互联网五种典型应用的平均包长概率分布研究

2024年4月23日发(作者：)

第２９卷第５期　

２０１２年５月　

计算机应用研究　

Ａｐｐｌｉｃａｔｉｏｎ　Ｒｅｓｅａｒｃｈ　ｏｆ　Ｃｏｍｐｕｔｅｒｓ　

Ｖｏｌ＿２９　Ｎｏ．５　

Ｍａｖ　２０１２　

互联网五种典型应用的平均包长概率分布研究术　

杜锡寿　，陈庶樵　，张建辉　，马润华　

（１．国家数字交换系统工程技术研究中心，郑州４５０００２；２．海军９２５６４部队，广东汕头５１５０６４）　

摘要：作为流量识别的一个重要手段，深度流检测使用的统计特征中屡屡包含包长信息。从互联网五种典型　

应用的平均包长入手，利用滑动窗口模型探索五种应用在平均包长概率分布上的差异。对ＦＴＰ、Ｆｏｘｍａｉｌ、ｗｗｗ、　

迅雷、Ｅｍｕｌｅ五种应用的实验表明：设置相同的滑动窗口，五种应用平均包长的均值有明显区别；设置不断增大　

的滑动窗口，五种应用平均包长的均值稳定，标准差逐渐减小。仅用包长信息可识别该五种应用。　

关键词：流量识别；平均包长；概率分布；滑动窗口；离散随机过程　

中图分类号：ＴＰ３９３．０　文献标志码：Ａ　文章编号：１００１—３６９５（２０１２）０５—１８８４—０３　

ｄｏｉ：１０．３９６９／ｊ．ｉｓｓｎ．１００１—３６９５．２０１２．０５．０７６　

Ｒｅｓｅａｒｃｈ　ｏｎ　ｐｒｏｂａｂｉｌｉｔｙ　ｄｉｓｔｒｉｂｕｔｉｏｎ　ｏｆ　ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ　ｆｏｒ　ｆｉｖｅ　

ｒｅｐｒｅｓｅｎｔａｔｉｖｅ　ａｐｐｌｉｃａｔｉｏｎｓ　ｉｎ　ｌｎｔｅｒｎｅｔ　

ＤＵ　Ｘｉ—ｓｈｏｕ　，ＣＨＥＮ　Ｓｈｕ－ｑｉａｏ　．ＺＨＡＮＧ　Ｊｉａｎ—ｈｕｉ　，ＭＡ　Ｒｕｎ—ｈｕａ２　

（１．Ｎａｔｉｏｎａｌ口ｉｇｉｔａｌ　Ｓｗｉｔｃｈｉｎｇ　Ｓ￣ｔｅｍ　Ｅｎｇｉｎｅｅｒｉｎｇ＆Ｔｅｃｈｎｏｌｏｇｉｃａｌ　Ｒｅｓｅａｒｃｈ　Ｃｅｎｔｅｒ，Ｚｈｅｎｇｚｈｏｕ　４５０００２，Ｃｈｉｎａ；２．９２５６４ｔｈ　Ｎａｖｙ　Ｕｎｉｔ，Ｓｈａｎ—　

ｔｏｕ　Ｇｕａｎｇｄｏｎｇ　５１５０６４，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ａｓ　ａ　ｉｍｐｏｒｔａｎｔ　ｍｅｔｈｏｄ　ｏｆ　ｔｒａｆｆｉｃ　ｉｄｅｎｔｉｉｆｃａｔｉｏｎ，ＤＦＩ（ｄｅｅｐ　ｆｌｏｗ　ｉｎｓｐｅｃｔｉｏｎ）ｅｍｐｌｏｙｓ　ｓｔａｔｉｓｔｉｃａｌ　ｆｅａｔｕｒｅｓ　ｗｈｉｃｈ　ｃｏｎ—　

ｔａｉｎｓ　ｐａｃｋｅｔ　ｓｉｚｅ　ｉｎｆｏｒｍａｔｉｏｎ．Ｔｈｉｓ　ｐａｐｅｒ　ｓｔａｒｔｅｄ　ｗｉｔｈ　ｐａｃｋｅｔ　ｓｉｚｅ　ｂｅｌｏｎｇｉｎｇ　ｔｏ　ｆｉｖｅ　ｒｅｐｒｅｓｅｎｔａｔｉｖｅ　ａｐｐｌｉｃａｔｉｏｎｓ，ｕｔｉｌｉｚｅｄ　ｓｌｉｄｉｎｇ　

ｗｉｎｄｏｗ　ｍｏｄｅｌ　ｔｏ　ｅｘｐｌｏｒｅ　ｄｉｆｆｅｒｅｎｃｅ　ｏｎ　ｐｒｏｂａｂｉｌｉｔｙ　ｄｉｓｔｒｉｂｕｔｕｔｉｏｎ　ｏｆ　ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ　ｏｆ　ｄｉｆｆｅｒｅｎｔ　ａｐｐｌｉｃａｔｉｏｎｓ．Ｔｈｅ　ｅｘｐｅｒｉｍｅｎｔｓ　

ｏｎ　ＦＴＰ，Ｆｏｘｍａｉｌ，ＷＷＷ，Ｔｈｕｎｄｅｒ　ａｎｄ　Ｅｍｕｌｅ　ｓｈｏｗ：ｗｉｔｈ　ｔｈｅ　ｓａｎｌｅ　ｓｉｚｅ　ｏｆ　ｓｌｉｄｉｎｇ　ｗｉｎｄｏｗ，ｔｈｅｙ　ｂｅｈａｖｅ　ｄｉｆｅｒｅｎｔ　ｅｘｐｅｃｔａｔｉｏｎ　ｏｆ　

