说你选哪个调色板决定了这一刻你能画出哪些类型的点和线、每个点能填哪些字段。自建调色板的价值在于把重复决策前置。某个业务线反复要分析“人员—号码—账户—设备—地址”这几类对象把这套类型和自己的字段开户行、入网时间、IMEI固化成一个专用调色板之后每次新建图表都不用再想“这个该建成什么类型”。类型一旦稳定基于类型的过滤、着色、批量选择才有意义。概念数据库里的类比作用域是否渲染在图上调色板一套 schema / 命名空间图表级可切换否实体类型表调色板内间接决定图标属性类别列类型内视表现方式而定唯一标识主键单张图表内否标签展示字段单张图表内是把这张表记住后面所有“为什么这个操作不可用”的问题都能自己推。下面用一段伪代码把这套模型固定下来逻辑和实际软件里的行为一致from dataclasses import dataclass, field from typing import Optional dataclass(frozenTrue) class EntityType: # 实体类型分析目标的抽象分类如“手机”“人员” name: str icon: str # 默认表现方式决定节点在画布上的长相 dataclass(frozenTrue) class LinkType: # 链接类型关系的语义如“主叫”“转账” name: str directed: bool # 是否带方向决定渲染成直线还是箭头 aggregate: str sum # 合并实体时标签数值的聚合策略 dataclass class Entity: etype: EntityType label: str # 标签画在图上给人看的文字允许重复 uid: Optional[str] None # 唯一标识不渲染只用于机器判等 attrs: dict field(default_factorydict) # 属性类别 - 值 def key(self): # 有唯一标识就用它判等没有就退化成标签判等这是踩坑高发区 return (self.etype.name, self.uid or self.label)这段代码的重点不在语法在key()这个函数。它是整个导入流程的唯一判等入口决定了“这一行数据该新建一个节点还是并入已有节点”。uid为空时退化到标签判等是一个危险的兜底能跑通但会把同名不同人合并。我一般会把这条兜底逻辑在导入规范里做成显式开关让分析人员自己确认要不要承担这个风险而不是悄悄降级。3. 导入规范把二维表格变成图的那一步手工画图能表达十来个节点真实数据动辄几千条记录中间必须有一次自动化转换。导入规范就是这次转换的契约。很多人把它理解成“选一下哪列是姓名哪列是号码”这只说对了一半——它真正定义的是数据形状到图模式的映射规则包括哪一列成为唯一标识、哪一列成为链接方向、哪些列成为时间属性、多条记录命中同一对实体时怎么聚合。3.1 列到属性类别的映射一份规范只认一种表形状教材里有个容易被忽略的细节五名对象的通话清单其中四人的文件格式一致另一个人的格式不同所以要建两套导入规范。这个安排本身就是机制说明——导入规范绑定的是列的结构不是数据的含义。列顺序变了、多一列少一列、表头文字不同旧规范就会错位。这也解释了为什么一个工作图表里可以并存多套规范图是数据容器规范是入口转换器两者是一对多关系。同一个图里既导入话单又导入银行流水靠的就是两套规范各自往同一个实体空间里写节点和边唯一标识是它们之间唯一的黏合剂。规范本身是可以保存和复用的通常以独立文件的形式落在用户配置目录里也可以导出给同事。团队协作时把事情做对的做法是把规范和样例数据一起版本化而不是每个人本地存一份——规范漂移是分析结果不可复现的头号原因。3.2 去重与归并为什么第二次导入不会画出两个点导入过程中的判等发生在两个层面。第一层是实体层每一行的源实体和目标实体各自用唯一标识去索引里查命中就复用未命中才创建。第二层是链接层同一对源目标类型的链接默认复用同一条把次数累加到权重上而不是画第二条平行线。这两层判等决定了图是“干净的”还是“毛的”。常见的错误是唯一标识选错拿姓名当标识两个同名的人被合并拿带格式的号码当标识138 0000 0000和13800000000被当成两个号。后者尤其阴险图上看不出区别只有当你用列表分析按属性排序时才会看到两行几乎一样的数据。提示导入前对唯一标识列做一次去空格、去不可见字符、统一半角全角的清洗比事后合并实体便宜一百倍。3.3 时间属性时间序列分析的底座教材里说四类分析——关联关系、时间序列、活动轨迹、综合——可以在同一张图里切换。支撑这个能力的不是四个模块而是同一份数据上的第四个维度时间。