TCP與UDP網絡流量對比分析研究

摘 要:網絡帶寬不斷增長，越來越多的音/視頻、在線游戲等應用成為網絡空間的主體。基于實時性考慮，這些新興應用協議多選擇UDP作為其底層的傳輸協議，使得UDP流量呈上升趨勢，而以往的流量測量工作一般基于TCP進行，忽略了UDP協議。對國內某骨干網流量進行了連續12 h的在線測量，在傳輸層和應用層分別對TCP和UDP及其應用層協議的流的總數、長度分布、持續時間分布、流的速度分布等進行了詳盡的分析，并對TCP和UDP的應用層協議流的大小、長短、快慢作了詳細的分類。為網絡流的分類技術、網絡行為發現、網絡設計等提供了數據支持。

關鍵詞:TCP; UDP; 協議特征; 流量分類; 端口

中圖分類號:TP393.09文獻標志碼:A

文章編號:1001-3695(2010)06-2192-06

doi:10.3969/j.issn.1001-3695.2010.06.056

Comparative analysis on TCP and UDP network traffic

ZHANG Yibin1，2a，2b， ZHANG Zhibin1，2b， ZHAO Yong1，2a，2b， GUO Li1，2b

(1.Institute of Computing Technology， Chinese Academy of Sciences， Beijing 100190， China; 2.a.Graduate School， b. National Engineering Laboratory for Information Security Technologies， Chinese Academy of Sciences， Beijing 100049， China)

Abstract:With the increase of network bandwidth， more and more new applications like audio， video and online games become the major force in network traffic. Based on realtime considerations， these new applications mostly used UDP as transport layer protocol， which made UDP traffic increase. While previous traffic measurements were generally based on TCP and ignore UDP protocol. This paper made a continuous 12hour online measurement on a backbone environment. Firstly， it did a detailed analysis on TCP and UDP in transport and application layer， including total number of the flow， length distribution， duration distribution， and flow rate distribution. Secondly， gave a detailed classification on application layer protocols according to flow size， length， and speed. Our analysis and conclusions can present a data support for other studies as the traffic classification， network behavior analysis， and the network design etc.

Key words:TCP; UDP; protocol characteristics; traffic classification; port

0 引言

隨著網絡帶寬不斷增長，網絡行為模式日益復雜，各種新網絡應用的產生，使人們對于網絡的依賴性越來越強，同時也對網絡提出了更高的要求。傳統的基于文字和圖片的網絡服務已經不能滿足人們的需求，越來越多的音/視頻、在線游戲等內容生動且互動性強的網絡應用開始成為網絡空間的主體。根據2008年IResearch咨詢公司通過Cisco System提供的數據統計結果，P2P和在線視頻服務流量已經超過了網頁瀏覽、電子郵件這些傳統的網絡服務，其正在占用越來越多的網絡帶寬。以2008年為例，在線視頻(包括PC和電視終端)和P2P流媒體產生的數據流量將占據全球互聯網總流量的75.9%，達到4 034 PB，而預計到2012年這一數字會上升至81.2%。顯然，以網絡視頻為主的新興網絡應用服務將成為未來帶寬增加的最大推動者和受益方。

一般來說，網絡應用服務在選擇傳輸層協議時有兩大選擇，即TCP或UDP。TCP是一種面向連接的、具備可靠傳輸特性的協議;UDP是一種面向無連接的傳輸協議。曾占據網絡中絕大部分流量的TCP目前仍然是網絡流量的較大組成部分，但UDP流量伴隨著新型網絡服務的發展而迅猛增加。由于音/視頻通信、在線游戲等服務數據冗余性較強，對個別數據包的丟失不敏感，但是都具有較強的實時性要求，而且希望占用盡量少的管理資源從而可以支持更多的同時在線用戶，目前這些新興的網絡服務越來越多地選擇UDP作為其底層的傳輸協議。