ｔｈｅ　ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ；ｗｉｔｈ　ｂｅｉｎｇ　ｇｒｅａｔｅｒ　ｓｉｚｅ　ｏｆ　ｓｌｉｄｉｎｇ　ｗｉｎｄｏｗ，ｔｈｅｙ　ｂｅｈａｖｅ　ｓｔａｂｌｅ　ｅｘｐｅｃｔａｔｉｏｎ　ａｎｄ　ｇｒａｄｕａｌｌｙ　ｄｅｃｒｅａｓｉｎｇ　ｖａｒｉ—　

ａｎｃｅ　ｏｆ　ｔｈｅ　ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ．Ｉｔ　ｉｓ　ｆｅａｓｉｂｌｅ　ｔｏ　ｉｄｅｎｔｉｆｙ　ｔｈｅ　ｆｉｖｅ　ａｐｐｌｉｃａｔｉｏｎｓ　ｏｎｌｙ　ｂａｓｅｄ　ｏｎ　ｐａｃｋｅｔ　ｓｉｚｅ　ｉｎｆｏｒｍａｔｉｏｎ．　

Ｋｅｙ　ｗｏｒｄｓ：ｔｒａｆｉｆｃ　ｉｄｅｎｔｉｉｃａｔｉｆｏｎ；ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ；ｐｒｏｂａｂｉｌｉｔｙ　ｄｉｓｔｒｉｂｕｔｕｔｉｏｎ；ｓｌｉｄｉｎｇ　ｗｉｎｄｏｗ；ｄｉｓｃｒｅｔｅ　ｓｔｏｃｈａｓｔｉｃ　ｐｒｏｃｅｓｓ　

此建议始终将包长作为流量分类的统计特征之一。Ｄｅｄｉｎｓｋｉ等　

０引言　

近年来，随着互联网的高速蓬勃发展，互联网内容得到极　

人　对包到达的时间间隔和包长分布使用小波分析，并分别　

对比了ｅＤｏｎｋｅｙ和ｍ数据流包长和控制流包长在频率分布　

上的区别。Ｂｅｒｎａｉｌｌｅ等人　明确指出不同应用的控制流的包　

长分布是有区别的。Ｂｅｒｎａｉｌｌｅ等人　另辟思路，提出一种通过　

分析包长和建立ＴＣＰ链接时的前四个数据包的方向的流量识　

别方法，该方法对已知应用的识别准确率超过９０％，对未知应　

大的丰富和发展，网络媒体、互联网信息检索、网络通信、网络　

娱乐等各种新应用层出不穷；应用模式上从邮件服务、Ｗｅｂ应　

用等传统应用扩展到流媒体、迅雷等基于Ｐ２Ｐ（ｐｅｅｒ—ｔｏ—ｐｅｅｒ）的　

新应用，但由于Ｐ２Ｐ应用极具吞噬带宽的特性，极易造成网络　

拥塞，对传统应用的服务质量造成巨大的威胁。因此，对互联　

用进行识别的准确率为６０％。在对单向应用流的识别中也屡　

屡出现使用包长的相关统计量的识别方法。Ｅｎｎａｎ等人　在　

网的典型应用，尤其是对Ｐ２Ｐ应用进行识别研究不仅可确保　

各应用的服务质量，也是网络带宽精细管理的前提条件。当前　

Ｐ２Ｐ流量识别的主要方法之一是深度流检测（ｄｅｅｐ　ｌｆｏｗ　ｉｎｓｐｅｃ—　

ｔｉｏｎ。ＤＦＩ）技术，而ＤＦＩ的关键之一在于使用合适的流统计特　

使用聚类的方法对互联网流量进行识别时，采用的统计特征中　

有平均包长（ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ），并在对流量识别时，对双向应　

用流和单向应用流都进行了详细的识别分析，且在两种情况下　

都获得了不错的识别结果。Ｌｉ等人　仅仅使用短时间窗内的　

包长分布作为特征对Ｐ２Ｐ－ＴＶ应用识别，文中采用基于ＳＶＭ的　

分类方法，对ＰＰＬｉｖｅ、ＰＰＳｔｒｅａｍ、ＱＱＬｉｖｅ、ＳｏｐＣａｓｔ、ＵＵＳｅｅ五种基　

征作为识别标准。目前，只有少数学者对各应用的平均包长分　

布进行了初步的研究，但已有众多学者直接将包长的相关统计　

量（如平均包长、包长度等）用于流量识别中，并达到了满意的　

于Ｐ２Ｐ的流媒体应用进行识别，并在３　Ｓ内获得了超过９９％的　

识别准确率。因此，对互联网典型应用的平均包长进行系统的　

分析不仅可以探索ＤＦＩ采用包长作为流统计特征的内在本质　

原因，也可为今后的流量识别作出有意义的研究。　

本文首先描述了滑动窗口模型的相关原理，进而给出了平　

识别效果。Ｅｓｔｅ等人　基于信息论中互信息的相关理论对网　

络数据包分析后认为，包长对互联网应用识别具有重要的意　

义，特别是ＴＣＰ流的前几个数据包的包长，并且包长在各种环　

境下含有的信息量相对稳定，适用于对各种应用进行识别，因　

收稿日期：２０１１－０９－０５；修回日期：２０１１－１０．０９　基金项目：国家“８６３”计划资助项目（２００９ＡＡ０１Ａ３４６）　

作者简介：杜锡寿（１９８８一），男，安徽来安人，硕士，主要研究方向为互联网流量识别（ｄｘｓｈａｒｄｗｏｒｋ＠１２６．ｃｏｒｎ）；陈庶樵（１９７３．），男，黑龙江肇县　