每一行记录除了贡献节点和边还贡献一个时间戳时间属性挂在链接上事件类实体的时间挂在属性类别上。时间键必须是真正的时间类型不是字符串。字符串排序会把“10 月”排在“9 月”前面时间轴布局会因此错乱而界面上往往不报错只是事件堆成一团。这一点在第 5 章还会再提它是最典型的“看起来能用、结论全错”的翻车点。下面这段伪代码把导入的三个动作串起来注意判等、累加、挂时间三件事的先后顺序def import_rows(rows, spec, chart): for row in rows: # 1) 先清洗判等键去空格、统一半角否则同一实体会被判成两个 src_uid clean(row.get(spec.src_uid_col)) dst_uid clean(row.get(spec.dst_uid_col)) # 2) upsert 内部走 Entity.key()命中索引就复用节点未命中才新建 src chart.upsert(Entity(spec.src_type, row[spec.src_label_col], src_uid)) dst chart.upsert(Entity(spec.dst_type, row[spec.dst_label_col], dst_uid)) # 3) 链接按 (源, 目标, 类型) 判等复用同一条边并累加权重 link chart.upsert_link(src, dst, spec.link_type) link.weight int(row.get(spec.weight_col, 1)) # 4) 时间戳挂到链接上这是后续时间轴布局和最早路径计算的唯一依据 link.add_time(parse_time(row[spec.time_col]))upsert这个词在这里是关键词它既是“插入”也是“更新”具体走哪条路由key()决定。weight的默认值给 1意味着一条记录至少算一次联系这是话单场景下最符合直觉的语义银行流水场景要换成金额字段因为“转了几笔”和“转了多少钱”是两个完全不同的问题选错字段会得出完全相反的结论。4. 图上的操作原语合并、寻路、布局分别在算什么如果说数据模型决定了工具的下限操作原语决定了它的上限。会用的人和不怎么会用的人差别经常只在三件事上合并实体时知不知道自己在做顶点收缩、查路径时知不知道最短和最早是两种不同的优化目标、改布局时知不知道这只影响视觉。4.1 合并实体一次顶点收缩加一次边权聚合教材里对合并实体的描述很短把选定的多个实体合成一个原有关系统计合并到保留的实体上。这句话的图论含义是顶点收缩vertex contraction删掉被合并的顶点把它们的邻接边全部重定向到保留顶点两边若指向同一对端点则合并成一条。这是图算法里非常标准的一个操作标准到有现成的坑。坑在于聚合。收缩本身只处理拓扑不处理属性“加总链接标签数值”是一个独立开关需要在图表属性的操作惯例里打开。不打开的话两条 A→C 的边会被保留成两条平行边你看到的数字还是各自的原值看起来像“合并没生效”。另一处细节是自环。如果被合并的两个节点之间本来有边收缩之后这条边变成指向自己的自环。业务上它通常没有意义常见实现是直接丢弃但在“资金回流”这类场景里自环反而是最想看到的信号。所以这不是纯粹的算法选择是业务语义选择——知道它会丢才知道什么时候不该用合并。def merge_entities(chart, keep, drops, aggregatesum): for d in drops: for u, v, data in chart.edges_of(d): u2 keep if u is d else u # 端点重定向到保留实体 v2 keep if v is d else v if u2 is v2: continue # 收缩产生的自环按惯例丢弃 e chart.upsert_link(u2, v2, data[type]) # 同端点同类型则复用 if aggregate sum: e.weight data[weight] # 聚合策略决定权重怎么合 chart.remove(d) # 拓扑上删掉被合并的顶点aggregate这个参数值得单独说一句求和适合次数、金额这类可加量取最大适合“最近一次联系时间”这类不可加量保留全部适合需要逐条追溯原始记录的场景。把它做成参数而不是写死说明这个操作在设计上被当成“可配置的语义聚合”而不是“删掉多余的节点”——这个区分很重要前者是分析后者是清理。4.2 最短路径与最早路径一个是边数一个是时序可行性教材的问题答疑里专门区分了这两种路径说明它们在实际使用中确实容易混。