傳統的測量工作都是基于TCP進行的，忽略了當前網絡流量中越來越重要的UDP，因此測量結果并不能完全代表網絡實質。為此，本文將對高速網絡中TCP和UDP流進行測量研究，分析對比兩者的統計特性，促進對當前網絡流量中TCP和UDP流的理解，為網絡和應用服務的設計提供借鑒。本文有下述兩點主要貢獻:a)在傳輸層和應用層分別對TCP和UDP及其應用層協議的流的總數、長度分布、持續時間分布、流的速度分布等作了詳盡的分析;b)對TCP和UDP的應用層協議流的大小、長短、快慢作了詳細的分類。

1 相關工作

面向網絡層面的流量測量工作在20世紀80年代就已經起步，較早的研究工作多是以數據包(packet)作為理解網絡流量行為的基本單位(building block)。Leland等人[1]通過對1989年8月~1992年2月間數以億計的以太網數據包的統計分析，發現以太網流量具有自相似(selfsimilar)特性。但是正如Clark[2]指出的，基于包級別流量測量由于粒度小，在很多方面無法滿足對于網絡流量理解的需要。幾乎在相同時期，Jain等人[3]也提出了相似的看法，他們提出了一種包列模型(packet train)。后續的很多研究[4，5]將包列模型擴展到傳輸層或者應用層分析中，或者專門對TCP流進行分析[6，7]。Claffy等人[8]在包列模型的基礎上根據流量在時間和空間上的局部性特征定義了帶參量的流(flow)模型。

從2000年開始，面向流級別的流量測量研究逐漸成為網絡測量領域的一個熱點問題。Fang等人[9]通過對骨干網流量數據的研究發現，在AS之間占總數9%的流承載了90%的流量，這也就是在網絡流領域所謂的“老鼠與大象”(mice and elephant)現象。Brownlee等人[10]對網絡流的持續時間分布進行了測量研究，發現占總量45%的網絡流在持續時間上小于2 s，而不到2%的網絡流在持續時間上超過15 min并且承載了50%以上的流量，即所謂的“蜻蜓與烏龜”(dragonflies and tortoise)現象。Sarvotham等人[11]通過測量指出流量的突發一般源于少數幾個承載流量大的網絡流。另外Lan等人[12]還根據流速的情況將網絡流劃分為“獵豹與蝸牛”(cheetah and snail)，并研究了流的各種屬性之間的相互關系。

自2000年以來，以具體應用為背景的網絡測量研究主要集中在音/視頻、即時聊天、P2P、在線游戲等新的網絡服務上，這些測量結果顯示UDP正在逐漸成為新興網絡服務進行數據傳輸的主要選擇，其重要性正在逐漸趕上或者超過TCP。Mena等人[13]發現60%~80%的音頻數據流都是通過UDP進行傳輸，而只使用TCP進行控制命令的傳輸。Sripanidkulchai等人[14]對某著名的內容分發網絡進行統計，其結果顯示UDP在音/視頻領域占據絕對的優勢。另外，近幾年對于以Skype為代表的流量研究[15]發現，目前的VoIP服務也主要采用了UDP作為傳輸協議。Dewes等人[16]指出以IRC和Web為基礎的聊天系統一般采用TCP，而其他類型的聊天系統如ICQ和AIM則普遍使用UDP。Feng等人[17]指出大量第一人稱視角游戲多用UDP實現。在發展迅速的P2P設計方面，UDP通信也占有相當的比例。Karagiannis等人指出目前主流P2P協議一般都可以使用TCP或者UDP進行數據傳輸[1]。

然而基于流的網絡測量也有著如下的問題:目前的測量方法多是基于TCP設計的，網絡設備也是TCP友好型。隨著新興網絡應用的興起，越來越多的服務開始考慮將數據傳輸的工作交給UDP完成，因此在流量的成分比例上TCP也不再像以前一樣占據絕對優勢。網絡流量測量的主要目的是要增進人們對于流量特征的認識，而流量特征是隨著所承載應用的變化而變化的，因此，有必要對UDP流的特征進行深入研究，從而指導網絡設計向著更符合應用需要的方向發展。為此，本文作了針對TCP和UDP的協議對比分析，以期找出兩種傳輸協議之間的共性和差異，更好地指導網絡設計和網絡維護。