人，教授，博士，主要研究方向为宽带信息网络；张建辉（１９７７一），男，讲师，博士，主要研究方向为网络测量；马润华（１９８７．），女，湖北宜昌人，主要研　

究方向为通信信号分析与处理．　

第５期　杜锡寿，等：互联网五种典型应用的平均包长概率分布研究　

随机过程｛　，ｎ＝１，２，…｝的方差为　

：

・１８８５・　

均包长的计算方法，并根据实验情况将不同滑动窗口大小下的　

平均包长概率分布抽象为离散随机过程，给出了离散随机过程　

的均值和标准差的计算方法，最后对互联网上典型应用的平均　

包长的概率分布进行系统的实验研究。本文的贡献在于从统　

计学的角度总结分析了两种现象：ａ）五种应用在相同的滑动　

窗口大小下，其平均包长的概率分布不同，且均值差别较大；　

ｂ）随着滑动窗口大小不断增大，互联网典型业务平均包长概　

２．１　数据来源　

Ｅ［Ｅ］：　‘　

∞　

（　，　）ｄ　一　

ｎ　

（３）　

其中：　称为标准差。　

２　实验仿真及结果分析　

率分布的均值保持稳定，其标准差逐渐减小。　

１　研究基础　

１．１　滑动窗口模型　

众多学者在发表的论文中并没有对包长进行明确的定义，　

但是无论是从链路层还是从网络层定义分析的数据包长度，对　

研究平均包长的概率分布并无影响。本文的包长指的是从链　

路层算起解析出的数据包长度的简称。　

互联网的典型应用在进行数据传输前，多数需要建立ＴＣＰ　

链接，在数据传输时由于链路抖动、链路拥塞等原因会造成　

ＴＣＰ链接的消亡，从而又需重新建立链接。因此，在抓取的应　

用数据中可能夹杂ＴＣＰ控制报文，由于ＴＣＰ控制报文和内容　

报文在包长大小上存在较大的差异，需要对控制报文的包长进　

行平滑处理减少计算误差。因此，本文在对包长度处理时使用　

滑动窗Ｅｌ模型‘　。窗口大小７１　可白定义，滑动步幅为１。使　

用滑动窗口的优点是能够平滑突发数据包，并统计出更多的平　

均包长值，更加真实地反映出平均包长的慨率分布，因此本文　

在计算平均包长时是基于滑动窗口的平均包长。　

如图１所示，在互联网某典型应用接收包的个数为Ⅳ的　

前提下，滑动窗口大小为５，记为　，在第一次对平均包长进行　

计算时，使用序号为１～５的数据包计算。在第二次计算平均　

包长时，使用序号为２～６的数据包计算。　

，………………………、　

［１

、…

　１

…

…

２　Ｉ

…

一

３　Ｉ

．…

　４［５

……

　Ｉ

．．，　

　６　Ｉ　７　Ｉ　８　Ｉ．．．　ＩＮ　Ｉ　

窗ｌ＝＿＝］初始位置　

，…………………～…、　

～…

一一…………．…．．

Ｊ　

窗口第一次滑动后的位置　

图１滑动窗口示意图　

１．２基于滑动窗口的平均包长研究　

有集合　＝（Ｗ。，Ｗ　一，　），　（０≤ｉ≤ｍ）是互联网中某　

一

典型应用，对该典型应用抓取包的个数为￡，每个包的包长　

大小为Ｐ，（１≤　≤　），单位为字节。在滑动窗口为Ｔ　＝Ｎ的条　

件下，第ｋ个平均包长为　

Ⅳ＋　

∑Ｐ　

寺　≤　≤，Ｊ—Ｎ　（１）　

平均包长Ｐ　的编号最多到Ｍ—Ｎ是由于在最后Ⅳ个数据　

包时，滑动窗口已经移动到末尾。　

１．３离散随机过程　

若以　代表某一应用平均包长在滑动窗口大小Ｔ　：／Ｚ　

的条件下的概率分布，则｛Ｘ　，ｎ＝１，２，…｝是一个离散随机过　

程。设　（　，ｎ）为滑动窗口大小Ｔ　＝ｎ的条件下的平均包长　

概率分布，则随机过程｛Ｘ　，ｎ＝１，２，…｝的均值为　

ｍ　＝Ｅ［Ｘ，　］＝』　（　，ｎ）ｄｘ　（２）　

Ｍｏｏｒｅ在文献［８］中将网络流量分为Ｂｕｌｋ、Ｄａｔａｂａｓｅ、Ｉｎｔｅｒａ—　

ｃｔｉｖｅ、Ｍａｉｌ、Ｓｅｒｖｉｅｅｓ、ＷＷＷ、Ｐ２Ｐ、Ａｔｔａｃｋ、Ｇａｍｅｓ、Ｍｕｈｉｍｅｄｉａ九　

类，但是从用户使用的角度出发，Ｄａｔａｂａｓｅ、Ｉｎｔｅｒａｃｔｉｖｅ、Ａｔｔａｃｋ应　

用互联网终端用户较少，Ｇａｍｅｓ应用多种多样，这里不予采集　

分析。因此本文从剩余的五类中选择了五种目前互联网使用　

较为广泛的典型应用，数据采集点位于校园网出口处，分为四　

个时间点基于Ｗｉｒｅｓｈａｒｋ进行采集，数据量大小如表１所示。　

表１　五种典型应用的采集时问点和数据大小　／ＧＢ　

２．２实验平台　

