- 1 -
中国科技论文在线
骨干网流量分布成因研究#
高翔，苏广文*
基金项目：20070699011
作者简介：高翔，（1974-），男，副教授，计算机网络
（西北工业大学计算机学院，西安 710072）
摘要：随着互联网的飞速发展，许多新应用的大量涌现，原有的网络流量模型已经难以准确
的描述现有的网络流量特征。只有深入的了解网络流量的成因，才能深刻的把握骨干网流量
的特征。本文对流量源、骨干链路流量的特征以及流量在聚合过程的特点，进行了实验分析，
揭示了骨干网流量分布的成因。
关键词：计算机网络；骨干网；网络流量
中图分类号：
The research of the cause of formation for backbone traffic
distribution
Gao Xiang, Su Guangwen
(Computer science School, Northwestern Polytechnical University, Xi'an 710072)
Abstract: With the increasing of Internet, many application have been put into service, the original
network traffic model can not describe the characters of the network traffic precisely. Only find out the
cause of formation for the network traffic, we can understand the properies of the network traffic
deeply. In this paper, we analyzed the characters of the traffic sources, backbone traffic and the
procedure of the traffic combination, the experiments show the cause of formation for the backbone
traffic distribution.
Keywords:computer netwrok; backbone network; network traffic
0 引言
伴随着互联网本身的不断发展，WebTV、P2P、云计算等新应用的不断涌现，网络流量
特征在过去 10 多年里发生了较为显著的变化，仍然沿用以前的泊松分布模型来预测网络流
量，规划网络结构，设计网络设备已难以满足当前的需要。目前，越来越多的研究机构和学
者提出了许多新的仿真流量模型。如何考证当前网络流量的分布规律，也已成为研究的热点
之一。由于网络流量的内在驱动因素，包括网络的规模、应用以及用户行为等仍处于持续发
展中，网络流量当前已经发现的特征也正随之发生演化[1]。因此，只有挖掘出隐藏在流量特
征表象下的物理成因，才能更深刻和全面地把握骨干网流量的本质特征。本文对流量源、骨
干链路流量的特征以及流量在聚合过程的特点，进行了实验分析，揭示了骨干网流量分布的
成因。
1 骨干网网络流量的构成分析
为了分析骨干网网络流量的构成，在考虑各种典型的流量源（服务器和业务终端）后，
形成图 1 所示的骨干网网络流量构成示意图。图 1 中方框图标表示流量的聚合点，其对应的
网络设备一般为交换机、路由器、接入服务器等，在聚合点，来自不同终端或者链路的流量
实现聚合或者分配。图中的双箭头线段代表链路上流量是双向的，比如对一台 Web 终端来
说，既有发送出去的流量，又有 Web 服务器反馈回来的流量。骨干网上既有来自大量的、
进行着各种不同应用的终端产生的流量，又有服务器产生的巨大的数据流量。实际上，骨干
网流量是各种终端以及服务器产生的流量的混合流量[2]。
- 2 -
中国科技论文在线
当前，服务器的主要类型包括 Web 服务器、FTP 服务器、VOD 服务器、游戏服务器等、
EMAIL 服务器等。用户终端上的主要应用则包括 Web 浏览、文件下载和上传、视频点播、
视频新闻、视频聊天、网络游戏等。
在整个互联网范围内，流量源一般是成对出现的，有一个流量源发送出流量，就必然有
一个流量源接收到该流量。广播包、因拥塞或出错而丢失的数据包等是一些例外，但整体上
所占流量的比例不大。任何一个终端或者服务器上都可能充当多个流量序列的源，因为它同
时可以与多个对端通信。如果把这种在流量的发送源和接收源之间传送的流量看作一个流量
序列，那么，骨干网上的流量就是这些数量巨大的流量序列的叠加。对于骨干网，上述流量
源的叠加特点体现得非常明显。
Web浏览
...
视频新闻
文件下载
网络游戏
...
视频聊天
...