2 實驗環境

本實驗為實時測試，數據來源于國內某骨干路由器，帶寬為1 000 Mbps，測試時長為12 h，從正午12點至凌晨12點。該測試時間覆蓋了網絡流量較大的繁忙時段和網絡流量較小的空閑時段。

本實驗分為如圖1所示的五個模塊，分別是流量采集、流量分類、流表管理、超時策略和流信息統計。流量采集模塊在線采集網絡數據包，對數據包進行分層分析、IP分片重組等，再經過流量分類模塊，運用特征識別等方法分析出當前數據包屬于哪種傳輸層和網絡層的協議，進入流表管理模塊;流表管理運用超時策略維護一個TCP活動流表和一個UDP活動流表，當發現流結束或者超時，則統計計算該流的各項參數信息。

本文在包級別和流級別均作了測量。目前廣泛采用的定義流的方式是五元組[4]，即擁有相同源IP地址、目的IP地址、協議號、源端口號和目的端口號的一系列數據包的集合。Claffy等人[8]為實現新建連接數與活動連接數均較小，達到資源消耗總量較小的目的，提出主干網數據流超時時間以64 s為宜，此后網絡設備提供商均基于此使用64 s作為默認超時值。本文借鑒了上述方法，提出本實驗中TCP和UDP流的定義。

定義1 擁有相同的四元組(源地址、目的地址、源端口、目的端口)的一系列在一定超時時間內(64 s)連續到達的TCP數據包，稱為一個TCP流。

定義2 在兩個終端之間且擁有相同端口號的一系列在一定超時時間內(64 s)連續到達的UDP數據包，稱為一個UDP流。

3 基于傳輸層的測量

從測量對象角度看，如果把流作為理解網絡流量行為的基本單位，那么與網絡資源占用相關的流的若干基本屬性特征也是理解網絡流量的重要指標，這其中包括流的總數、長度分布、持續時間分布、流的速度分布等。對這些指標的測量增進了人們對于網絡流量的理解和認識。流的這些基本屬性特征的測量結果往往能夠為網絡的設計提供重要的參考，如在路由器設計中，關于緩沖大小設計、包轉發策略、流調度算法等方面都參考了網絡流測量方面的一些研究成果。

3.1 對包數、字節數、流數的統計

在對數據分析后，可以得出TCP與UDP包數在12 h內的變化情況(圖2)，同理得出TCP和UDP字節數和流數的走勢圖(圖3、4)。

由圖2~4綜合分析可以看出:TCP在包數上明顯比UDP要多;UDP的字節數比TCP要多;TCP流數與UDP總體相當，但隨著時間和流量的變化，流數不穩定。從圖2和3中可以發現，在正午12~18點，UDP的包數明顯小于TCP，但UDP的字節數卻比TCP高，這說明，在這個時段內，UDP的包所含字節數偏大，由此可以推斷，網絡繁忙時，主要由UDP流量占用帶寬。在CAIDA2009年的一篇報告[18]中，在2003年，UDP無論在包數、字節數還是流數上，只占網絡流量的20%以下。從2006年開始，UDP流量在逐年增加，到2009年初，UDP在流級別上已經占有了巨大優勢，是TCP的2.6~3倍。

隨著新興網絡協議的日益普及，網絡流量的組成發生了很大的變化，幾年前占用網絡帶寬10%左右的UDP，如今在網絡流量中的比重越來越大，從各個方面看都占據了一半的網絡資源，成為了不可忽視的一部分。

3.2 對流的平均包數、字節數、速率以及流持續時間的統計

TCP和UDP的字節數、包數是數據包級別的測量，以數據包為基本粒度對流量進行研究丟棄了很多宏觀上的重要信息，因此有必要在流級別上進行更詳細的測量。本文選取了流的平均包數、平均字節數、平均速率和平均持續時間這四個參數進行統計。