由于处理的数据量较大，本文在实验中采用的机器配置为　

４．１２　ＧＨｚ的Ｐｅｎｔｉｕｍ４　ＣＰＵ，３．８７　ＧＢ的内存，５００　ＧＢ硬盘。数　

据处理软件使用的是Ｅｃｌｉｐｓｅ　３．５和ＭＡＴＬＡＢ　７．９。　

２．３实验内容与结果分析　

１）不同应用的平均包长概率分布　

实验中，将各应用数据分别用Ｅｃｌｉｐｓｅ和ＭＡＴＬＡＢ处理后，　

设置的滑动窗口大小ｗｉｎｄｏｗ　ｓｉｚｅ＝３０　Ｂｙｔｅ，得到图２（ａ）～　

（ｅ），图中横坐标单位为Ｂｙｔｅ。　

０．３５　

茸０．３　

Ｏ・２５　

０．２５　

量。　

０．１　

０．０５　ｌ　

ｌ　－　

Ｏ．Ｏ５　

０　４００　８００　１２００　ｌ６００　

ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ　

［　

（ａ）ＦＴＰ　

０．１６　

０．１４　

Ｏ．１２　

０　１　

０．Ｏ８　

０．０６　

０．０４　

Ｏ．Ｏ２　

０　４００　８００　１２００１４００　

ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ　

ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ　

（ｃ）ｖ，ｖ　

（ｄ）迅雷　

（ｅ）Ｅｍｕｌｅ　

图２五种典型应用的平均包长在　＝３０时的概率分布　

从图２中可以看出，（ａ）ＦｒＰ平均包长的峰值出现在１０５０　

左右，但在１００时有明显概率分布，这是由于无论是ｆＴｒＰ服务　

器还是客户端，它们的进程都可分为控制进程和数据传送进　

程，控制进程产生的数据包长集中分布在１００左右，而数据传　

・

１８８６・　计算机应用研究　

１　Ｎ　Ｎ＋１　Ｌ　

第２９卷　

送进程产生的包长集中分布在１０５０左右；（ｂ）Ｆｏｘｍａｉｌ平均包　

长的峰值出现在１００左右，且平均包长落入区间［２００，１０００］的　

概率分布基本一致，这是由于Ｆｏｘｍａｉｌ是在邮件服务器和用户　

代理之间基于ＴＣＰ的可靠传输，因而ＴＣＰ控制报文较多；（ｃ）　

青（　ｐ一　邑ｐ　一＋　＋。ｐ　）　

Ｌ一Ⅳ＋ｌ　

古（Ｐ１＋２　・＋峨＋　㈨　・＋ⅣＰ￡ｍｌ＋（Ⅳ一１）ＰＬ一　＋ＰＬ）　

寺（Ｐ１＋２Ｐ２＋．　．＋（Ⅳ一１）ＰＮ一１＋（Ｎ一１）ＰＬ一Ⅳ＋２＋．＿‘＋ＰＬ）　

——————————■『二　

Ｌ

一

ｗｗｗ的平均包长的峰值出现在１０００的位置，其他点的概率　

分布基本为０，这是由于ｗｗｗ应用的请求报文较短，而响应　

报文较长，分布集中在１０００左右，且响应报文的数量要远远多　

于请求报文；（ｄ）迅雷平均包长的概率分布在［５００，９００］，较集　

中且概率值较大，而其他值概率较小；（ｅ）Ｅｍｕｌｅ平均包长的概　

广————————一　

（４）　

、　Ⅳ＋　

１　

率分布具有双峰值的特性，在区间［１００，８００］的概率分布较为　

平稳，且概率分布最大值为０．０９。　

在Ｔ　＝３０的条件下，各应用平均包长分布的均值和标准　

差如表２所示。　

表２五种应用在Ｔ　＝３０下的均值和标准差　

由于第ｉ个包长与第　个包长相差在有限的范围内，即　

０＜ＩＰ　一　Ｉ＜１５００，因此可将式（４）写为　

２（Ｐｌ＋Ｐ２＋…＋Ｐ　）＋６　

Ｅ［ＸⅣ］＝———　Ｔ。Ｌ

一　

＋　

（５１　

Ｌ一Ⅳ＋１　

其中：６是将—　（　＋２　＋…＋（Ⅳ一１）　一　＋（Ⅳ一１）　—　＋ｚ　

＋…＋Ｐ　）合并为２（Ｐ　＋尸２＋…＋Ｐ　）时的有限的误差值。　

２）窗口大小　变化下的包长概率分布　

由于滑动窗口的尺寸越大，在计算一个平均包长值时使用　

的数据包会越多，平滑作用更加明显，分布越能刻画典型应用　

之间的本质区别。因此，实验２针对当前互联网上较为流行的　

由于在抓取数据包时数据量巨大的情况下（大于１　ＧＢ），有　

（如［０，１００］），有　

２（Ｐｔ＋Ｐ２＋…＋Ｐ　）＋６　

——　

￡一ｏ。，可不考虑６的影响。因此当Ⅳ值在较小范围内变化时　

迅雷应用，在不同的　下观测其平均包长的概率分布情况，　

同时计算在每个　下平均包长分布的均值和标准差，结果如　

图３、４所示。　

１６　

１４　

１２　

０．１　

．

．

．

．