最短路径优化的是经过的边数典型实现是广度优先搜索答案形如“中间隔了三个人”。最早路径优化的是时间上的可达性要求路径上的时间戳严格递增答案形如“消息最早在几号几点传到目标”。差别在什么场景下致命追踪资金或通讯链条时“中转次数少”不等于“时间上走得通”。一条两跳的路径如果第二跳的时间早于第一跳它在物理上就不可能发生必须排除。这就是时态图temporal graph上的可达性问题比无权最短路复杂一个量级因为状态不再是“到了哪个节点”而是“在什么时间到了哪个节点”。import heapq def earliest_path(chart, start, goal): # 堆里存 (到达时间, 当前节点, 路径)而不是单纯的节点 pq [(chart.node(start).t0, start, [start])] best {start: chart.node(start).t0} # 每个节点记录“最早到达时间” while pq: t, u, path heapq.heappop(pq) if u goal: return path for e in chart.out_edges(u): # 只沿箭头方向走反向没有业务含义 arrive e.time_after(t) # 只有时间严格大于 t 的边才可通行 if arrive is None: continue # 时序上不成立这条边直接剪掉 if arrive best.get(e.dst, float(inf)): best[e.dst] arrive # 更早到达才算更优晚到没有价值 heapq.heappush(pq, (arrive, e.dst, path [e.dst])) return None把arrive e.time_after(t)换成arrive 1这段代码立刻退化成 BFS也就是最短路径。两种算法共用一套骨架差别只在“状态里带不带时间”和“边能不能重复走”。理解这一点你就明白为什么软件里这两个功能是分开的两个菜单项而不是一个带选项的功能——优化目标不同结果不可互相替代。4.3 布局8 种关系型加 4 种时间型各自在优化什么教材里提到一共 12 种布局关系型 8 种、时间序列型 4 种。这个配比不是凑数它对应两类完全不同的优化目标。关系型布局的主流是力导向把边想象成弹簧、把节点想象成同性电荷迭代到系统能量最低。它优化的是边长均匀和交叉最少——也就是“结构相似的点在图上也靠近”。层次型布局优化的是方向一致性适合上下级、上下游这种有明确层级的关系。环型布局强调环的存在适合资金回流。时间序列型布局的逻辑完全不同把时间映射到一条坐标轴上节点位置由时间属性决定而不是由连接关系决定。所以同一份数据在两种布局下看起来完全不像——但数据没变只是投影方式变了。这也是“布局切换是安全的”这句话的依据布局只改坐标不改拓扑和属性任何一次布局尝试都不会破坏数据。反过来说如果你发现切了布局之后某些节点消失了那一定不是布局的问题是可见性状态的问题下一章会讲。5. 常见问题排查那些“菜单变灰”和“复制失灵”背后的状态机软件的行为看起来零散背后其实是一套相当一致的状态判定逻辑任何操作是否可用取决于当前选择集的类型组合 图表状态 目标对象的模式约束。把这三者当成三个前置条件去排查大部分怪现象都能定位。现象一分析菜单里的某些项是灰的但明明选中了对象。原因可用性判定看的是选择集里“只有”符合要求的对象混选不算。选择集中夹了一条链接、一个文本框或一个注释路径查找这类只接受实体的操作就会整体失活。另一种情况是当前还停在文本编辑态会话没结束命令路由不到菜单。 解决先按 ESC 退出编辑态再用列表分析F11把当前选中项铺开看一遍确认类型是否统一。判断诀窍在灰的范围——只灰菜单项说明是条件不满足整块菜单都灰才轮到考虑权限或模式问题。现象二右键复制或复制选取范围粘出来是空的或者只剩一个对象。原因在画布空白处点击会让选择集失焦这是几乎所有画布类应用的共同行为。按住 CTRL 再去点右键作用是“点空白不改变选择集”。教材特意强调这一点说明翻车率很高。 解决要么按住 CTRL 再右键要么干脆用键盘的复制粘贴走一遍。另外两个命令的语义不同复制只克隆对象本身粘贴时按当前布局规则重新排布复制选取范围会额外保存相对位置和视觉设置粘贴出来保持原样。现象三同一个人在图里出现了两个节点怎么导都会重复。原因唯一标识选错或没清洗。常见的三种拿姓名当标识、值里带前后空格或全角字符、两套导入规范用了不同字段做标识。 解决导入前强制清洗导入后用列表分析按属性排序肉眼看重复已经进来的用合并实体收口并勾选加总。事后补救可行但合并会产生一批不可逆的拓扑变更所以还是前置清洗划算。