首先給出文章中使用到的字符及符號含義，如表1所示。

表1 符號表

字符含義

f流數

pi流i的包數

bi流i的字節數

ri流i的速率

si流i的第一個包的到達時間

ei流i的最后一個包的到達時間

3.2.1 流的平均包數

流的平均包數的定義如下:

avg_pkt_perflow=∑fi=1pif

經過實時測量，得到TCP和UDP的流的平均包數，如圖5所示。TCP流的平均包數在不同的網絡情況下數目不同，從12∶00~17∶00流的平均包數在20~35，并且隨著網絡流量的減少，在18∶00之后，流的平均包數穩定在平均每個流35個包。UDP流的平均包數在不同的網絡情況下數目比較穩定，流的平均包數在15個左右，而TCP流的平均包數比UDP要多，說明從總體上看TCP流偏向于大流，而UDP則偏向于小流。

3.2.2 流的平均字節數

流的平均字節數定義如下:

avg_Byte_perflow=∑fi=1bif

經過實時測量，得到TCP和UDP的流的平均字節數，如圖6所示。

TCP流的平均字節數在不同的網絡情況下不同，從12∶00~17∶00流的平均字節數在10 000~25 000 Byte，隨著網絡流量的減少，在18∶00之后，流的平均字節數穩定在平均每個流25 000 Byte。UDP流的平均字節數在不同的網絡情況下比較穩定，流的平均字節數在5 000 Byte左右。TCP流的平均字節數比UDP流多，結合圖5，每一個TCP流包含的包數多，且字節數也多。TCP流的平均包數是UDP的2.5倍左右，但TCP流的平均字節數卻是UDP的4.5倍左右。這表明，TCP中每個包所占的字節數也比UDP多，說明TCP流較UDP而言是大流。

3.2.3 流的平均速率

流的速率指的是流的總字節數與流的持續時間的比值，這一比值可以反映流的快慢，定義如下:

avg_rate_perflow=∑fi=1bi/(ei-si)f

經過測量，可以得到TCP和UDP的流的速率，如圖7所示。TCP流的平均速率在不同的網絡狀況下比較穩定，維持在250 Bps，表明在各種情況下，TCP的使用是比較均衡的。UDP流在網絡流量較大的12∶00~18∶00，流的平均速率穩定在150 Bps，但在18∶00之后，總的網絡流量減小，而UDP流的平均流速卻有所提高。這表明在夜間高速的UDP流的成分有所提升，如在夜晚觀看P2P在線視頻的人數增加，導致UDP的平均流速增加。對比而言，TCP流的速率明顯比UDP快，作為大流的TCP，同時也是快流。

3.2.4 流的平均持續時間

流的持續時間指的是流的第一個包到達的時間和最后一個包到達的時間間隔，定義如下:

avg_duration_perflow=∑fi=1(ei-si)f

經過測量，可以得到TCP和UDP流的平均持續時間如圖8所示。

TCP流的平均持續時間隨著網絡流量的減小而緩慢增加，一定程度上可以反映出在白天人們對信息的索取是簡單快速的，而到了夜間，人們的生活節奏變緩，更加傾向于慢慢地瀏覽信息。UDP流在網絡流量較大的12∶00~18∶00，流的持續時間不穩定，但在18∶00之后，總的網絡流量減小， UDP流的平均持續時間卻有所提高。這表明在夜間長流的UDP流的成分有所提升，如在夜晚觀看P2P在線視頻的人數比例增加，導致UDP的平均持續時間增加。對比而言，TCP流的平均持續時間大部分情況下都比UDP要長。

結合這四個參數總體上看，TCP是大流、快流和長流，對比網絡流量較大的日間和網絡流量較小的夜間，TCP在夜間呈現更大更長的特征。UDP相比TCP是小流、慢流和短流，對比網絡流量較大的日間和網絡流量較小的夜間，UDP在夜間呈現更快更長的特征。