．

。　（　）　

此时式（５）可改写为　

Ｅ［　］　！　：：：　

Ｌ　

＝　

（７）　

由于窗口大小Ⅳ值不同造成在取不同的Ⅳ值时，Ｐ　＋　

．

．

Ｏ８　

Ｏ６　

０４　

０２　

Ｊ　

ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ　

ＪｌＩ　

ｍｅａｎ　ｐａｃｋｅｔ　ｓｉｚｅ　

Ｐ　＋　＋…＋　

一　

＋　

有微小差别，因此Ｅ［　］有微小差别，但由　

于数据量巨大，平均包长的均值分布总体保持稳定，所以出现　

图４所示的曲线。　

（ａ）　＝２０　

鲁　

（ｂ）　＝３０　

喘　

２　

ｗｉｎｄｏｗｓ　ｓｉｚｅ　

图４不同　下的平均包长的均值和标准差　

从式（４）～（７）的数学分析中可以看出，在分析过程中没　

—　

ｌＩＩ　Ｌ　

有指定互联网应用类型，因此，对于任何一种互联网典型应用　

平均包长的均值是稳定的。　

来说，只要获取的数据量足够大，在不同的滑动窗口大小下，其　

０　２００　４００　６００　８００　１０００　

（ｅ）ｒｗ＝８ｏ　

图３相同　下的平均包长分布　

３结束语　

从图３和４中可以看出，随着滑动窗口尺寸增大，概率分　

布趋于平滑，分布中心值两端的概率逐渐减小，总体分布趋于　

稳定，因此，标准差随着　的增加而逐渐减小。但在图３中，　

本文从实际网络数据出发，通过分析对比ＦＴＰ、Ｆｏｘｍａｉｌ、　

ｗｗｗ、迅雷、Ｅｍｕｌｅ这五种典型应用的平均包长，为在流量识　

在不同的窗口大小下，均值的分布一直保持稳定，仅有细微差　

别，可依赖这一特性对互联网的应用进行流量识别。下面对均　

值保持稳定的原因加以数学分析。　

在Ｔ　＝Ｎ、抓取的包个数为Ｌ的条件下，由式（２）知，平均　

包长的均值为　

．　．

别中将平均包长作为流统计特征提供了实验依据。研究发现，　

在相同的滑动窗口下，不同应用具有不同的均值和概率分布；　

在不同的滑动窗口，对于迅雷应用，随着窗口大小的增加，其均　

值大小稳定，标准差逐渐减小。但是，由于本文采集的采集点单　

一

，

数据量还不够，导致在平均包长的分布上可能会出现细微偏　

差。下一步将通过在不同的数据集中加大数据采集量以进一步　

＋　

］：互　：　

验证分析平均包长的概率分布情况，同时研究快速有效的基于　

平均包长分布的互联网流量识别算法。　（下转第１９００页）　

・

１９００・　计算机应用研究　

参考文献：　

第２９卷　

内的驻留时间服从Ｇａｍｍａ分布，ＬＡＡＡ与ＭＡＰ之间、ＬＡＡＡ与　

ＡＲ之间、ＨＡＡＡ与ＨＡ之间的距离设为１跳。结果是十次运　

行后得到的平均值。记ＬＡＡＡ与ＨＡＡＡ—ＭＲ之间的距离为　

ｄ。Ｒ，ＬＡＡＡ与ＨＡＡＡ—ＶＭＮ之间的距离为ｄ　ＨＡＡＡ—ＭＲ与　

ＨＡＡＡ

—

［１］ＤＥＶＡＲＡＰＡＬＬＩ　Ｖ，ＷＡＫＩＫＡＷＡ　Ｒ，ＰＥＴＲＥＳＣＵ　Ａ，ｅｔ　ａ１．ＲＦＣ　

３９６３，ｎｅｔｗｏｒｋ　ｍｏｂｌｉｔｙ（ＮＥＭＯ）ｂａｓｉｃ　ｓｕｐｐｏ￣ｐｒｏｔｏｃｏｌ［ｓ］．［ｓ．　

１．］：ＩＥＴＦ，２００５．　

ＶＭＮ之间的距离为ｄＲｖ。　

［２］ＣＨＵＡＮＧ　Ｍ　Ｃ，ＬＥＥ　Ｊ　Ｆ．Ａ　ｌｉｇｈｔｗｅｉｇｈｔ　ｍｕｔｕａｌ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｍｅｃｈａ—　

图８给出了ＡＭＬＳＡ、ＬＥ—ＨＭＩＰｖ６　、ＤＮＡ　、ＬＲ—ＡＫＥ、ＬＩＭ　

ｎｉｓｍ　ｆｏｒ　ｎｅｔｗｏｒｋ　ｍｏｂｉｌｉｔｙ　ｉｎ　ＩＥＥＥ　８０２　１６ｅ　ｗｉｒｅｌｅｓｓ　ｎｅｔｗｏｒｋｓ［Ｊ］．　

Ｃｏｍｐｕｔｅｒ　Ｎｅｔｗｏｒｋｓ，２０１１，５５（１６）：３７９６—３８０９．　

五种机制下ＭＲ的切换时延。其中：ＡＭＬＳＡ—Ｈ表示域内切换，　

ＡＭＬＳＡ—Ｉ表示域间切换，虚线表示的是用数学计算得出的切换　

时延。实验仿真得出的结果和数学计算得出的数据基本一致。　

ＡＭＬＳＡ域内切换时延不随ｄ　的增加而增大，但比ＬＥ—ＨＭＩＰｖ６　

［３］ＬＩＭ　Ｈ　Ｊ，ＫＩＭ　Ｍ，ＬＥＥ　Ｊ　Ｈ，ｅｔ　ａ１．Ｒｅｄｕｃｉｎｇ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｏｖｅｒ—　