VOD点播
城域网
骨干网
Web 服务器
VOD服务器 FTP 服务器
EMAIL 服务器
...
Web 服务器...
数据中心
图 1 骨干网网络流量构成
The composition of the backbone network traffic
2 骨干网流量源的业务特点分析
按照流量源业务特点的不同，可以把流量源分为服务器类和终端类两大类。
服务器类流量源的特点是它们通常同时为多个客户端提供服务，不时有老的服务进程的
结束和新的服务进程的启动。但总体上，在线服务的用户端总数量一般保持在比较高的水平。
其流量由服务器到与不同用户终端之间为数众多的流（指在网络链路中传输的具有相同源地
址和目标地址的数据包）迭加而成[3]。由于每个客户终端所需要的平均带宽小，因而 Web
服务器可以同时支持大量的用户在线。VOD 服务器也同时服务于多个用户终端，但由于每
个用户终端所需的链路带宽比较大（128Kbps~2Mbps），因而能够同时支持的在线用户数相
对 Web 服务器要少得多，且具有固定的上限。显而易见，同样大小的 Web 流量比 VOD 流
量中包含更多的流， Web 流量是更多的流聚合而成的混合流量，或者说，Web 流量的聚合
度更高[4]。
终端类流量源，包括由终端用户使用网络应用而产生的各种流量。其中一种典型的流量
如 Web 浏览，其流量由于其使用特点而具有以分钟为量级的间歇性和突发性，突发流量过
- 3 -
中国科技论文在线
后又是一段时间的链路空闲期；另一种典型的流量是音视频流，其流量特点是在网络链路上
有持续的流量，尽管流量也有起伏，但相对于 Web 浏览要稳定得多[5]。一般持续十几分钟
甚至 2~3 小时。除了这两种典型的情形外，终端类型的流量源的行为特点还有很多不同的表
现形式，这主要由业务特点和用户的使用特点所共同决定。
3 骨干网流量源的流量特征分析
不同应用产生的流量具有不同的特征，骨干网上的流量的特征很自然地受到组成它的服
务器流量、终端应用流量的特征等的影响。为了分析这种影响如何导致当前骨干网上流量的
行为特征，需要首先对上述各种不同的流量源的特征进行分析。流量源的种类除了前面提到
的各种服务器、终端外还有很多，难以一一列举[6]。研究中选择比较典型的应用作为考察对
象，其中服务器端的包括 VOD 服务器、Web 服务器，用户端的包括 Web 浏览、视频新闻、
文件下载、NGN 可视电话等作为分析对象，并根据客观条件，设计合适的测试环境和采样
方法。
Web 服务器
Web 服务基于 HTTP 协议，是目前互联网上最重要的应用。因此，我们分别选择了古
城热线网站运行 “二手市场”栏目的服务器和华商报网站所在服务器作为研究对象。研究
中，由于管理和安全因素，对这两台服务器网络端口流量吞吐率的测量，是通过对直接连接
这两台服务器的一台 CISCO 以太网交换机，以 SNMP 方式实现采样的。受该交换机支持能
力的限制，采样频率设定为 50 毫秒采样一次。两组样本依次采自 2007 年 8 月 30 日的
15:43:49-16:05:12 和 16:37:51-17:32:20 两个连续的时段。
643 521
概率
-1Mbs单位：
842 6
概率
-1Mbs单位：
（a）“二手市场”服务器 （b）华商报网站服务器
图 2 Web 服务器
Web server
图 2（a）为古城热线“二手市场”服务器流量的概率密度分布曲线。该曲线在流量小
于 时，平滑地由零增大到约 ；当流量大于 、小于时 时上下波
动非常大，特别是在约 出现一个尖锐的峰值，推测是在测试期间有一个应用以
1Mbps 左右的速率传输数据；当流量大于 时，曲线迅速趋向于零，没有表现出重尾
性。使用方差时间图估计，得到流量的自相似参数 H 的值为 ，说明具有比较强的自相