现象四合并完实体连线上的数字没变。原因合并只做顶点收缩不做数值聚合。“加总链接标签数值”是图表属性里的一个独立开关默认不一定开。 解决合并前先在图表的操作惯例里把它打开再执行合并。如果已经合并出错用撤销回退重来比事后手工改数字可靠。现象五隐藏了一批节点布局还是挤在一起。原因把“变灰”和“隐藏”混为一谈。隐藏的节点不参与布局和分析变灰的节点参与布局但不显示、不可选。你想要的是隐藏实际点的是变灰。 解决用显示/隐藏切换那个更高级的按钮在两种状态之间翻转批量核对时用列出项目确认状态。这条踩坑记录值得记牢三态设计不是为了好看是为了让你能“保留上下文但排除干扰”用错了就白折腾。6. 减法才是这类工具的核心竞争力做完上面几层拆解会发现这套设计里最反直觉的一点它花了很大力气做“减法”。三个可见性状态、十二种布局、可折叠的链接、可过滤的类型——全都是在同一份数据上反复改变“此刻看什么”而不是改变数据本身。这个取舍值得单独想一想。如果把所有节点都摆出来图在几千个点之后就变成一团黑雾肉眼不可读算法也帮不上忙——因为人的注意力是有限资源图的信息密度一旦超过某个阈值读图效率会断崖式下跌。所以这类工具的正确用法不是“一次画全”而是“反复切换视角”先按实体类型过滤掉无关的号码和设备用关系型布局看结构再把时间属性摆开用时间轴布局看时序最后把两者交叉找那些“结构上近、时间上也近”的组合。每一步都在做减法每一步减掉的都是当前假设下不成立的候选。可见性状态参与布局参与分析可被选中典型用途显示是是是正常研判变灰是是否保留上下文避免误操作隐藏否否否排除干扰聚焦子图想验证自己对这套机制的理解是否到位有个成本很低的办法拿同一份话单数据做两套导入规范一套只用号码做唯一标识一套用号码加日期人为制造重复导入后在列表分析里对比节点数量。数量对不上说明判等逻辑没吃透数量对上了但链接权重不同说明聚合策略没吃透。这个自检我做过不止一次每次都能揪出规范里一个想当然的假设。如果还想再往前一步可以试着在同一张图上依次跑最短路径和最早路径找一对结果不同的起止点。找到的那一刻时态图和静态图的差别就不再是概念而是你能指着图说出来的一个具体事实——这种“能验证的理解”比记住菜单在哪有用得多。最后说个血泪教训。早年我做话单分析习惯先把数据全导进来再说图一多就乱然后靠肉眼找找不出来就怀疑数据有问题。后来才想明白问题出在导入那一步唯一标识没清洗聚合开关没打开几个隐蔽的判等错误一路带到了结论里而界面上一个红字都没有。从那以后我每次导入前都强制走一遍三件事——清洗判等键、确认聚合策略、导入后立刻用列表分析核对节点数和链接数不核对完不动手分析。这套动作花不了五分钟省下的是返工一整天。希望帮到你。本文还有配套的精品资源点击获取
简介面向刑侦、金融调查与安全分析从业者及数据可视化学习者的 i2 Analysts Notebook 8 中文培训教材聚焦话单、银行交易等复杂数据的关联挖掘与案件串并。压缩包共 1 个文件为 doc 格式教材大小约 25.9MB便于检索目录与按章节学习内容从节点、边、时间线与数据接口等基本概念讲起延伸到节点链接图、时间线图绘制、搜索定位及布局操作。功能演练部分覆盖话单关系、案件串并、人员物品动态关系、银行账户交易、手机串号、旅业与爆炸案话单、活动轨迹和通讯簿分析等场景并配有查找定位与五级账户分析思路。已有 1593 人学习适合希望把软件操作转化为案件分析流程、提升关联图谱解读能力的读者参考。1. 关系分析的真正难点为什么“画出来”和“看明白”是两件事五千条通话记录导进 AN8这套教材配套的可视化关系分析软件出一张关系图只要几秒钟但让人真正从图里读出“谁在中间传话”往往要熬掉半个下午。这个反差与手速无关它暴露的是可视化分析工具真正的门槛图的数据模型决定了机器能不能替你算图的操作原语决定了人能问出什么问题。绝大多数人卡住不是因为不会点菜单而是因为不知道每个节点背后挂着一个不渲染的唯一标识、每条连线背后带着方向和权重、每次布局变化其实只是视觉层在重排而不动数据。把这层想清楚那些“菜单为什么是灰的”“合并完数字怎么没加”的玄学问题全都会变成可推理的确定性问题。2. 实体—链接—属性一张关系图凭什么能被机器读懂把一张调查关系图看成图片它是像素看成数据结构它是带属性的有向多重图。这两种视角的差距就是“画图工具”和“分析工具”的差距。AN8 的全部能力都建立在后者之上调色板定义模式schema实体和链接承载实例属性类别挂载字段唯一标识负责判等。四样东西各司其职任何一样用错后面的分析都会静默出错——不报错只是结论是错的。2.1 唯一标识为什么每个点都要有一张不露脸的身份证教材里讲得很克制唯一标识在图上不显示但它在工作图表的范围内唯一区分一个分析目标且不允许重复。