ｈｅａｄ　ｆｏｒ　ｎｅｓｔｅｄ　ＮＥＭＯ　ｎｅｔｗｏｒｋｓ：ｒｏａｍｉｎｇ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ａｎｄ　ａｃｃｅｓｓ　

ｃｏｎｔｒｏｌ　ｓｔｒｕｃｔｕｒｅ［Ｊ］．ＩＥＥＥ　Ｔｒａｎｓ　ｏｎ　Ｖｅｈｉｃｕｌａｒ　Ｔｅｃｈｎｏｌｏｇｙ，　

２０１　ｌ，６０（７）：３４０８—３４２３．　

稍大，需要说明的是ＬＥ—ＨＭＩＰｖ６要求数据链路层提供切换触　

发子以实现预切换，而ＡＭＬＳＡ不需要。　

［４］ＦＡＴＨＩ　Ｈ，ＳＨＩＮ　Ｓ，ＫＯＢＡＲＡ　Ｋ．Ｒ－ＡＫＥ—ｂａｓｅｄ　ＡＡＡ　ｆｏｒ　ｎｅｔｗｏｒｋ　

ｍｏｂｉｌｉｔｙ（ＮＥＭＯ）ｏｖｅｒ　ｗｉｒｅｌｅｓｓ　ｌｉｎｋｓ［Ｊ］．ＩＥＥＥ　Ｊｏｕｒｎａｌ　ｏｎ　Ｓｅｌｅｃ－　

ｔｅｄ　Ａｒｅａｓｉｎ　Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，２００６，２４（９）：１７２５—１７３７．　

图９给出了ＡＭＬＳＡ、ＤＮＡ、ＬＲ—ＡＫＥ、ＬＩＭ四种机制下ＶＭＮ　

的切换时延（ＬＥ—ＨＭＩＰｖ６不支持ＶＭＮ的切换）。其中ＡＭＬＳＡ　

［５］ＡＨＮ　Ｙ，ＬＥＥ　Ｔ　Ｊ，ＣＨＯＯ　Ｈ，ｅｔ　ａ１．ＤＮＡ　Ｄｉａｍｅｔｅｒ　ＮＥＭＯ　ａｐｐｌｉｃａ－　

机制下ＶＭＮ的切换时延最小，且不随ｄＬｖ和ｄ　增加而增大。　

ｔｉｏｎｓ　ｂａｓｅｄ　ｏｎ　ｂｉｎｄｉｎｇ　ｕｐｄａｔｅ　ｉｎｔｅｇｒａｔｉｏｎ［Ｃ］／／Ｐｒｏｃ　ｏｆ　Ｆｒｏｎｔｉｅｒｓ　ｏｆ　

Ｈｉｇｈ　Ｐｅｒｆｏｒｍａｎｃｅ　Ｃｏｍｐｕｔｉｎｇ　ａｎｄ　Ｎｅｔｗｏｒｋｉｎｇ．Ｂｅｒｌｉｎ・Ｓｐｒｉｎｇｅｒ—Ｖｅｒ－　

ｌａｇ，２００６：１－６．　

在ＭＲ数量较多的环境下，ＶＭＮ在ＭＲ之间切换的次数较多，　

ＡＭＬＳＡ的性能优势更为明显。　

１１００　

ｌ０００　

１　

［６］ＳＯＬＩＭＡＮ　Ｈ，ＣＡＳＴＥＬＬＵＣＣＩＡ　Ｃ，ＥＬＭＡＬＫＩ　Ｋ，ｅｔ　ａ１．ＲＦＣ　５３８０，　

ｈｉｅｒａｒｃｈｉｃａｌ　ｍｏｂｉｌｅ　ＩＰｖ６（ＨＭＩＰｖ６）ｍｏｂｉｌｉｔｙ　ｍａｎａｇｅｍｅｎｔ［Ｓ］．［Ｓ．　

１．］：ＩＥＴＦ，２００８．　

誊１　

１　

茗　

尽　

萎３　

嬲　

３００　

［７］ＪＡＹＡＲＡＭＡＮ　Ｐ，ＬＯＰＥＺ　Ｒ，ＯＨＢＡ　Ｙ，ｅｔ　ａ１．ＲＦＣ　５１９３，ｐｒｏｔｏｃｏｌ　

ｆｏｒ　ｃａｒｒｙｉｎｇ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｆｏｒ　ｎｅｔｗｏｒｋ　ａｃｃｅｓｓ（ＰＡＮＡ）ｆｒａｍｅｗｏｒｋ　