3.3 對端口的統計

對12個小時的端口號進行統計，分別得到TCP與UDP含量較多的前五個端口號，如表2所示。

表2 TCP和UDP前五個端口號

協議

商品

12345

TCP80254434 6621 301

UDP8 00015 000537 60080

TCP中80端口為HTTP，表明HTTP仍占據著TCP的主要部分。占據TCP端口號第二位的25端口為SMTP。443端口為網頁瀏覽端口，主要用于HTTPS服務;4662端口為Emule(電驢)協議的標準端口號。

對UDP，8000、15000和53端口分別對應著QQ、迅雷和DNS協議。

4 基于應用層的測量

在對TCP和UDP作了初步的測量之后，可以得出一些關于TCP和UDP的比較結果，然而，這些結果是針對所有協議而言的。在應用層協議日益豐富的現在，應用層協議的統計特征千差萬別。為了能夠更好地體現TCP與UDP之間的差別，在此使用了端口識別和特征提取的方法，識別了10余種網絡中含量較多的應用層協議，并對其進行了詳盡的分析。

針對協議的測量工作分為兩個部分，即協議識別和應用層協議特征統計。

4.1 協議識別

4.1.1 TCP的應用層協議識別

由于使用TCP傳輸協議的應用層協議通常都有固定的端口，在此本文使用端口識別的方法分析TCP流，如表3所示。

表3 TCP應用層協議及其相應的端口號

端口

協議

HTTPHTTPSFTPTELNETSMTPPOP3

Port8044321/202325110

進一步對各種TCP的端口號進行分析，80端口號的連接(HTTP)數目在流量中占主要部分，同時25端口號的連接(SMTP)數目也較多。

4.1.2 UDP的應用層協議識別

目前UDP流承載了豐富的應用類型，雖然這些應用類型都具有一定的實時性要求，但是不同的應用類型之間又會有比較大的差異。例如音/視頻的實時性要求就比較高，但是對于數據包丟失基本可以容忍;而對于基于文本的聊天系統來說，數據包丟失可能會造成信息的不完整，但是卻可以容忍比較高的信息傳輸延遲。理解UDP流中的應用成分將有助于按照應用需求進行流量工程，并根據網絡資源情況提供服務質量(QoS)保證。

L7filter和Open DPI等開源軟件提供了眾多協議的特征信息。本文借鑒了部分協議特征及反匯編知識分析了網絡中含量較多的10余種應用層協議，如表4所示。

表4 UDP應用層協議分類表

協議名稱占總包數比例/%占總流量比例/%占總流數比例/%

UNKNOWN51.258.926.9

XUNLEI12.4151.03

PPSTREAM6.788.70.02

BITTORRENT13.8746.5

PPLIVE3.06.20.02

DNS8.62.415.8

MESSENGERSERVICE1.11.76.1

QQLIVE1.60.40.36

SOPCAST0.20.30.01

EDONKEY0.90.32.7

QQ0.10.040.05

NTP0.20.040.4

4.2 各應用層協議對流的平均包數、字節數、速率以及流的持續時間的統計

4.2.1 流的平均包數

經分析得到TCP和UDP的各種應用層協議的流的平均包數，如圖9、10所示。

由圖9可以看出，HTTP流的包數較多，TELNET流的平均包數較小，且各種應用層協議的包數差異較大。注意到無論在流量較多的日間還是流量較少的夜間，SMTP、FTP和HTTPS協議流的平均包數比較穩定。由圖10可以看出，PPLIVE和PPSTREAM是典型的大流，日間流的平均包數在400以上，當用戶量減少的夜間，流的平均包數才減小至100個包左右，這是視頻流的典型特征。

4.2.2 流的平均字節數

經分析得到TCP和UDP的各種應用層協議的流的平均字節數，如圖11、12所示。

HTTP流的平均字節數遠高于其他協議，表明HTTP流是典型的大流。SMTP和FTP的平均字節數在任何情況下都較為穩定，表明這兩種協議有著穩定的特性。

圖12與圖10類似，PPLIVE和PPSTREAM是典型的大流，日間的流的平均字節數遠遠高于其他協議，當用戶量減少的夜間，流的平均字節數才有所減小，這是視頻流的典型特征。