这句话包含两个设计决策都值得掰开看。第一判等键和展示标签必须分离。标签是给人看的可以是“某手机号”“嫌疑人甲”甚至是空唯一标识是给机器看的必须稳定、可比较、全局唯一。现实数据里标签会重复——两个同名的人、两部被写成同一串数字的号码——一旦用标签判等导入时就会把两个人合成一个点图上少一个节点你可能永远发现不了。常见的实现思路是维护一个从唯一标识到节点句柄的哈希索引导入每一行先查索引命中就复用节点未命中才新建。第二唯一标识的作用域被刻意限制在单张图表内。这不是偷懒而是边界清晰化的取舍跨图表判等需要全局主数据管理成本极高限定在图内语义简单、性能可控。代价是两张图之间同一个人会被当成两个节点需要手工用合并实体操作收口。理解这条边界能省掉大量“为什么导了两次变成两个点”的困惑。2.2 链接的方向与权重主被叫为什么必须画成有向边关系图里最容易糊弄的一步是把所有关系都画成一条横线。教材里那张主被叫示意图说明了问题同一对号码之间“A 打给 B”和“B 打给 A”是两个不同的事实合并成无向边就丢掉了发起方这个最强的情报信号——谁主动联系谁往往比联系了多少次更关键。方向之外还有权重。通话次数、转账金额、共同出现的频次这些数值挂在链接上才让“找联系最紧密的人”变成一次排序而不是一次肉眼扫描。这里有一个隐蔽的坑同一对实体之间可能同时存在多条链接多次通话形成多条记录渲染时会叠成平行线或者被折叠成一条带数字的边。折叠策略就是聚合策略常见的有求和、取最大、保留全部选错了数字就不可信。三种连接形态的差别也在这里体现普通直线表达对称关系带箭头的有向线表达流向带数值标签的线表达强度。它们不是三种画法是三种语义混用会让整张图失去可计算性。2.3 调色板把业务语义提前固化进工具教材里提到安装后自带 19 种调色板并且可以自建。调色板这个词听起来像皮肤实际是模式定义它同时管理实体类型、链接类型、属性类别、属性项目四类东西。换句话说你选哪个调色板决定了这一刻你能画出哪些类型的点和线、每个点能填哪些字段。自建调色板的价值在于把重复决策前置。某个业务线反复要分析“人员—号码—账户—设备—地址”这几类对象把这套类型和自己的字段开户行、入网时间、IMEI固化成一个专用调色板之后每次新建图表都不用再想“这个该建成什么类型”。类型一旦稳定基于类型的过滤、着色、批量选择才有意义。概念数据库里的类比作用域是否渲染在图上调色板一套 schema / 命名空间图表级可切换否实体类型表调色板内间接决定图标属性类别列类型内视表现方式而定唯一标识主键单张图表内否标签展示字段单张图表内是把这张表记住后面所有“为什么这个操作不可用”的问题都能自己推。下面用一段伪代码把这套模型固定下来逻辑和实际软件里的行为一致from dataclasses import dataclass, field from typing import Optional dataclass(frozenTrue) class EntityType: # 实体类型分析目标的抽象分类如“手机”“人员” name: str icon: str # 默认表现方式决定节点在画布上的长相 dataclass(frozenTrue) class LinkType: # 链接类型关系的语义如“主叫”“转账” name: str directed: bool # 是否带方向决定渲染成直线还是箭头 aggregate: str sum # 合并实体时标签数值的聚合策略 dataclass class Entity: etype: EntityType label: str # 标签画在图上给人看的文字允许重复 uid: Optional[str] None # 唯一标识不渲染只用于机器判等 attrs: dict field(default_factorydict) # 属性类别 - 值 def key(self): # 有唯一标识就用它判等没有就退化成标签判等这是踩坑高发区 return (self.etype.name, self.uid or self.label)这段代码的重点不在语法在key()这个函数。它是整个导入流程的唯一判等入口决定了“这一行数据该新建一个节点还是并入已有节点”。uid为空时退化到标签判等是一个危险的兜底能跑通但会把同名不同人合并。我一般会把这条兜底逻辑在导入规范里做成显式开关让分析人员自己确认要不要承担这个风险而不是悄悄降级。3. 导入规范把二维表格变成图的那一步手工画图能表达十来个节点真实数据动辄几千条记录中间必须有一次自动化转换。导入规范就是这次转换的契约。