似性。图 2（b）为华商报网站服务器流量的概率密度分布曲线。该曲线非常平滑，流量分
布主要集中在 2Mbps 以内，其形状与第四章的骨干网流量的概率密度分布曲线形状相似，
近似为gamma分布，但尾部同样有比较明显的重尾现象存在。自相似参数H的估计值为，
- 4 -
中国科技论文在线
显示其自相似性比“二手市场”服务器流量的更强。
VOD 服务器
目前，VOD 主要的视频压缩标准有 、JPEG 和 MPEG 等，带宽一般在 128Kbps
到 。尽管城域网上 VOD 服务器数量没有 Web 服务器那样为数众多，但是由于每一
个视频流不仅带宽占用大，而且持续时间长，可以达到几十分种甚至几个小时，所以在其通
过的路径上所占用链路带宽的比例远远高于其活动连接数量所占的比例。研究中选择了古城
热线的一台“互联星空”VOD 服务器。该服务器每个视频流带宽设定在 。因受到
管理安全方面限制，不能通过该服务器所直接连接交换机进行流量采样，所以选择使用
Windows 操作系统自带的性能监控器来实时采集该服务器网络端口的流量。该性能监控器
能够实现的最高采样频率为每秒钟一次。采样的时间段为 2007 年 9 月 12 日 18 点 18 分 20
秒到 9 月 15 日 8 点 34 分 21 秒。
4020 60
-1Mbs单位：
概率
-1Mbs单位：
概率
（a）“互联星空”VOD 服务器 （b）HTTP 方式文件下载
图 3 VOD 服务器与文件下载
VOD server & Download server
图 3（a）为所采集流量样本的概率密度分布曲线。流量分布在从 20Mbps 到
的一个很宽的范围内，显示大约有 13 到 49 个并发视频流，曲线呈明显的锯齿状。自相似参
数 H 的估计值为 。
文件下载
文件下载是目前互联网上常用的应用之一，有 FTP 方式、HTTP 方式等。我们选择了从
CCTV网上（ 104Mbytes，
采样时段为 2008 年 06 月 24 日的 12:02:22-12:32:47。通过 Ethereal 软件截获数据包，显示该
文件下载采用的是 HTTP 协议。
下载终端为一台笔记本电脑，与后面 Web 浏览、视频新闻相同，采样工具均采用
Windows 操作系统自带的性能监控器，采样频率为每秒钟 1 次。图 3（b）为该流量样本的
概率密度分布曲线，流量分布在很宽的范围内，主要部分以大约 为中心近似对称。
自相似性参数 H 的估计值约 ，显示其不存在自相似性。这种结果与 HTTP 对文件的发
送方式有关：需要发送的文件被拆分为大小基本相同的分块，每个分块贴上序号独立传送。
受到网络状况和两端（服务器端、用户终端）设备性能起伏的影响，每个分块的传输速度会
围绕中心速率上下波动。
- 5 -
中国科技论文在线
Web 浏览
Web 浏览具有突发特性，典型的 Web 浏览方式是这样的：从浏览器点击一个超链接，
就是向服务器发出一个需要超文本文件的请求。服务器接到请求后，按这个超文本文件的内
容，把相关的主文件、嵌入的图片文件、音频文件、视频文件等，顺次发送给浏览器。根据
Crovella 的研究结论，这些文件的大小有重尾分布。浏览器则一边接收超文本文件，一边在
Windows 窗口对文件进行展示。然后是一个长长的（相对于文件传送所花费的时间）间歇
期，用户阅读或欣赏已经传送完成的文件内容和图片等。
H=
-1Mbs单位：
概率
-1Mbs单位：
概率
(a) (b)
图 4 Web 浏览
Web browse
采样时段为 2008 年 6 月 25 日的 14:26:06-14:45:20。图 4（a）为该流量样本的概率密度
分布曲线，图 4（b）为图 4（a）中曲线在 右边部分的曲线，是为了更清楚地观