２００　

１０Ｏ　

［ｓ］．［ｓ．１＿］：ＩＥＴＦ，２００８．　

［８］ＫＯＲＨＯＮＥＮ　Ｊ，ＢＯＵＲＮＥＬＬＥ　Ｊ，ＴＳＣＨＯＦＥＮＩＧ　Ｈ，ｅｔ　ａ１．ＲＦＣ　

５４４７，Ｄｉａｍｅｔｅｒ　ｍｏｂｉｌｅ　ＩＰｖ６：ｓｕｐｐｏｒｔ　ｆｏｒ　ｎｅｔｗｏｒｋ　ａｃｃｅｓｓ　ｓｅｒｖｅｒ　ｔｏ　

ＬＡＡＡ与ＨＡＡＡ—ＭＲ之间距离／ｈｏｐ　

图８　ＭＲ切换时延随ｄ　的变化　

４结束语　

本文提出了基于本地移动性管理的ＮＥＭＯ　ＡＡＡ网络，设　

计了一种基于本地安全关联的ＮＥＭＯ认证机制，给出了网络　

ｄｉａｍｅｔｅｒ　ｓｅｒｖｅｒ　ｉｎｔｅｒａｃｔｉｏｎ［Ｓ］．［Ｓ．Ｌ］：ＩＥＴＦ，２００９．　

［９］　ＮＩＳＴ．Ｄｅｐａｒｔｍｅｎｔ　ｏｆ　Ｃｏｍｍｅｒｃｅ．Ｆｅｄｅｒａｌ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｐｒｏｃｅｓｓｉｎｇ　

Ｓｔａｎｄａｒｄ（ＦＩＰＳ），ｓｅｃｕｒｅ　ｈａｓｈ　ｓｔａｎｄａｒｄ［ｓ］．２００２．　

［１０］ＰＥＴＲＥＳＣＵ　Ａ，ＯＬＩＶＥＲＥＡＵ　Ａ，ＪＡＮＮＥＴＥＡＵ　Ｃ，ｅｔ　ａ１．Ｄｒａｆｔ—ｐｅ．　

ｔｒｅｓｃｎ—ｎｅｍｏ－ｔｈｒｅａｔｓ—Ｏ１．ｔｈｒｅａｔｓ　ｆｏｒ　ｂａｓｉｃ　ｎｅｔｗｏｒｋ　ｍｏｂｉｌｉｔｙ　ｓｕｐｐｏｒｔ　

实体间的交互流程、身份认证以及接人权限的授权方法。该机　

制整合身份认证和地址注册过程，利用本地移动性管理策略和　

本地安全关联，实现了ＭＮ域内切换时认证一注册过程的本地　

化，避免了ＶＭＮ数据包嵌套封装。性能分析表明，该机制能　

够实现用户和网络之间的双向认证、抗重放攻击等，保护了地　

址注册信息，提升了ＮＥＭＯ的安全性；与其他方案相比，该机　

制在计算开销和切换时延方面更优。　

（ＮＥＭＯ　ｔｈｒｅａｔｓ）［ｓ］．［ｓ．１．］：ＩＥＴＦ，２００４．　

［１１］葛国栋，汤红波，王晓雷．嵌套移动网络中基于代价函数的自适　

应路由优化机制［Ｊ］．电子与信息学报，２０１１，３３（８）：２０１８—１０２２．　

［１２］周华春，张宏科，秦雅娟．一种代理移动ＩＰｖ６认证协议［Ｊ］．电　

子学报，２００８，３６（１０）：１８７３－１８８０．　

［１３］杨君，郭伟，刘军．基于可信区域的移动ＩＰｖ６切换优化［Ｊ］．计　

算机应用研究，２０１０，２７（３）：１１０６一ｌ１０９．　

（上接第１８８６页）　

Ｃｏｎｆｅｒｅｎｅｅ．Ｎｅｗ　Ｙｏｒｋ：ＡＣＭ　Ｐｒｅｓｓ，２００６：１－１２．　

参考文献：　

［１］ＥＳＴＥ　Ａ，ＧＲＩＮＧＯＬＩ　Ｆ，ＳＡＬＧＡＲＥＬＬＩ　Ｌ．Ｏｎ　ｔｈｅ　ｓｔａｂｉｌｉｔｙ　ｏｆ　ｔｈｅ　ｉｎ—　

ｆｏｒｍａｔｉｏｎ　ｃａｒｒｉｅｄ　ｂｙ　ｔｒａｆｆｉｃ　ｆｌｏｗ　ｆｅａｔｕｒｅｓ　ａｔ　ｔｈｅ　ｐａｃｋｅｔ　ｌｅｖｅｌ［Ｊ］．ＡＣＭ　

ＳＩＧＣＯＭＭ　Ｃｏｍｐｕｔｅｒ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｒｅｖｉｅｗ，２００９，３９（３）：１３—　