很多人把它理解成“选一下哪列是姓名哪列是号码”这只说对了一半——它真正定义的是数据形状到图模式的映射规则包括哪一列成为唯一标识、哪一列成为链接方向、哪些列成为时间属性、多条记录命中同一对实体时怎么聚合。3.1 列到属性类别的映射一份规范只认一种表形状教材里有个容易被忽略的细节五名对象的通话清单其中四人的文件格式一致另一个人的格式不同所以要建两套导入规范。这个安排本身就是机制说明——导入规范绑定的是列的结构不是数据的含义。列顺序变了、多一列少一列、表头文字不同旧规范就会错位。这也解释了为什么一个工作图表里可以并存多套规范图是数据容器规范是入口转换器两者是一对多关系。同一个图里既导入话单又导入银行流水靠的就是两套规范各自往同一个实体空间里写节点和边唯一标识是它们之间唯一的黏合剂。规范本身是可以保存和复用的通常以独立文件的形式落在用户配置目录里也可以导出给同事。团队协作时把事情做对的做法是把规范和样例数据一起版本化而不是每个人本地存一份——规范漂移是分析结果不可复现的头号原因。3.2 去重与归并为什么第二次导入不会画出两个点导入过程中的判等发生在两个层面。第一层是实体层每一行的源实体和目标实体各自用唯一标识去索引里查命中就复用未命中才创建。第二层是链接层同一对源目标类型的链接默认复用同一条把次数累加到权重上而不是画第二条平行线。这两层判等决定了图是“干净的”还是“毛的”。常见的错误是唯一标识选错拿姓名当标识两个同名的人被合并拿带格式的号码当标识138 0000 0000和13800000000被当成两个号。后者尤其阴险图上看不出区别只有当你用列表分析按属性排序时才会看到两行几乎一样的数据。提示导入前对唯一标识列做一次去空格、去不可见字符、统一半角全角的清洗比事后合并实体便宜一百倍。3.3 时间属性时间序列分析的底座教材里说四类分析——关联关系、时间序列、活动轨迹、综合——可以在同一张图里切换。支撑这个能力的不是四个模块而是同一份数据上的第四个维度时间。每一行记录除了贡献节点和边还贡献一个时间戳时间属性挂在链接上事件类实体的时间挂在属性类别上。时间键必须是真正的时间类型不是字符串。字符串排序会把“10 月”排在“9 月”前面时间轴布局会因此错乱而界面上往往不报错只是事件堆成一团。这一点在第 5 章还会再提它是最典型的“看起来能用、结论全错”的翻车点。下面这段伪代码把导入的三个动作串起来注意判等、累加、挂时间三件事的先后顺序def import_rows(rows, spec, chart): for row in rows: # 1) 先清洗判等键去空格、统一半角否则同一实体会被判成两个 src_uid clean(row.get(spec.src_uid_col)) dst_uid clean(row.get(spec.dst_uid_col)) # 2) upsert 内部走 Entity.key()命中索引就复用节点未命中才新建 src chart.upsert(Entity(spec.src_type, row[spec.src_label_col], src_uid)) dst chart.upsert(Entity(spec.dst_type, row[spec.dst_label_col], dst_uid)) # 3) 链接按 (源, 目标, 类型) 判等复用同一条边并累加权重 link chart.upsert_link(src, dst, spec.link_type) link.weight int(row.get(spec.weight_col, 1)) # 4) 时间戳挂到链接上这是后续时间轴布局和最早路径计算的唯一依据 link.add_time(parse_time(row[spec.time_col]))upsert这个词在这里是关键词它既是“插入”也是“更新”具体走哪条路由key()决定。weight的默认值给 1意味着一条记录至少算一次联系这是话单场景下最符合直觉的语义银行流水场景要换成金额字段因为“转了几笔”和“转了多少钱”是两个完全不同的问题选错字段会得出完全相反的结论。4. 图上的操作原语合并、寻路、布局分别在算什么如果说数据模型决定了工具的下限操作原语决定了它的上限。会用的人和不怎么会用的人差别经常只在三件事上合并实体时知不知道自己在做顶点收缩、查路径时知不知道最短和最早是两种不同的优化目标、改布局时知不知道这只影响视觉。4.1 合并实体一次顶点收缩加一次边权聚合教材里对合并实体的描述很短把选定的多个实体合成一个原有关系统计合并到保留的实体上。这句话的图论含义是顶点收缩vertex contraction删掉被合并的顶点把它们的邻接边全部重定向到保留顶点两边若指向同一对端点则合并成一条。