察这部分的流量分布。图 5（a）曲线在 13Kbp 有一个很高的峰值（概率约 ），也就是
说，绝大多数时间，流量速率集中在以 13Kbps 为中心的这样一个速率很低的范围内，高速
率的传输只发生在很少的时间段内。这与对典型的 Web 浏览方式的特点相对应。自相似参
数的约为 ，显示流量具有自相似性。
视频新闻
视频新闻是目前新闻类网站一种重要的应用，研究中采集了 CCTV 网“视听在线”栏
目一段实时的视频新闻，采样时段为 2008 年 6 月 24 日从 13:31:20 到 13:45:18。流量样本
的概率密度分布曲线如图 5（a）所示，明显地接近指数分布形状。自相似参数的估计值为
，自相似性较 Web 浏览要更强一些。
- 6 -
中国科技论文在线
10060 804020
概率
-1Kbs单位：
600300 500200100 400
-1Kbs单位：
概率
（a）CCTV 网“视听在线”视频新闻 （b）华为 NGN 可视电话
图 5 视频新闻与 NGN 可视电话
Video news & NGN video phone
NGN 可视电话
我们还考察了一个基于 NGN 的可视电话所产生的流量。NGN 是 PSTN 网和互联网融合
的产物，实验中的 NGN 网和话机终端采用华为公司设备。NGN 网建立在西安宽带多媒体
城域网聚合层节点上，并通过网关与西安电信的 PSTN 网连接。NGN 可视电话通过宽带链
路接入西安宽带多媒体城域网，可以实现通过 NGN 可视电话拨打普通电话、NGN 可视电
话互相拨打等功能。
流量采样通过对 NGN 可视电话所直接连接的网络交换机以 SNMP 方式实现，采样频率
为每秒钟 20 次，采样时段为 2007 年 6 月 29 日的 16:36:07-16:39:18。流量样本的概率密度
分布如图 5（b）所示，曲线在 0Kbps、18 Kbps、36 Kbps 几个速率上具有尖锐的概率峰值。
剩下的时间，流量的速率主要集中在以从 250Kbps 到 450Kbps 的一个比较小的区间。自相
似参数的估值为 ，故其自相似性与视频新闻的相差不大。
4 结论
对于多种典型流量源的分析表明，由于业务特点的不同，导致不同类型的流量源，在概
率密度分布特征方面差别很大，而且自相似的程度也各不相同。甚至有的相同服务类型的流
量源，如古城热线“二手市场”和华商报网站，流量的概率密度分布特征也各具特点。从对
样本的分析结果来看，Web 服务器、VOD 服务器产生的流量具有更强的自相似性，而用户
终端所产生的流量的自相似性比较弱甚至没有自相似性。
5 致谢
本文受到教育部博士点新教师基金(20070699011)的大力支持，特此鸣谢。
[参考文献] (References)
[1]苏广文,高德远,樊晓桠等 基于Gamma分布和小波的城域网流量仿真模型[J], 计算机工程与应用, 2007年,
43 卷 07 期：36-40
[2] 苏广文,高德远,樊晓桠等 城域网流量 gamma 分布的成因分析[J] 计算机应用研究 2008 年, 25 卷 03
期:60-63
[3] 苏广文,高德远,樊晓桠等 基于概率密度分布的城域骨干网网络流量建模研究[J] 西北工业大学学报
2007 年 25 卷 02 期:66-70
[4] 高翔,于枫,王敏 FART在非监督式网络异常检测中的应用[J] 计算机工程与应用2006年42卷27期:88-92
- 7 -
中国科技论文在线
[5] 高翔,王敏,郭英 基于模糊数据挖掘技术的入侵检测算法与应用[J] 空军工程大学学报（自然科学版）
2006 年 7 卷 06 期:76-80
[6] 高翔,赵荣椿,王敏 演进模糊神经网络在非监督式异常检测中的应用[J] 哈尔滨工程大学学报 2006 年 27
卷 Z1:96-100