１８．　

ＥＲＭＡＮ　Ｊ，ＡＲＬＩＴＴ　Ｍ，ＡＮＩＲＢＡＮ　Ｍ．Ｔｒａｆｆｉｃ　ｃｌａｓｓｉｉｆｃａｔｉｏｎ　ｕｓｉｎｇ　ｃｌｕｓ—　

ｔｅｒｉｎｇ　ａｌｇｏｒｉｔｈｍｓ［Ｃ］／／Ｐｒｏｃ　ｏｆ　ＳＩＧＣＯＭＭ　Ｗｏｒｋｓｈｏｐ　ｏｎ　Ｍｉｎｉｎｇ　Ｎｅｔ—　

ｗｏｒｋ　Ｄａｔａ．Ｎｅｗ　Ｙｏｒｋ：ＡＣＭ　Ｐｒｅｓｓ，２００６：２８１—２８６．　　．

ＬＩ　Ｊｉｎ，ＺＨＡＮＧ　Ｘｉｎ，ＺＵＯ　Ｘｉａｏ－ｌｉａｎｇ，ｅｔ　ａ１．Ｕｓｉｎｇ　ｐａｃｋｅｔ　ｓｉｚｅ　ｄｉｓｔｉ—ｒ　

ｂｕｔｉｏｎ　ｔｏ　ｉｄｅｎｔｉｆｙ　Ｐ２Ｐ—ＴＶ　ｔｒａｆｆｉｃ［Ｃ］／／Ｐｒｏｃ　ｏｆ　Ｉｎｔｅｎｒａｔｉｏｎａｌ　Ｃｏｎｆｅ—　

ｒｅｎｅｅ　Ｏｉｌ　Ｃｙｂｅｒ—－ｅｎａｂｌｅｄ　Ｄｉｓｔｉｂｕｔｒｅｄ　Ｃｏｍｐｕｔｉｎｇ　ａｎｄ　Ｋｎｏｗｌｅｄｇｅ　Ｄｉｓｃｏｖ・－　

ｃｒｙ．Ｗａｓｈｉｎｇｔｏｎ　ＤＣ：ＩＥＥＥ　Ｃｏｍｐｕｔｅｒ　Ｓｏｃｉｅｔｙ，２０１０：１５０—１５５．　

［２］ＤＥＤＩＮＳＫＩ　Ｉ，Ｄｅ　ＭＥＥＲ　Ｈ，ＨＡＮ　Ｌ，ｅｔ　ａ１．Ｃｒｏｓｓ—ｌａｙｅｒ　ｐｅｅｒ—ｔｏ－ｐｅｅｒ　

ｔｒａｆｆｉｃ　ｉｄｅｎｔｉｉｃａｔｆｉｏｎ　ａｎｄ　ｏｐｔｉｍｉｚａｔｉｏｎ　ｂａｓｅｄ　ｏｎ　ａｃｔｉｖｅ　ｎｅｔｗｏｒｋｉｎｇ　

［Ｃ］／／Ｐｒｏｃ　ｏｆ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｗｏｒｋｉｎｇ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ａｃｔｉｖｅ　ａｎｄ　Ｐｒｏ—　

ｇｒａｍｍａｂｌｅ　Ｎｅｔｗｏｒｋｓ．［Ｓ．１．］：Ｓｐｒｉｎｇｅｒ，２００５：１３—２７．　

［３］ＢＥＲＮＡＩＬＬＥ　Ｌ，ＴＥＩＸＥＩＲＡ　Ｒ，ＡＫＯＤＫＥＮＯＵ　Ｉ，ｅｔ　ａ１．Ｔｒａｆｆｉｃ　ｃｌａｓｓｉ—　

Ｕ　Ｈｕｎ—ｆｕ．ＬＥＥ　Ｓ　Ｙ，Ｍｉｎｉｎｇ　ｆｒｅｑｕｅｎｔ　ｉｔｅｍ　ｓｅｔｓ　ｏｖｅｒ　ｄａｔａ　ｓｔｒｅａｍｓ　ｕｓｉｎｇ　

ｅｆｆｉｃｉｅｎｔ　ｗｉｎｄｏｗ　ｓｌｉｄｉｎｇ　ｔｅｃｈｎｉｑｕｅｓ［Ｊ］．Ｅｘｐｅ￣Ｓｙｓｔｅｍｓ　ｗｉｔｈ　Ａｐｐｌｉ—　

ｃａｔｉｏｎｓ，２００９，３６（２）：１４６６—１４７７．　

ＭＯＯＲＥ　Ａ，ＺＵＥＶ　Ｄ．Ｉｎｔｅｒａｃｔ　ｔｒａｆｆｉｃ　ｃｌａｓｓｉｆｉｃａｔｉｏｎ　ｕｓｉｎｇ　Ｂａｙｅｓｉａｎ　

ｉｆｃａｔｉｏｎ　Ｏｉｌ　ｔｈｅ　ｌｆｙ［Ｊ］．ＡＣＭ　ＳＩＧＣＯＭＭ　Ｃｏｍｐｕｔｅｒ　Ｏｏｍｍｕｎｉｃａ—　

ｔｉｏｎ　Ｒｅｖｉｅｗ，２００６，３６（２）：２３—２６．　

ａｎａｌｙｓｉｓ　ｔｅｃｈｎｉｑｕｅｓ［Ｃ］／／Ｐｒｏｃ　ｏｆ　ＡＣＭ　ＳＩＧＭＥＴＲＩＣＳ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　

Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｍｅａｓｕｒｅｍｅｎｔ　ｍｉｄ　Ｍｏｄｅｌｉｎｇ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｙｓｔｅｍｓ．Ｎｅｗ　

Ｙｏｒｋ：ＡＣＭ　Ｐｒｅｓｓ．２００５：５０—６０．　

［４］ＢＥＲＮＡＩＬＬＥ　Ｌ，ＴＥＩＸＥＩＲＡ　Ｒ，ＳＡＬＡＭＡＴＩＡＮ　Ｋ．Ｅａｒｌｙ　ａｐｐｌｉｃａｔｉｏｎ　

ｉｄｅｎｔｉｉｆｃａｔｉｏｎ［Ｃ］／／Ｐｒｏｃ　ｏｆ　ｔｈｅ　２ｎｄ　ＡＤＥＴＴＩ／ＩＳＣＴＥ　ＣｏＮＥＸＴ