这是图算法里非常标准的一个操作标准到有现成的坑。坑在于聚合。收缩本身只处理拓扑不处理属性“加总链接标签数值”是一个独立开关需要在图表属性的操作惯例里打开。不打开的话两条 A→C 的边会被保留成两条平行边你看到的数字还是各自的原值看起来像“合并没生效”。另一处细节是自环。如果被合并的两个节点之间本来有边收缩之后这条边变成指向自己的自环。业务上它通常没有意义常见实现是直接丢弃但在“资金回流”这类场景里自环反而是最想看到的信号。所以这不是纯粹的算法选择是业务语义选择——知道它会丢才知道什么时候不该用合并。def merge_entities(chart, keep, drops, aggregatesum): for d in drops: for u, v, data in chart.edges_of(d): u2 keep if u is d else u # 端点重定向到保留实体 v2 keep if v is d else v if u2 is v2: continue # 收缩产生的自环按惯例丢弃 e chart.upsert_link(u2, v2, data[type]) # 同端点同类型则复用 if aggregate sum: e.weight data[weight] # 聚合策略决定权重怎么合 chart.remove(d) # 拓扑上删掉被合并的顶点aggregate这个参数值得单独说一句求和适合次数、金额这类可加量取最大适合“最近一次联系时间”这类不可加量保留全部适合需要逐条追溯原始记录的场景。把它做成参数而不是写死说明这个操作在设计上被当成“可配置的语义聚合”而不是“删掉多余的节点”——这个区分很重要前者是分析后者是清理。4.2 最短路径与最早路径一个是边数一个是时序可行性教材的问题答疑里专门区分了这两种路径说明它们在实际使用中确实容易混。最短路径优化的是经过的边数典型实现是广度优先搜索答案形如“中间隔了三个人”。最早路径优化的是时间上的可达性要求路径上的时间戳严格递增答案形如“消息最早在几号几点传到目标”。差别在什么场景下致命追踪资金或通讯链条时“中转次数少”不等于“时间上走得通”。一条两跳的路径如果第二跳的时间早于第一跳它在物理上就不可能发生必须排除。这就是时态图temporal graph上的可达性问题比无权最短路复杂一个量级因为状态不再是“到了哪个节点”而是“在什么时间到了哪个节点”。import heapq def earliest_path(chart, start, goal): # 堆里存 (到达时间, 当前节点, 路径)而不是单纯的节点 pq [(chart.node(start).t0, start, [start])] best {start: chart.node(start).t0} # 每个节点记录“最早到达时间” while pq: t, u, path heapq.heappop(pq) if u goal: return path for e in chart.out_edges(u): # 只沿箭头方向走反向没有业务含义 arrive e.time_after(t) # 只有时间严格大于 t 的边才可通行 if arrive is None: continue # 时序上不成立这条边直接剪掉 if arrive best.get(e.dst, float(inf)): best[e.dst] arrive # 更早到达才算更优晚到没有价值 heapq.heappush(pq, (arrive, e.dst, path [e.dst])) return None把arrive e.time_after(t)换成arrive 1这段代码立刻退化成 BFS也就是最短路径。两种算法共用一套骨架差别只在“状态里带不带时间”和“边能不能重复走”。理解这一点你就明白为什么软件里这两个功能是分开的两个菜单项而不是一个带选项的功能——优化目标不同结果不可互相替代。4.3 布局8 种关系型加 4 种时间型各自在优化什么教材里提到一共 12 种布局关系型 8 种、时间序列型 4 种。这个配比不是凑数它对应两类完全不同的优化目标。关系型布局的主流是力导向把边想象成弹簧、把节点想象成同性电荷迭代到系统能量最低。它优化的是边长均匀和交叉最少——也就是“结构相似的点在图上也靠近”。层次型布局优化的是方向一致性适合上下级、上下游这种有明确层级的关系。环型布局强调环的存在适合资金回流。时间序列型布局的逻辑完全不同把时间映射到一条坐标轴上节点位置由时间属性决定而不是由连接关系决定。