4.2.3 流的平均速率

經分析得到TCP和UDP的各種應用層協議的流的平均速率，如圖13、14所示。

由圖13可知，無論在何種網絡(流量大小)條件下，TCP的各種應用層協議的流的平均速率都是很穩定的。HTTP的平均速率為360 Bps，HTTPS為225 Bps，POP3為115 Bps，SMTP為110 Bps，TELNET為75 Bps，FTP為60 Bps，其他未分類的協議的平均流速率為120 Bps。

利用這一特征，可以得到區分TCP各種應用層協議的新方法。

PPLIVE、PPSTREAM、SOPCAST、XUNLEI等協議在網絡流量不穩定的情況下，速率也不穩定。然而，其他協議的速率均較為穩定。BITTORRENT協議的平均速率為180 Bps，DNS為130 Bps，QQLIVE為120 Bps，QQ為100 Bps，EDONKEY為90 Bps，NTP為90 Bps。這一發現可以為應用層協議分類帶來新的思路:利用協議的速率特征(或者多種特征的集合)來識別不同的應用層協議。

4.2.4 流的平均持續時間

經分析得到TCP和UDP各種應用層協議的流的平均持續時間，如圖15、16所示。

雖然HTTP每個流包含的包數和字節數都最高，但是HTTP流的持續時間并不是最長的，也就是說HTTP流傾向于大流，但非最長流。POP3協議每個流包含的包數和字節數都較高，但其持續時間最短，且比較穩定，維持在8 s左右，表明POP3協議是典型的短流。

PPSTREAM協議不僅是大流，也是長流;QQ協議的流的包數和字節數都不多，速率也不快，然而QQ流的持續時間較長，為長流;DNS、NTP、SOPCAST等都是短流。

4.3 結論

為進一步分析各種應用層協議流的屬性特征，本文借鑒現有文獻中對流的大小、快慢區分的標準，為各應用層協議流的特征分類。根據文獻[10]，流的持續時間小于2 s的為超短流，在2 s~15 min的為短流，15 min以上的為長流。根據文獻[19]中的定義，流的包數大于6的為大流，包數小于6的為小流;將平均速率高于200 Bps的流定義為快流，將平均速率低于100的流定義為慢流。

根據流的大小、快慢和長短的定義，對各種TCP和UDP應用層協議的分析如表5、6所示。

表5 TCP應用層協議分析

TCP流的大小流的快慢流的長短

HTTP大快長

HTTPS大快長

FTP中慢長

TELNET小慢長

SMTP中中長

POP3大中短

表6 UDP應用層協議分析

UDP流的大小流的快慢流的長短

XUNLEI大中長

PPSTREAM大快長

QQLIVE大慢中

SOPCAST大快中

BITTORRENT小中短

EDONKEY小慢短

MESSENGERSERVICE大快中

DNS小中短

QQ大慢長

NTP小慢短

PPLIVE大快中

由表5和6可以看到，不同應用層協議流有不同的屬性特性。分析應用層協議所屬類別后，可以發現如下特征:

a)網頁類協議(如HTTP、HTTPS)的流是大流、快流和長流。這可以顯示用戶使用瀏覽器的部分瀏覽習慣，大多數用戶傾向于長時間瀏覽大量網頁信息。

b)視頻類協議(如PPSTREAM、PPLIVE、SOPCAST等)的流是大流、快流和中長流。為了更清晰地觀賞視頻信息，視頻類應用層協議傳輸網絡數據，速度較快、字節數較多。若用戶對當前的節目滿意時，不會頻繁地更換頻道，導致視頻類協議的流較長。

c)聊天類協議(如QQ)的流是大流、慢流和長流。當用戶登錄聊天軟件客戶端后，數據傳輸的快慢大部分情況下取決于用戶聊天速度的快慢。聊天類協議的流的特性就是流較長較大，但速度很慢。

5 結束語

流量測量問題作為信息安全領域一個重要的研究方向已經得到越來越多人的關注，然而目前的網絡測量大多針對TCP。本文在傳輸層上對TCP、UDP作了詳細的測量和統計工作。同時在應用層協議分類技術的基礎上，對網絡中出現較多的應用層協議作出統計分析，并分析總結了當前網絡中比較熱門的服務類型和廣泛使用的應用協議的流量特征，得出的結論可以應用于測量統計和分析。網絡流的分類識別都是如今網絡流研究的重點，然而要完全識別出網絡中存在的所有應用層協議是困難的。利用本文的分析方法可以初步定位當前網絡流屬于哪種服務類型，對網絡流量檢測與控制有著重大的意義。后續將會利用本文得到的流的各類特征，利用統計學習的方法，對其進行更詳盡的分析，以期得到協議識別的新方法。

參考文獻:

[1]LELAND W E， TAQQU M S，WILLINGER W， et al. On the selfsimilar nature of Ethernet traffic[J]. IEEE/ACM Trans on Networking， 1994，2(1):1-15.

[2]CLARK D D. The design philosphy of the DARPA Internet protocols[J]. ACM SIGCOMM Computer Communication Review，1995，25(1):102-111.

[3]JAIN R， ROUTHIER S A. Packet trainsmeasurements and a new model for computer network traffic[J]. IEEE Journal on Selected Area in Communications，1986，4(6): 986-995.

[4]ACHARYA M， NEWMANWOLFE U， LATCHMAN H， et al. Realtime hierarchical traffic characterization of a campus area network[C]//Proc of the 6th International Conference on Modeling Techniques and Tools， for Computer Performance Evaluation. 1992.

[5]ACHARYA M， BHALLA B. A flow model for computer network traffic using realtime measurements[C]//Proc of the 2nd International Conference on Telecommunications Systems Modeling and Analysis. 1994.

[6]CACERES R， DANZIG P B， JAMIN S， et al. Characteristics of widearea TCP/IP conversations[J]. ACM SIGCOMM Computer Communication Review，1991，21(4):101-112.

[7]ESTRIN D， MITZEL D J. An assessment of state and lookup overhead in routers[C]//Proc of the 11th Annual Joint Conference of the IEEE Computer and Communications Societies on One Worlds Through Communications.1992:2332-2342.

[8]CLAFFY K C， BRAUN H W， POLYZOS G C. A parameterizable methodology for Internet traffic flow profiling[J]. IEEE Journal on Selected Area in Communications，1995，13(8):1481-1494.

[9]FANG Wenjia， PETERSON L. InterAS traffic patterns and their implications[C]//Proc of IEEE Global Telecommunications Conference.1999:1859-1868.

[10]BROWNLEE N， CLAFFY K C. Understanding Internet traffic streams: dragonflies and tortoises[J]. IEEE Communications Magazine， 2002，40(10) :110-117.

[11]SARVOTHAM S， RIEDI R， BARANIUK R. Connectionlevel analysis and modeling of network traffic[C]//Proc of ACM SIGCOMM Internet Measurement Workshop 2001.San Francisco:[s.n.]，2001.

[12]LAN K C， HEIDEMANN J. A measurement study of correlations of Internet flow characteristics[J]. Computer Networks， 2006， 50(1):46-62.

[13]MENA A， HEIDEMANN J. An empirical study of real audio traffic[C]//Proc of the 9th IEEE INFOCOM Annual Joint Conference of the IEEE Computer and Communications Societies. 2000:101-110.

[14]SRIPANIDKULCHAI K， MAGGS B， ZHANG H. An analysis of live streaming workloads on the Internet[C]//Proc the 4th ACM SIGCOMM Conference on Internet Measurement. New York: ACM Press，2004:41-54.

[15]BONFIGLIO D， MELLIA M， MEO M， et al. Tracking down skype traffic[C]//Proc of IEEE INFOCOM’08.2008.

[16]DEWES C， WICHMANN A， FELDMANN A. An analysis of Internet chat systems[C]//Proc of the 3rd ACM SIGCOMM Conference on Internet Measurement. New York: ACM Press，2003:51-64.