所以同一份数据在两种布局下看起来完全不像——但数据没变只是投影方式变了。这也是“布局切换是安全的”这句话的依据布局只改坐标不改拓扑和属性任何一次布局尝试都不会破坏数据。反过来说如果你发现切了布局之后某些节点消失了那一定不是布局的问题是可见性状态的问题下一章会讲。5. 常见问题排查那些“菜单变灰”和“复制失灵”背后的状态机软件的行为看起来零散背后其实是一套相当一致的状态判定逻辑任何操作是否可用取决于当前选择集的类型组合 图表状态 目标对象的模式约束。把这三者当成三个前置条件去排查大部分怪现象都能定位。现象一分析菜单里的某些项是灰的但明明选中了对象。原因可用性判定看的是选择集里“只有”符合要求的对象混选不算。选择集中夹了一条链接、一个文本框或一个注释路径查找这类只接受实体的操作就会整体失活。另一种情况是当前还停在文本编辑态会话没结束命令路由不到菜单。 解决先按 ESC 退出编辑态再用列表分析F11把当前选中项铺开看一遍确认类型是否统一。判断诀窍在灰的范围——只灰菜单项说明是条件不满足整块菜单都灰才轮到考虑权限或模式问题。现象二右键复制或复制选取范围粘出来是空的或者只剩一个对象。原因在画布空白处点击会让选择集失焦这是几乎所有画布类应用的共同行为。按住 CTRL 再去点右键作用是“点空白不改变选择集”。教材特意强调这一点说明翻车率很高。 解决要么按住 CTRL 再右键要么干脆用键盘的复制粘贴走一遍。另外两个命令的语义不同复制只克隆对象本身粘贴时按当前布局规则重新排布复制选取范围会额外保存相对位置和视觉设置粘贴出来保持原样。现象三同一个人在图里出现了两个节点怎么导都会重复。原因唯一标识选错或没清洗。常见的三种拿姓名当标识、值里带前后空格或全角字符、两套导入规范用了不同字段做标识。 解决导入前强制清洗导入后用列表分析按属性排序肉眼看重复已经进来的用合并实体收口并勾选加总。事后补救可行但合并会产生一批不可逆的拓扑变更所以还是前置清洗划算。现象四合并完实体连线上的数字没变。原因合并只做顶点收缩不做数值聚合。“加总链接标签数值”是图表属性里的一个独立开关默认不一定开。 解决合并前先在图表的操作惯例里把它打开再执行合并。如果已经合并出错用撤销回退重来比事后手工改数字可靠。现象五隐藏了一批节点布局还是挤在一起。原因把“变灰”和“隐藏”混为一谈。隐藏的节点不参与布局和分析变灰的节点参与布局但不显示、不可选。你想要的是隐藏实际点的是变灰。 解决用显示/隐藏切换那个更高级的按钮在两种状态之间翻转批量核对时用列出项目确认状态。这条踩坑记录值得记牢三态设计不是为了好看是为了让你能“保留上下文但排除干扰”用错了就白折腾。6. 减法才是这类工具的核心竞争力做完上面几层拆解会发现这套设计里最反直觉的一点它花了很大力气做“减法”。三个可见性状态、十二种布局、可折叠的链接、可过滤的类型——全都是在同一份数据上反复改变“此刻看什么”而不是改变数据本身。这个取舍值得单独想一想。如果把所有节点都摆出来图在几千个点之后就变成一团黑雾肉眼不可读算法也帮不上忙——因为人的注意力是有限资源图的信息密度一旦超过某个阈值读图效率会断崖式下跌。所以这类工具的正确用法不是“一次画全”而是“反复切换视角”先按实体类型过滤掉无关的号码和设备用关系型布局看结构再把时间属性摆开用时间轴布局看时序最后把两者交叉找那些“结构上近、时间上也近”的组合。每一步都在做减法每一步减掉的都是当前假设下不成立的候选。可见性状态参与布局参与分析可被选中典型用途显示是是是正常研判变灰是是否保留上下文避免误操作隐藏否否否排除干扰聚焦子图想验证自己对这套机制的理解是否到位有个成本很低的办法拿同一份话单数据做两套导入规范一套只用号码做唯一标识一套用号码加日期人为制造重复导入后在列表分析里对比节点数量。数量对不上说明判等逻辑没吃透数量对上了但链接权重不同说明聚合策略没吃透。这个自检我做过不止一次每次都能揪出规范里一个想当然的假设。如果还想再往前一步可以试着在同一张图上依次跑最短路径和最早路径找一对结果不同的起止点。找到的那一刻时态图和静态图的差别就不再是概念而是你能指着图说出来的一个具体事实——这种“能验证的理解”比记住菜单在哪有用得多。最后说个血泪教训。早年我做话单分析习惯先把数据全导进来再说图一多就乱然后靠肉眼找找不出来就怀疑数据有问题。后来才想明白问题出在导入那一步唯一标识没清洗聚合开关没打开几个隐蔽的判等错误一路带到了结论里而界面上一个红字都没有。从那以后我每次导入前都强制走一遍三件事——清洗判等键、确认聚合策略、导入后立刻用列表分析核对节点数和链接数不核对完不动手分析。这套动作花不了五分钟省下的是返工一整天。希望帮到你。本文还有配套的精品资源点击获取