[17]FENG W， CHANG F， FENG W， et al. A traffic characterization of popular online games[J]. IEEE/ACM Trans on Networking， 2005，13(3):488-499.

[18]http://www.caida.org/research/trafficanalysis/tcpudpratio/[EB/OL].

[19]周明中，龔儉，丁偉.高速網絡中基于流速測度的動態超時策略[J].軟件學報， 2006，17(10):2141-2151.

[20]GILDER G， TELECOSM G. How infinite bandwidth will revolutionize our world[M]. New York: Free Press， 2000:58-67.

[21]中國互聯網絡信息中心.第23次中國互聯網絡發展狀況統計報告[EB/OL].(2009).http://www.cnnic.net.cn/uploadfiles/pdf/2009/1/13/92458.pdf.

[22]http://www.iresearch.com.cn/html/Consulting/Online_Movie/DetailNews_id_86894.html[EB/OL].

[23]GUO L， TAN E， CHEN Songqing， et al. Delving into Internet streaming media delivery: a quality and resource utilization perspective[C]//Proc of the 6th ACM SIGCOMM Conference on Internet Measurement. New York: ACM Press， 2006:217-230.

[24]GUO L， TAN E， CHEN S， et al. Analysis of multimedia workloads with implications for Internet streaming[C]//Proc of the 14th International Conference on World Wide Web. New York: ACM Press，2005:519-528.

[25]KHALIL K M， LUC K Q， WILSON D V. LAN traffic analysis and workload characterization[C]//Proc of the 15th Conference on Local Computer Networks.1990:112-122.

[26]BROWNLEE N， MILLS C， RUTH G. RFC 2722， Traffic flow measurement: architecture[S].1999.

[27]THOMPSON K， MILLER G， WILDER R. Widearea traffic patterns and characteristics[J]. IEEE Network， 1997，11(6):10-23.

[28]ROBERTS L G. Beyond Moore’s law: Internet growth trends[J]. IEEE Computer Magazine，2000，33(1):117-119.

[29]DUFFIELD N， LUND C， THORUP M. Estimating flow distributions from sampled flow statistics[C]//Proc of Conference on Applications， Technologies， Architectures， and Protocols for Computer Communications.2003:325-336.

[30]ESTAN C， VARGHESE G. New directions in traffic measurement and accounting[J]. ACM SIGCOMM Computer Communication Review， 2002，32(4):323-326.

[31]MORI T， UCHIDA M， KAWAHARA R， et al. Identifying elephant flows through periodically sampled packets[C]//Proc of the 4th ACM SIGCOMM Conference on Internet Measurement. New York: ACM Press，2004:115-120.

[32]ESTAN C， KEYS K， MOORE D， et al. Building a better netflow[C]//Proc of Conference on Applications， Technologies， Architectures， and Protocols for Computer Communications.2004:245-256.

[33]DUFFIELD N， GROSSGLAUSER M. Trajectory sampling with unreliable reporting[C]//Proc of IEEE INFOCOM Conference.2004.

[34]KUMAR A， XU J， LI L， et al. Spacecode bloom filter for efficient traffic flow measurement[C]//Proc of IEEE INFOCOM Conference.2004.

[35]SCHWELLER R， GUPTA A， PARSONS E. Reversible sketches for efficient and accurate change detection over network data streams[C]//Proc of the 4th ACM SIGCOMM Conference on Internet Measurement. New York: ACM Press，2004:207-212.

[36]ESTAN C， VARGHESE G， FISK M. Bitmap algorithms for counting active flows on high speed links[C]//Proc of the 3rd ACM SIGCOMM Conference on Internet Measurement. New York: ACM Press，2003:153-166.

[37]ESTAN C， SAVAGE S， VARGHESE G. Automatically inferring patterns of resource consumption in network traffic[C]//Proc of Conference on Applications， Technologies， Architectures， and Protocols for Computer Communications.2003:137-148.

[38]ZHANG Hui. Internet video: new wine， old bottle[C]//Proc of Keynote of ICNP’07. 2007.